Угон цифровых подписей

Угон легитимных цифровых подписей — это техника, которая может использоваться во время оценок red team для подписывания кода PowerShell и бинарных файлов. Это может помочь обойти ограничения Device Guard и сохранить скрытность в ходе операции. DigitalSignatureHijack — это скрипт PowerShell, основанный на исследовании Мэтта Грэбера, который может выполнять следующие операции:

• Цифровая подпись всех переносимых исполняемых файлов на хосте от имени Microsoft
• Цифровая подпись всех скриптов PowerShell на хосте от имени Microsoft
• Проверка цифровой подписи для всех переносимых исполняемых файлов
• Проверка цифровой подписи для всех скриптов PowerShell

Это достигается путем перехвата реестра и добавления необходимых значений, а также использования пользовательской DLL-библиотеки SIP, разработанной Мэттом Грэбером. Пользователям необходимо изменить путь к MySIP.dll на свой локальный путь.

• MySIP.dll - https://github.com/mattifestation/PoCSubjectInterfacePackage

Демонстрация

Подпись переносимых исполняемых файлов

SignExe

Проверка подписи

ValidateSignaturePE

Подпись скриптов PowerShell

SignPS

Проверка подписи

ValidateSignaturePS

Ресурсы

• Угон цифровых подписей
• Применение подписей Authenticode
• Подрыв доверия в Windows
• Подрыв и восстановление доверия в Windows
• Заимствование сертификатов подписи кода Microsoft

Отказ от ответственности

Цель этого репозитория — хранить скомпилированные DLL, бинарные файлы, скрипты и централизовать существующую информацию об угоне цифровых подписей. Все заслуги принадлежат оригинальным авторам этих инструментов.

Бинарные файлы и DLL, хранящиеся в этом репозитории, не были изменены по сравнению с исходным состоянием и абсолютно безопасны. Однако если по какой-либо причине вы не доверяете этому репозиторию, предоставлены исходные репозитории, содержащие исходный код этих инструментов, чтобы вы могли скомпилировать их самостоятельно.

Благодарности

• Matt Graeber
• Chris Ross
• netbiosX
• Josh Pitts