Détournement de signature numérique

Le détournement de signatures numériques légitimes est une technique qui peut être utilisée lors d'évaluations red team pour signer du code PowerShell et des binaires. Cela peut aider à contourner les restrictions de Device Guard et à rester discret lors d'un engagement. DigitalSignatureHijack est un script PowerShell basé sur les recherches de Matt Graeber pouvant effectuer les opérations suivantes :

• Signer tous les exécutables portables en tant que Microsoft
• Signer tous les scripts PowerShell en tant que Microsoft
• Valider la signature numérique de tous les exécutables portables
• Valider la signature numérique de tous les scripts PowerShell

Ceci est réalisé en détournant le registre et en ajoutant les valeurs nécessaires, ainsi qu'en utilisant le fichier DLL SIP personnalisé développé par Matt Graeber. Les utilisateurs doivent modifier le chemin de MySIP.dll vers leur chemin local.

• MySIP.dll - https://github.com/mattifestation/PoCSubjectInterfacePackage

Démo

Signature des exécutables portables

SignExe