可验证的微软"数字签名"也是木马？

　　数字签名对于验证文件的安全性非常重要。很多反病毒软件会检验文件中的数字签名，一旦发现其签名是有效的，就会对其放行。虽然数字签名的签发非常严格，但也并非没有漏洞，甚至还有伪造的数字签名鱼目混珠。

　　卡巴斯基实验室近期截获到一种名为“伪签名下载器”木马（Trojan-Downloader.Win32.VB.ajfn）的恶意程序。经过分析，我们发现此木马作者对木马程序精心构造了伪造的微软数字签名。而且其伪造的签名甚至可以通过验证。在未感染过的计算机上，通过右键属性查看木马的数字签名，数字签名信息旁的图标显示为红色叉号，并且显示数字签名无法验证。如下图所示：

图一

　　当用户运行木马时，其首先会释放提前伪造的微软数字证书并安装，再次查看木马数字签名信息时就会显示数字签名正常。使得木马程序看上去就像微软的程序一样。如图所示：

图二

　　计算机用户可以在运行中键入“certmgr.msc”查看该伪造的数字签名，也可以将其删除。如下图所示：

图三

　　通过上述感染手段，木马可以躲避很多反病毒的检测，造成大规模感染。感染完成后，木马会偷偷连接远程服务器，下载其他恶意程序到用户计算机。

　　目前，卡巴斯基所有产品均可以对该木马进行查杀。用户只需开启反病毒更新和实时监控即可避免被该木马感染。卡巴斯基提醒计算机用户，下载软件一定要选择官方网站等安全性可靠的网上资源，以免下载到恶意程序造成感染。