squiblydoo/certreport個人が報告する際の労力を軽減することで、Authenticode証明書の報告を支援するツール。
このツールは、Authenticode 証明書を報告するために必要な労力を軽減することを目的としています。報告者に最小限の労力で済ませつつ、証明書発行局が判断を下すために必要な情報の大部分を提供することを意図しています。可能な場合は、レポートに独自の調査結果を追加して、証明書プロバイダーがどのような不審な兆候を発見したかを把握できるようにすることをお勧めします。
バージョン2では、VirusTotal API を使用するためのサポートが追加されました。VirusTotal API を利用できるようにするため、追加の機能が追加されています。 certReport のデフォルトの動作は MalwareBazaar を照会することで、API キーは必要ありません。
バージョン3では、レポートに関する情報を保存する SQLite データベースが追加されました。これは個人用の参照として使用できるほか、レポートを補強するためにも使用できます。詳細については、以下のデータベースのセクションを参照してください。
pip を使用してください! pip install certReport または pip3 install certReport
注: バージョン2では、--hash (または -#) スイッチを指定する必要があります
以下に例を示します:
スクリプトを呼び出し、次のような SHA256 を渡します:
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
コンソールに次の情報が出力されます:
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on MalwareBazaar here: https://bazaar.abuse.ch/sample/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 2941d5f8758501f9dbc4ba158058c3b5
SHA256 Thumbprint: a982917ba6de9588f0f7ed554223d292524e832c1621acae9ad11c0573df54a5
Valid From: 2024-01-25T16:51:40Z
Valid Until: 2025-01-24T16:51:40Z
The malware was tagged as exe, Pikabot and signed.
MalwareBazaar submitted the file to multiple public sandboxes, the links to the sandbox results are below:
Sandbox / Malware Family / Verdict / Analysis URL
Intezer None unknown https://analyze.intezer.com/analyses/c4915ef4-198f-4aba-81ed-81b29cd4dce6?utm_source=MalwareBazaar
Triage pikabot 10 / 10 https://tria.ge/reports/240222-pqlqkshb2w/
VMRay Pikabot malicious https://www.vmray.com/analyses/_mb/89dc50024836/report/overview.html
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
この情報は、適切な abuse report チャネル (電子メールやウェブサイトなど) を使用して証明書発行者に提供されます。適切なチャネルはレポートの最後に示されています (上記参照)。
バージョン2では、VirusTotal を照会できるようになりました。VirusTotal を使用するには、まずオペレーティングシステムに適した方法で API キーを設定してください:
On Linux:
echo "export VT_API_KEY=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx VT_API_KEY "your_api_key"
On MacOS:
echo "export VT_API_KEY=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
API キーが環境変数として設定されると、次のコマンドでレポートが生成されます:
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 --service virustotal
あるいは、スイッチを簡略化することもできます:
certReport -# 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 -s VT
どちらのコマンドでも次のレポートが返されます:
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on VirusTotal here: https://www.virustotal.com/gui/file/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9/detection
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 56 B6 29 CD 34 BC 78 F6
Thumbprint: 743AF0529BD032A0F44A83CDD4BAA97B7C2EC49A
Valid From: 2017-05-31 18:14:37
Valid Until: 2042-05-30 18:14:37
The malware was tagged as a peexe, long-sleeps, spreader, detect-debug-environment, service-scan, overlay, revoked-cert, signed and checks-user-input.
The malware was detected by 50 out of 74 antivirus engines.
The malware was classified as trojan by 30 detection engines.
The file was flagged as pikabot by 23 detection engines, zusy by 6 detection engines and gdfvt by 2 detection engines
This file was found during our investigation and had the following suspicious indicators:
- The file triggered the following high IDS rules:
- ET CNC Feodo Tracker Reported CnC Server group 1
- ET CNC Feodo Tracker Reported CnC Server group 2
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
前述のとおり、レポートの最後の方に追加の箇条書きを加えることをお勧めします。追加の箇条書きには、ご自身の調査で得られた発見事項を含めてください。これらの詳細は、証明書プロバイダーの意思決定を支援するのに役立ちます。
Cert Graveyard にレポートを送信するには、-p オプションを使用します。環境変数 "CERT_GRAVEYARD_API" として CertGraveyard API キーを設定する必要があります。API キーは、TheCertGraveyard.org にログインした状態のプロフィールページから取得できます。
Please set your certGraveyard API key by running the doing the following:
On Linux:
echo "CERT_GRAVEYARD_API=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx CERT_GRAVEYARD_API "your_api_key"
On MacOS:
echo "export CERT_GRAVEYARD_API=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
バージョン3では、certReport で処理されたすべての証明書に関する情報がデータベースに保存されます。このデータベースには、レポートに含まれる詳細の大部分が格納されます。コマンド実行時に、ユーザーは -t オプションを使用してマルウェアファミリーを指定できます。指定した場合、レポートはそのユーザー指定の名前をデータベースに追加し、そのマルウェア名の他のインスタンスがデータベースにないか確認します。一致するものがある場合は、そのマルウェアがこれまでに報告された回数に関する情報をレポートに追加します。例えば、レポートの下部近くに次のようなメッセージが出力される可能性があります:
We have reported this same malware to SSL.com 2 times. We have reported the malware to other providers 10 times.
現行バージョンでは、データベースは SQLite データベースビューアで表示または管理する必要があります。プログラム内で表示または管理することはできません。
注: 同じハッシュでアプリケーションを実行した場合、データベース内の最初のハッシュインスタンスは削除され、新しい情報に置き換えられます。
データベースは、ユーザーのホームディレクトリ内のフォルダに作成されます。フォルダ名は "certReport"、データベース名は "certReport.db" になります。
追加の証明書プロバイダーの電子メールアドレスや報告方法について、スクリプトへの変更を提案してください。報告作業の半分は、証明書をどこに提出すべきかを見つけることです。
2018年以降、大多数の証明書は盗難ではなく、偽装者に発行されるようになりました (この主張は、こちらの学術論文で論じられています: http://users.umiacs.umd.edu/~tdumitra/papers/WEIS-2018.pdf)。私はこれらを「なりすまし証明書 (Impostor Certs)」と呼んでいます。 2023年には、1つの攻撃者が使用した50の証明書に関する調査を公開しました。私の調査結果は、証明書が複数のマルウェアファミリーの署名に使用されていることを裏付けるものでした: https://squiblydoo.blog/2023/05/12/certified-bad/。 2024年には、同じマルウェアの署名に使用された100の証明書を失効させた後、なりすまし証明書に関する記事を公開しました。その記事はこちらで読めます: https://squiblydoo.blog/2024/05/13/impostor-certs/。
要約すると、複数の攻撃者が同じ証明書を使用しており、証明書を報告することで、すべての脅威アクターにとって署名のコストが上昇し、複数のマルウェアキャンペーンに影響を与える可能性があります。