本工具旨在减少报告 Authenticode 证书所需的工作量。它旨在让报告者花费最少的精力，同时向证书颁发机构提供做出决定所需的大部分信息。如有可能，建议在报告中补充你自己的发现，以帮助证书提供商了解你发现的可疑指标。
从版本 2 开始，我们增加了对使用 VirusTotal API 的支持。为了支持 VirusTotal API，我们添加了额外的功能。
certReport 的默认行为是查询 MalwareBazaar，这不需要 API 密钥。
在版本 3 中，我们添加了一个 SQLite 数据库，用于存储有关报告的信息。这既可以供个人参考，也可以增强报告。更多信息请参阅下方数据库部分！
使用 pip！pip install certReport 或 pip3 install certReport
注意：在版本 2 中，必须提供 --hash（或 -#）开关
以下是示例：
通过如下方式调用脚本并传入 SHA256 值：
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
将在控制台输出以下信息：
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on MalwareBazaar here: https://bazaar.abuse.ch/sample/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 2941d5f8758501f9dbc4ba158058c3b5
SHA256 Thumbprint: a982917ba6de9588f0f7ed554223d292524e832c1621acae9ad11c0573df54a5
Valid From: 2024-01-25T16:51:40Z
Valid Until: 2025-01-24T16:51:40Z
The malware was tagged as exe, Pikabot and signed.
MalwareBazaar submitted the file to multiple public sandboxes, the links to the sandbox results are below:
Sandbox / Malware Family / Verdict / Analysis URL
Intezer None unknown https://analyze.intezer.com/analyses/c4915ef4-198f-4aba-81ed-81b29cd4dce6?utm_source=MalwareBazaar
Triage pikabot 10 / 10 https://tria.ge/reports/240222-pqlqkshb2w/
VMRay Pikabot malicious https://www.vmray.com/analyses/_mb/89dc50024836/report/overview.html
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
此信息应通过相应的滥用报告渠道（如电子邮件或网站）提供给证书颁发机构。相应的渠道在报告末尾提供（见上文）。
在版本 2 中，可以查询 VirusTotal。要使用 VirusTotal，请首先使用适合你操作系统的方法设置 API 密钥：
On Linux:
echo "export VT_API_KEY=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx VT_API_KEY "your_api_key"
On MacOS:
echo "export VT_API_KEY=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
API 密钥配置为环境变量后，以下命令将生成报告：
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 --service virustotal
或者，可以简化开关：
certReport -# 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 -s VT
这两个命令都会返回以下报告：
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on VirusTotal here: https://www.virustotal.com/gui/file/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9/detection
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 56 B6 29 CD 34 BC 78 F6
Thumbprint: 743AF0529BD032A0F44A83CDD4BAA97B7C2EC49A
Valid From: 2017-05-31 18:14:37
Valid Until: 2042-05-30 18:14:37
The malware was tagged as a peexe, long-sleeps, spreader, detect-debug-environment, service-scan, overlay, revoked-cert, signed and checks-user-input.
The malware was detected by 50 out of 74 antivirus engines.
The malware was classified as trojan by 30 detection engines.
The file was flagged as pikabot by 23 detection engines, zusy by 6 detection engines and gdfvt by 2 detection engines
This file was found during our investigation and had the following suspicious indicators:
- The file triggered the following high IDS rules:
- ET CNC Feodo Tracker Reported CnC Server group 1
- ET CNC Feodo Tracker Reported CnC Server group 2
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
如前所述，建议在报告的末尾附近添加额外的要点。额外的要点应包含你自己调查中的发现。这些细节可以为证书提供商提供决策支持。
要将报告推送到 Cert Graveyard，请使用 -p 选项。需要将 CertGraveyard API 密钥设置为名为 "CERT_GRAVEYARD_API" 的环境变量。该 API 密钥可在登录 TheCertGraveyard.org 后从个人资料页面获取。
Please set your certGraveyard API key by running the doing the following:
On Linux:
echo "CERT_GRAVEYARD_API=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx CERT_GRAVEYARD_API "your_api_key"
On MacOS:
echo "export CERT_GRAVEYARD_API=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
在版本 3 中，数据库存储了所有通过 certReport 处理的证书的信息。该数据库包含报告中出现的大部分详细信息。运行命令时，用户可以使用 -t 选项并提供恶意软件家族名称。如果用户这样做，报告会将用户提供的名称添加到数据库中，并检查数据库中是否存在该恶意软件名称的其他实例；当存在匹配项时，报告会增加关于该恶意软件已被报告次数的信息。例如，它可以在报告底部附近打印类似如下的消息：
We have reported this same malware to SSL.com 2 times. We have reported the malware to other providers 10 times.
就当前版本而言，数据库需要使用 SQLite 数据库查看器进行查看或管理。无法在程序内查看或管理。
注意：如果用户使用相同的哈希值运行应用程序，该哈希的第一个实例将从数据库中移除，并替换为新信息。
数据库创建在用户主目录下的一个文件夹中。该文件夹将命名为 "certReport"，数据库将命名为 "certReport.db"。
欢迎随时建议对脚本进行修改，以增加其他证书提供商的电子邮件地址或报告方法。报告工作的一半难点在于确定证书应提交到何处。
从 2018 年开始，大多数证书不再是被盗取的，而是颁发给了冒名顶替者（这一观点在这篇学术文章中有所论证：http://users.umiacs.umd.edu/~tdumitra/papers/WEIS-2018.pdf）。我将这些证书称为 "Impostor Certs"。
2023 年，我发表了对一个攻击者使用的 50 个证书的研究。我的发现证实了这些证书被用于签署多个恶意软件家族：https://squiblydoo.blog/2023/05/12/certified-bad/。
2024 年，在撤销了 100 个用于签署同一恶意软件的证书之后，我发表了一篇关于 Impostor certs 的文章，该文章可在此阅读：https://squiblydoo.blog/2024/05/13/impostor-certs/。
核心要点是，多个攻击者使用同一证书，而报告证书会提高所有威胁行为者的签名成本，并且可能影响多个恶意软件活动。