近日，微軟發布CVE-2020-0601漏洞公告，修補了Windows加密庫中的CryptoAPI欺騙漏洞。該漏洞可被利用對惡意程序簽名，從而騙過操作系統或安全軟件的安全機制，使Windows終端面臨被攻擊的巨大風險，主要影響Windows 10以及Windows Server 2016和2019，Win10以下版本不受影響。
經騰訊安全技術專家檢測發現，該漏洞的POC和在野利用已先後出現，影響範圍包括HTTPS連接，文件簽名和電子郵件簽名，以用戶模式啟動的簽名可執行程序等。目前，騰訊電腦管家、T-Sec 終端安全管理系統均可修複該漏洞，騰訊安全也已率先發布漏洞利用惡意程序專殺工具，可快速檢測可疑程序是否利用CVE-2020-0601漏洞僞造證書，用戶可運行此工具掃描本地硬盤或特定目錄，将危險程序清除。
騰訊安全團隊對該漏洞利用的POC進行深入分析後，确認該POC為CVE-2020-0601漏洞利用的一個典型僞造簽名場景，即通過該POC可輕松僞造出正常公鑰對應的第二可用私鑰，相當于黑客可以用自己的私鑰欺騙微軟系統，随便制造一個簽名，系統都以為是合法的;而在無漏洞的情況下達到該效果需要消耗極大算力。
與此同時，騰訊安全團隊還檢測到已有國内黑産組織利用該漏洞構造多個惡意程序，說明該漏洞的利用方法已被部分病毒木馬黑産所掌握。雖然該漏洞不能直接導緻蠕蟲式的利用，但可以在多種欺騙場景中運用。
在野利用樣本1：ghost變種遠程控制木馬。該樣本利用漏洞構造了看似正常的數字簽名，極具迷惑性。用戶一旦中招，電腦将會被黑客遠程控制。攻擊者可以進行提權、添加用戶、獲取系統信息、注冊表管理、文件管理、鍵盤記錄、竊聽音頻等操作，還可以控制肉雞電腦進行DDoS攻擊。
(圖：利用該漏洞構造的惡意程序一)
在野漏洞利用樣本2：horsedeal勒索病毒。該樣本具有看似正常的數字簽名，攻擊者誘使受害者運行該惡意程序後，會導緻受害者硬盤數據被加密。
(圖：利用該漏洞構造的惡意程序二)
在野利用場景3：利用漏洞騙取浏覽器對擁有僞造證書的網站的信任，如通過僞造類相似域名進行釣魚攻擊，在浏覽器識别為“可信”網站下注入惡意腳本。
(圖：該惡意網頁可顯示正常的證書信息)
此外，騰訊安全研究人員指出，在任意受影響的機器中，任意PE文件隻要用這個僞造的證書進行簽名，都能通過windows的證書檢驗。現有安全體系很大程度依賴證書簽名，如果通過漏洞僞造簽名欺騙系統，成功繞過安全防禦及查殺機制，攻擊者便可為所欲為，造成嚴重後果。
(圖：漏洞可以給任意PE文件僞造簽名欺騙系統)
僅在微軟發布安全公告後不到的時間裡，已經發現漏洞利用代碼公開，及衆多在野利用樣本。通過對攻擊樣本進行深入分析，騰訊安全技術專家認為，該漏洞的相關代碼已通過網絡擴散，被黑灰産業利用的可能性正在增加。如2017年4月，黑客攻擊NSA，釋放出NSA核武級漏洞攻擊包就是永恒之藍系列工具包，該工具包至今仍是網絡黑産最常使用的攻擊武器。
值得一提的是，該漏洞主要影響Windows 10以及Windows Server 2016和2019。而Windows 8.1和更低版本以及Server 2012 R2和更低版本不支持帶有參數的ECC密鑰，因此，較早的Windows版本會直接不信任嘗試利用此漏洞的此類證書，不受該漏洞影響。
鑒于該漏洞具有極高的利用價值，而且在很短時間内漏洞利用方法已被黑産所掌握，騰訊安全專家建議廣大企業網絡管理員，可參考以下方法運行專殺工具清除危險程序。
使用方式：
1，手動掃描(個人模式)：
a，根據提示輸入需要掃描的目錄，然後按Enter鍵，如果是全盤掃描，則輸入root後按Enter鍵
b，發現病毒的情況下，輸入Y，然後按Enter鍵，則開始删除。該操作請謹慎，删除後無法還原
2，命令行模式(企業模式)：
a，将exe以命令行啟動，比如掃描C盤test目錄(##dir=C:test;autodel=N)，如果要全盤掃描(##dir=root;autodel=N)
b, 如果要自動删除則設置autodel=Y
産品截圖：如下
同時，騰訊安全建議企業用戶立即升級補丁盡快修複該漏洞，或使用T-Sec 終端安全管理系統(騰訊禦點)統一檢測修複所有終端系統存在的安全漏洞。同時，企業用戶還可使用T-Sec 威脅檢測系統(騰訊禦界)，檢測利用CVE-2020-0601漏洞的攻擊活動，全方位保障企業自身的網絡安全。
(圖：T-Sec 威脅檢測系統沙箱檢測到危險程序)
對于普通個人用戶來說，騰訊安全推薦使用騰訊電腦管家的漏洞修複功能，或Windows Update安裝補丁，攔截危險程序，全面保護系統安全。
(圖：騰訊電腦管家發現漏洞風險)
免責聲明：本文僅代表作者個人觀點，與每日科技網無關。其原創性以及文中陳述文字和内容未經本站證實，對本文以及其中全部或者部分内容、文字的真實性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，并請自行核實相關内容。
本網站有部分内容均轉載自其它媒體，轉載目的在于傳遞更多信息，并不代表本網贊同其觀點和對其真實性負責，若因作品内容、知識産權、版權和其他問題，請及時提供相關證明等材料并與我們聯系，本網站将在規定時間内給予删除等相關處理.
