Корпорация Microsoft признала, что подписала вредоносный драйвер

Исследователи компании G Data столкнулись с необычной ситуацией. Аналитические инструменты компании идентифицировали как вредоносный файл драйвер Netfilter, имеющий легитимную цифровую подпись корпорации Microsoft. Сперва специалисты предположили, что их инструменты допустили ошибку. Но более подробный анализ привел к противоположному выводу. Защитные решения были правы, а ошибку допустили как раз в Microsoft.

Как сообщил аналитик G Data Карстен Хаан, Netfilter в действительности оказался руткитом – программой, скрывающей от защитных решений свои вредоносные действия – такие как сбор данных, перехват контроля над системными процессами и т.д. В корпорации Microsoft уже подтвердили сообщение Хаана, отметив также, что нет никаких свидетельств похищения сертификата для цифровой подписи кода драйвера. Таким образом, следует предположить, что цифровая подпись была получена вполне законным путем. Но в этом случае остается загадкой, как в Microsoft не увидели вредоносную природу Netfilter.

Корпорация ведет тщательное расследование, на период которого заблокирована учетная запись предоставившего код Netfilter разработчика, все другие предоставленные им материалы также проходят детальную проверку. По предварительным данным, Netfilter получает приказы от командных серверов, имеющих китайские IP-адреса, и атакует почти исключительно геймеров в КНР.

Источник: Bleeping Computer