T1553.004: 安装根证书

摘要

攻击者可能在受感染的系统上安装根证书，以避免在连接到攻击者控制的 Web 服务器时出现警告。根证书用于公钥密码学中以标识根证书颁发机构（CA）。当安装根证书时，系统或应用程序将信任由该根证书签名的根信任链中的证书。(Citation: Wikipedia Root Certificate) 证书通常用于在 Web 浏览器中建立安全的 TLS/SSL 通信。当用户尝试浏览呈现不受信任证书的网站时，将显示错误消息以警告用户存在安全风险。根据安全设置，浏览器可能不允许用户建立与该网站的连接。 在受感染的系统上安装根证书将为攻击者提供一种降低该系统安全性的方式。攻击者已使用此技术来避免当受感染系统通过 HTTPS 连接到攻击者控制的、冒充合法网站以收集登录凭据的 Web 服务器时提示用户的安全警告。(Citation: Operation Emmental) 非典型根证书也已由制造商或软件供应链在系统上预先安装，并与恶意软件/广告软件结合使用，以提供[中间人](https://attack.mitre.org/techniques/T1557)能力，用于拦截通过安全 TLS/SSL 通信传输的信息。(Citation: Kaspersky Superfish) 根证书（及其关联的链）也可以被克隆和重新安装。克隆的证书链将带有许多与源相同的元数据特征，并可用于签署恶意代码，然后这些恶意代码可能绕过用于阻止执行和/或发现持久化痕迹的签名验证工具（例如 Sysinternals、防病毒软件等）。(Citation: SpectorOps Code Signing Dec 2017) 在 macOS 中，Ay MaMi 恶意软件使用 <code>/usr/bin/security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain /path/to/malicious/cert</code> 将恶意证书作为受信任的根证书安装到系统钥匙串中。(Citation: objective-see ay mami 2018)