디지털 서명 하이재킹

합법적인 디지털 서명을 하이재킹하는 것은 레드 팀 평가 중에 PowerShell 코드와 바이너리에 서명하기 위해 사용할 수 있는 기술입니다. 이는 Device Guard 제한을 우회하고 활동 중 은밀성을 유지하는 데 도움이 될 수 있습니다. DigitalSignatureHijack은 Matt Graeber의 연구를 기반으로 한 PowerShell 스크립트로, 다음 작업을 수행할 수 있습니다:

• 호스트의 모든 휴대용 실행 파일을 Microsoft로 디지털 서명
• 호스트의 모든 PowerShell 스크립트를 Microsoft로 디지털 서명
• 모든 휴대용 실행 파일의 디지털 서명 검증
• 모든 PowerShell 스크립트의 디지털 서명 검증

이는 레지스트리를 하이재킹하고 필요한 값을 추가하며 Matt Graeber가 개발한 사용자 지정 SIP DLL 파일을 활용하여 이루어집니다. 사용자는 MySIP.dll의 경로를 자신의 로컬 경로로 수정해야 합니다.

• MySIP.dll - https://github.com/mattifestation/PoCSubjectInterfacePackage

데모

휴대용 실행 파일 서명

SignExe

서명 검증

ValidateSignaturePE

PowerShell 스크립트 서명

SignPS

서명 검증

ValidateSignaturePS

리소스

• 디지털 서명 하이재킹
• Authenticode 서명의 응용
• Windows에서 신뢰 무력화
• Windows에서 신뢰 무력화 및 복원
• Microsoft 코드 서명 인증서 차용

면책 조항

• 이 저장소의 목적은 컴파일된 DLL, 바이너리, 스크립트를 저장하고 디지털 서명 하이재킹에 대한 기존 정보를 중앙 집중화하는 것입니다. 모든 크레딧은 이러한 도구의 원저자에게 돌아갑니다.
• 이 저장소에 저장된 바이너리와 DLL은 원래 상태에서 수정되지 않았으며 완전히 안전합니다. 그러나 어떤 이유로든 이 저장소를 신뢰하지 않는 경우, 이러한 도구의 소스 코드가 포함된 원본 저장소를 제공하여 직접 컴파일할 수 있습니다.

크레딧

• Matt Graeber
• Chris Ross
• netbiosX
• Josh Pitts