Подделываем электронную подпись Microsoft Corporation

[Антоха]

Скажу сразу,это всего лишь визуальная маскировка.В свойствах файла появится дополнительная вкладка с "цифровой подписью",но для жертвы этого может быть достаточно.Итак что нам нужно для производства и установки эл. подписи (весь софт в архиве,все утилиты майкрософтовские):

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

(средство проверки сертификата издателя программного обеспечения)

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

(средство создания сертификатов)
PVKIMPRT.EXE

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

(программа подписывания)
capicom.dll
В статьях выше видно,что ими пользуются через командную строку и дабы упростить эту процедуру,мы применим вот такой батник:

Скопировать в буфер обмена

makecert -n "CN=Microsoft Corporation" -a sha1 -eku 1.3.6.1.5.5.7.3.3 -r -sv sert.pvk sert.cer -ss Root -sr localMachine
cert2spc.exe sert.cer sert.spc
PVKIMPRT.EXE -pfx sert.spc sert.pvk
signtool.exe sign /v /f sert.pfx /p XXX /t http://timestamp.verisign.com/scripts/timestamp.dll /d "Generic Host Process for Win32 Services" /v program.exe
pause

Где значение p XXX (в последней строчке),это наш пароль.Вместо XXX вписываем любое значение и вводим его в дальнейшем при запросе проги для подписывания.Последовательность действий:
1.Переименовываем файл,который нужно подписать, в program.exe
2.Все утилиты,батник и наш файл помещаем в одну папку.
3.Запускаем батник.Видим:

Везде вводим наш пароль (который прописан в батнике) и подтверждаем нажатием "ОК".

Если всё прошло успешно,откроется мастер создания сертификатов:

Жмём "Далее" и выбираем пункт "Да,экспортировать закрытый ключ"

Все настройки можно оставить по умолчанию:

Последнее подтверждение пароля

Прописываем имя экспортируемого файла,в поле "Имя файла" пишем sert.

Всё.Последне диалоговое окно:

Вид консоли при успешном завершении:

 

[Антоха]

Вот и всё.Теперь в свойствах файла появилась дополнительная вкладка :

Но если внимательно просмотреть её сведения,то будет ясно,что дело нечисто.
На основной системе,то есть "восьмёрке",мне не удалось подписать программу.Выдавало ошибку отсутствия capicom.dll (или типа того).

Поэтому всё делал на "экспихе".
В архиве сборник утилит и батник+БОНУС винлок с цифровой подписью-Microsoft Fixit (пароль для разблокировки test).Пароль на архив:111
Но повторяю,это всего лишь маскировка и никакой антивирь не клюнет на такую подпись.Но чисто визуально,ели дотошно не изучать,вполне покатит.

Да,кстати,так можно сделать не только подпись Майкрософт,а и любых других компаний.Только нужно прописать в батнике другие данные .
Основа статьи (можно сказать копипаст) взята

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

 

[Антоха]

Интересно,как небольшое редактирование исходников влияет на показание VT.

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

по стандартному винлоку без всяких изменений.Далее,добавим к винлоку какую нибудь надпись на фейс и сменим родную дельфовскую иконку (ну и название для удобства)-

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

А теперь добавим цифровую подпись и описание программы в "Свойствах"-

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Вывод:лишняя мишура в данном случае палит файл ещё больше.
Во вложении тот же самый винлок,но с добавленной надписью.В итоге практически все антивири сигнатурно потеряли нюх.Пасс на архив:111
Пасс на разблокировку:test

 

[ivdic]

как программы типа удаленного доступа amyadmin и прочие при установку на ПК прописывают себя в исключения антивируса?

 

[xrahiel]

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

и

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

 

[asar]

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

и

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

опять ты, и здесь ты, разумеется sigthief, лучше

 

[ivdic]

какой толк от

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

если подпись получается невалидная? тут только использовать вычисление коллизий чтобы кэш совпала с оригиналом, что не так просто..

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

поэтому метод с самоподписным сертификатом более действенный

тесты показали что касперский не удалил такой файл (подписанный самоподписаным сертификатом) и не нашел его опасным...но запустится не дал :-(

 

[xrahiel]

какой толк от

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

если подпись получается невалидная? тут только использовать вычисление коллизий чтобы кэш совпала с оригиналом, что не так просто..

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

поэтому метод с самоподписным сертификатом более действенный

для обхода алерта делают в хроме.

 

[ivdic]

для обхода алерта делают в хроме.

что именно? опишите подробнее

 

[virt]

что именно? опишите подробнее

Хром непроверяет подпись на валид.

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

позволяет избавится от сообщения в хроме, что файл вредоносный.)