攻击者利用过期安全证书传播恶意软件

李汇

网络罪犯分子一直在尝试一种新的分发恶意软件的方法：通过含有指向恶意软件的“安装（推荐）”按钮的过期安全证书虚假警报。

这一计划背后的恶意软件运营者显然是指望用户不知道安全证书是什么，也不了解安全证书的更新情况，于是利用用户希望保持网络安全的心理。

卡巴斯基实验室的研究人员表示，这些恶意警报已经出现在许多受感染的、主题不同的网站上被发现，而最早的感染可追溯到2020年1月16日。

欺骗性通知以覆盖的iframe形式传递，该iframe从第三方来源加载内容。事实上，浏览器的地址栏显示了受感染站点的URL，即使显示了假警报也会让警告看起来是合法的。

如果用户上当并点击“安装（推荐）”按钮，就会收到恶意软件。在过去的攻击中，这可能是下载型木马Buerak或者Mokes后门，但在以后的攻击中，任何类型的恶意软件都可以进行分发。

旧技巧的新玩法

恶意软件运营者多年来一直在使用虚假警报来促使用户下载特定版本的、广泛使用的某个软件（例如Adobe Flash Player，Google Chrome）的新版本，而利用过时安全证书的警报其实只是一个很老的技巧，做了点新花样。

近期用户可能看到安全证书相关警报的频次比平时更高，这和Lets Encrypt从2020年3月4日起撤销近300万个TLS证书有关，恶意软件分发者利用这个时机在积极活动。

为什么SSL证书会过期

很多人第一直觉是CA机构为了收费所以设置了有效期，这是其中一个原因；另外还处于对安全方面的考虑，CA机构也不能保证一个网站永远是合法的，所以需要定期检查一下网站。……