Code-Signing

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

นักวิจัย G Data Software พบว่าผู้โจมตีซ่อนโค้ดอันตรายไว้ในส่วนแตกไฟล์ของตัวติดตั้งแบบ 7-Zip self-extracting โดยดัดแปลงโค้ดโอเพนซอร์สและแทรกการเรียก loader ก่อนแถบความคืบหน้าเริ่มทำงาน ตัวอย่างจัดอยู่ในตระกูล OpenSUpdater ที่ ESET เรียกชื่อนี้ ส่วน Microsoft เรียก Snackarcin ผู้โจมตีฝังตัวติดตั้ง foobar2000 ของจริงเพื่อให้แพ็กเกจดูน่าเชื่อถือ พร้อมใบรับรองที่มี padding ผิดปกติ งานวิจัยยังไม่ระบุจำนวนการติดเชื้อหรือแคมเปญการแพร่กระจาย

บริษัท Expel ระบุว่าเหตุเจาะระบบ DigiCert เมื่อเดือนเมษายน 2569 เป็นฝีมือคลัสเตอร์ CylindricalCanine ซึ่งเป็นกลุ่มย่อยของ GoldenEyeDog กลุ่มอาชญากรไซเบอร์จีน ผู้โจมตีส่งไฟล์ ZIP ปลอมเป็นภาพหน้าจอผ่านช่องแชตสนับสนุนลูกค้าจนยึดเครื่องเจ้าหน้าที่ได้ แล้วใช้ฟังก์ชันในพอร์ทัลภายในเข้าถึงรหัสเริ่มต้นของคำสั่งซื้อใบรับรอง EV Code Signing DigiCert เพิกถอนใบรับรอง 60 ใบ โดย 27 ใบเชื่อมโยงผู้โจมตีที่นำไปเซ็นมัลแวร์ Zhong Stealer

นาย Jacob Ginesin นักวิจัยจาก Carnegie Mellon และ Cure53 เผยงานวิจัยว่าแฮชของ Git commit ที่เซ็นชื่อแล้วไม่ได้ไม่ซ้ำใครอย่างที่หลายระบบเข้าใจ ผู้ที่ไม่มีคีย์เซ็นสามารถสร้าง commit ใหม่ที่มีไฟล์ ผู้เขียน และวันที่เหมือนเดิมพร้อมลายเซ็นถูกต้อง โดย GitHub ยังขึ้นตรา Verified แต่แฮชต่างออกไป ต้นตอคือ signature malleability ที่เขียนลายเซ็นใหม่ได้หลายรูปแบบโดยโค้ดไม่เปลี่ยน กระทบระบบ blocklist, provenance log และ reproducible build ที่ยึดแฮช ไม่มี CVE และการแก้ต้องทำที่ฝั่ง forge