ก่อนหน้านี้เมื่อวันที่ 30/09/2017 ที่ผ่านมา ในงาน Redpill2017 ผมในหัวข้อเรื่อง “Endpoint protection is not enough” ทีนี้หนึ่งในนั้นที่ทำให้เห็นคือการสร้าง fake certificate ของ Microsoft แล้ว sign ไปยัง exe ใดๆ ก็ทำให้สามารถ bypass Antivirus บางตัวได้ จากภาพจะเห็นว่าก่อน sign ตอนแรกมี Antivirus อยู่ 50 จาก 63 ตัวที่สามารถจับได้ว่าไฟล์ backdoor นี้เป็น malware แต่พอ sign ไปแล้วมันกลายเป็นว่ามี Antivirus 39 ตัวจาก 63 ตัวที่สามารถจับไฟล์ backdoor นี้ได้ ซึ่งก็ลดไปเยอะพอสมควรเลยทีเดียว

ทีนี้หลังจากงาน DerbyCon มีการปล่อยวิธีที่ทำให้มองว่าไฟล์ backdoor ของเรากลายเป็นของ Microsoft ได้ ด้วยการหลอกและแก้ไข Registry key ของ Windows นั่นเอง โดยขั้นตอนการทำมีดังนี้

1. สร้าง malware ใดๆขึ้นมา หรือลอง download mimikatz.exe มาลองดูก็ได้ครับ
2. download sigthief ตัวสำหรับการขโมย signature จาก exe ตัวหนึ่งไปให้ exe อีกตัวหนึ่ง โดยตัวเครื่องมือจะทำการตัดส่วน signature ของไฟล์ไปให้กับอีกไฟล์หนึ่ง แก้ไขค่า certificate table ของไฟล์เพื่อ sign file แน่นอนว่ามันไม่ใช่ valid signature นะครับ

3. ใช้ sigthief เพื่อทำการขโมย signature

4. แก้ไข registry key ของ Windows โดย

  • CryptSIPDllVerifyIndirectData เป็น function การเข้าไปตรวจสอบ hash ของส่วนข้อมูลใดๆ
  • CryptSIPDllGetSignedDataMsg เป็น function สำหรับการดึง Authenticode ของไฟล์ออกมา

32bit

64bit 

จากการแก้ไขจะเห็นว่ามีการระบุการตรวจสอบแทนที่จะเป็น WINTRUST.dll ก็กลายเป็น ntdll.dll และ function ที่เฉพาะขึ้นมาแทน ซึ่งจุดนี้ทำให้การมองของ Microsoft เปลี่ยนไป

5. Verify ดูว่าของจริงจริงหรือไม่

จากภาพจะเห็นว่า testaroo.exe กลายเป็น Valid signature ไปซะอย่างงั้น

Source:: CONSCIOUSHACKER