Originalartikel von Mohamad Mokbel, Senior Security Researcher
In den letzten sechs Jahren ist uns aufgefallen, dass Malware sowohl in herkömmlichen als auch in gezielten Angriff immer mehr auf Verschlüsselung setzt. Damit soll die Attacke der Erkennung entgehen und sich in den normalen verschlüsselten Datenverkehr einfügen. Neben Malware nutzen auch Intrusion Frameworks wie Cobalt Strike, Metasploit und Core Impact diese Möglichkeit. In vielen Fällen sind dies X.509-Zertifikate, die normalerweise von SSL/TLS genutzt werden. Wir haben uns mit einigen ungewöhnlichen Merkmalen der von Malware verwendeten Zertifikate befasst und wie diese zur Erkennung bösartiger Aktivitäten genutzt werden können. Wir haben 1767 Zertifikate untersuchen, die von verschiedenen Malware-Familien verwendet wurden.
Weiterlesen
