squiblydoo/certreportAuthenticode प्रमाणपत्रों की रिपोर्टिंग में सहायता करने के लिए एक उपकरण, जो व्यक्तियों द्वारा रिपोर्ट करने के प्रयास को कम करता है।
यह टूल authenticode प्रमाणपत्रों की रिपोर्ट करने के लिए आवश्यक प्रयास के बोझ को कम करने के लिए बनाया गया है। इसका उद्देश्य रिपोर्टर से न्यूनतम प्रयास लेना है, लेकिन प्रमाणपत्र प्राधिकरण को निर्णय लेने के लिए आवश्यक अधिकांश जानकारी प्रदान करना है। जब संभव हो, यह अनुशंसा की जाती है कि आप अपने स्वयं के निष्कर्षों के साथ रिपोर्ट को संवर्धित करें ताकि प्रमाणपत्र प्रदाता को यह जानने में मदद मिले कि आपको कौन से संदिग्ध संकेतक मिले।
संस्करण 2 के अनुसार, हमने VirusTotal API का उपयोग करने के लिए समर्थन जोड़ा है। VirusTotal API की अनुमति देने के लिए, हमने अतिरिक्त फ़ंक्शन जोड़े हैं। certReport का डिफ़ॉल्ट व्यवहार MalwareBazaar से क्वेरी करना है, जिसके लिए API कुंजी की आवश्यकता नहीं होती है।
संस्करण 3 में, हमने एक SQLite डेटाबेस जोड़ा है जो रिपोर्टों के बारे में जानकारी संग्रहीत करता है। इसका उपयोग व्यक्तिगत संदर्भ के लिए किया जा सकता है, लेकिन यह रिपोर्ट को भी संवर्धित करता है। अधिक जानकारी के लिए नीचे डेटाबेस अनुभाग में दी गई जानकारी देखें!
पिप का उपयोग करें! pip install certReport या pip3 install certReport
नोट: संस्करण 2 में, --hash (या -#) स्विच प्रदान करना आवश्यक है
यहाँ एक उदाहरण है:
स्क्रिप्ट को कॉल करें और इसमें SHA256 इस प्रकार पास करें:
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
यह निम्नलिखित जानकारी कंसोल पर प्रिंट करेगा:
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on MalwareBazaar here: https://bazaar.abuse.ch/sample/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 2941d5f8758501f9dbc4ba158058c3b5
SHA256 Thumbprint: a982917ba6de9588f0f7ed554223d292524e832c1621acae9ad11c0573df54a5
Valid From: 2024-01-25T16:51:40Z
Valid Until: 2025-01-24T16:51:40Z
The malware was tagged as exe, Pikabot and signed.
MalwareBazaar submitted the file to multiple public sandboxes, the links to the sandbox results are below:
Sandbox / Malware Family / Verdict / Analysis URL
Intezer None unknown https://analyze.intezer.com/analyses/c4915ef4-198f-4aba-81ed-81b29cd4dce6?utm_source=MalwareBazaar
Triage pikabot 10 / 10 https://tria.ge/reports/240222-pqlqkshb2w/
VMRay Pikabot malicious https://www.vmray.com/analyses/_mb/89dc50024836/report/overview.html
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
यह जानकारी उपयुक्त दुरुपयोग रिपोर्ट चैनलों (जैसे ईमेल या वेबसाइट) के माध्यम से प्रमाणपत्र जारीकर्ता को प्रदान की जानी है। उपयुक्त चैनल रिपोर्ट के अंत में दिया गया है (ऊपर देखें)।
संस्करण 2 में, VirusTotal से क्वेरी करना संभव हो गया। VirusTotal का उपयोग करने के लिए पहले अपने ऑपरेटिंग सिस्टम के लिए उपयुक्त विधि का उपयोग करके अपनी API कुंजी सेट करें:
On Linux:
echo "export VT_API_KEY=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx VT_API_KEY "your_api_key"
On MacOS:
echo "export VT_API_KEY=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
API कुंजी को पर्यावरण चर के रूप में कॉन्फ़िगर करने के बाद निम्नलिखित कमांड एक रिपोर्ट उत्पन्न करेगा:
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 --service virustotal
वैकल्पिक रूप से, स्विच को सरल बनाया जा सकता है:
certReport -# 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 -s VT
दोनों कमांड निम्नलिखित रिपोर्ट लौटाएँगे:
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on VirusTotal here: https://www.virustotal.com/gui/file/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9/detection
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 56 B6 29 CD 34 BC 78 F6
Thumbprint: 743AF0529BD032A0F44A83CDD4BAA97B7C2EC49A
Valid From: 2017-05-31 18:14:37
Valid Until: 2042-05-30 18:14:37
The malware was tagged as a peexe, long-sleeps, spreader, detect-debug-environment, service-scan, overlay, revoked-cert, signed and checks-user-input.
The malware was detected by 50 out of 74 antivirus engines.
The malware was classified as trojan by 30 detection engines.
The file was flagged as pikabot by 23 detection engines, zusy by 6 detection engines and gdfvt by 2 detection engines
This file was found during our investigation and had the following suspicious indicators:
- The file triggered the following high IDS rules:
- ET CNC Feodo Tracker Reported CnC Server group 1
- ET CNC Feodo Tracker Reported CnC Server group 2
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
जैसा कि पहले कहा गया है, रिपोर्ट के अंत के पास अतिरिक्त बुलेटपॉइंट जोड़ने की अनुशंसा की जाती है। अतिरिक्त बुलेटपॉइंट में आपकी अपनी जांच के निष्कर्ष शामिल होने चाहिए। ये विवरण प्रमाणपत्र प्रदाता के लिए निर्णय समर्थन प्रदान करने में मदद कर सकते हैं।
Cert Graveyard में रिपोर्ट भेजने के लिए, -p विकल्प का उपयोग करें। "CERT_GRAVEYARD_API" नामक पर्यावरण चर के रूप में CertGraveyard API कुंजी सेट होना आवश्यक है। API कुंजी TheCertGraveyard.org में लॉग इन करने पर आपके प्रोफ़ाइल पृष्ठ से प्राप्त की जा सकती है।
Please set your certGraveyard API key by running the doing the following:
On Linux:
echo "CERT_GRAVEYARD_API=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx CERT_GRAVEYARD_API "your_api_key"
On MacOS:
echo "export CERT_GRAVEYARD_API=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
संस्करण 3 में, certReport के साथ संसाधित सभी प्रमाणपत्रों की जानकारी के साथ एक डेटाबेस संग्रहीत किया गया था। इस डेटाबेस में रिपोर्ट में आने वाले अधिकांश विवरण शामिल हैं। कमांड चलाते समय उपयोगकर्ता -t विकल्प का उपयोग करके एक मैलवेयर परिवार प्रदान कर सकता है। यदि उपयोगकर्ता ऐसा करता है, तो रिपोर्ट उस उपयोगकर्ता द्वारा प्रदान किए गए नाम को डेटाबेस में जोड़ देगी और डेटाबेस में उस मैलवेयर नाम के किसी भी अन्य उदाहरण की जाँच करेगी; जब मिलान होते हैं, तो यह रिपोर्ट में इस बारे में जानकारी जोड़ देगा कि उस मैलवेयर की कितनी बार रिपोर्ट की गई है। उदाहरण के लिए, यह रिपोर्ट के नीचे के पास निम्नलिखित जैसा संदेश प्रिंट कर सकता है:
We have reported this same malware to SSL.com 2 times. We have reported the malware to other providers 10 times.
वर्तमान संस्करण के अनुसार, डेटाबेस को SQLite डेटाबेस व्यूअर के साथ देखा या प्रबंधित किया जाना आवश्यक है। इसे प्रोग्राम के भीतर नहीं देखा या प्रबंधित किया जा सकता है।
नोट: यदि उपयोगकर्ता उसी हैश के साथ एप्लिकेशन चलाता है, तो हैश का पहला उदाहरण डेटाबेस से हटा दिया जाएगा और नई जानकारी के साथ बदल दिया जाएगा।
डेटाबेस उपयोगकर्ता की होम निर्देशिका में एक फ़ोल्डर में बनाया गया है। फ़ोल्डर का नाम "certReport" होगा और डेटाबेस का नाम "certReport.db" होगा।
कृपया अतिरिक्त प्रमाणपत्र प्रदाता ईमेल पते या रिपोर्टिंग के तरीकों के लिए स्क्रिप्ट में बदलाव सुझाने के लिए स्वतंत्र महसूस करें। रिपोर्टिंग में आधी लड़ाई यह पता लगाना है कि प्रमाणपत्र कहाँ जमा किए जाने चाहिए।
2018 से, अधिकांश प्रमाणपत्र अब चुराए नहीं जाते, बल्कि वे धोखेबाजों को जारी किए जाते हैं (यह मामला यहाँ एक विद्वान लेख में प्रस्तुत किया गया है: http://users.umiacs.umd.edu/~tdumitra/papers/WEIS-2018.pdf)। मैं इन्हें "धोखेबाज प्रमाणपत्र" कहता हूँ। 2023 में, मैंने एक अभिनेता द्वारा उपयोग किए गए 50 प्रमाणपत्रों पर अपना शोध प्रकाशित किया। मेरे निष्कर्षों ने पुष्टि की कि प्रमाणपत्रों का उपयोग कई मैलवेयर परिवारों पर हस्ताक्षर करने के लिए किया जाता है: https://squiblydoo.blog/2023/05/12/certified-bad/। 2024 में, समान मैलवेयर पर हस्ताक्षर करने के लिए उपयोग किए गए 100 प्रमाणपत्रों को रद्द करने के बाद, मैंने धोखेबाज प्रमाणपत्रों पर एक लेख प्रकाशित किया, वह लेख यहाँ पढ़ा जा सकता है: https://squiblydoo.blog/2024/05/13/impostor-certs/।
TLDR यह है कि कई अभिनेता एक ही प्रमाणपत्र का उपयोग करते हैं और एक प्रमाणपत्र की रिपोर्ट करने से सभी खतरे वाले अभिनेताओं के लिए हस्ताक्षर करने की लागत बढ़ जाती है और यह कई मैलवेयर अभियानों को प्रभावित कर सकता है।