Möglich wurde der Zugriff durch eine Funktion des Support-Portals: Authentifizierte Support-Analysten von DigiCert können sich per Proxy in Kundenkonten einklinken und erhalten dadurch Zugang zu bestimmten Funktionen, darunter die Initialisierungscodes für ausstehende Code-Signing-Bestellungen.
„Der Besitz eines Initialisierungscodes ist in Verbindung mit einer genehmigten Bestellung ausreichend, um das daraus resultierende Zertifikat zu erhalten. Da der Angreifer für eine begrenzte Zahl genehmigter Bestellungen beide Informationen erlangen konnte, war er in der Lage, EV-Code-Signing-Zertifikate über eine Reihe von Kundenkonten und Zertifizierungsstellen hinweg zu beziehen", erklärt DigiCert.
Bis zum 17. April widerrief das Unternehmen 60 mit dem Vorfall verbundene Zertifikate, davon 27 ausdrücklich dem Angreifer zugeordnete. Elf dieser Zertifikate wurden nach Unternehmensangaben von der Community gemeldet und dienten zur Signierung der Schadsoftware-Familie Zhong Stealer.
Bei der Untersuchung fand das Unternehmen nach eigenen Angaben keine Hinweise darauf, dass der Angreifer über die Code-Signing-Initialisierungscodes innerhalb bestimmter Konten hinaus weitere interne Systeme missbraucht hätte. Alle potenziell mit der Aktivität verbundenen Zertifikate seien bis zum 17. April widerrufen und ausstehende Bestellungen storniert worden, um den Zugang der Angreifer zu schließen.
Zusätzlich verschärfte DigiCert seine Sicherheits- und Zugriffskontrollen. Künftig wird für administrative Abläufe eine Mehr-Faktor-Authentifizierung erzwungen, der Zugriff auf Initialisierungscodes durch per Proxy agierende Support-Nutzer unterbunden und die Auswahl der Dateitypen eingeschränkt, die über den Support-Chat und als Anhänge in Salesforce-Fällen übermittelt werden können. Auch die Protokollierung wurde verbessert.