Китайская группировка GoldenEyeDog атаковала DigiCert для кражи сертификатов подписи кода

Компрометация инфраструктуры одного из крупнейших поставщиков сертификатов подписи кода - DigiCert - стала важным инцидентом для всей отрасли информационной безопасности. Китайская киберпреступная группа GoldenEyeDog (подгруппа, получившая обозначение CylindricalCanine) в апреле 2026 года заразила устройство сотрудника технической поддержки DigiCert. Злоумышленники похитили коды инициализации для сертификатов, предназначенных клиентам компании, а затем использовали эти сертификаты для подписи собственного вредоносного ПО. Атака продемонстрировала высокий уровень технической оснащённости группы и возможности применяемого ей инструментария.

Описание

Группировка GoldenEyeDog действует как минимум с 2015 года и регулярно обновляет своё вредоносное ПО и тактики. С 2024 года исследователи фиксируют активное использование сертификатов подписи кода для обхода механизма SmartScreen в операционной системе Windows. Как показал анализ компании Expel, с 2024 года было выявлено 75 уникальных сертификатов, которыми подписан загрузчик Golden Gh0st Loader. В апреле 2025 года группа начала использовать сертификаты, выпущенные именно DigiCert, причём часть из них была оформлена на компании, ранее уже имевшие валидные сертификаты от этого удостоверяющего центра.

Механизм атаки на DigiCert был следующим: злоумышленники отправили вредоносный файл в систему тикетов технической поддержки. Сотрудник, обработав заявку, запустил файл, что привело к заражению его рабочей станции. Скомпрометированное устройство позволило атакующим перехватить коды инициализации для аппаратных токенов подписи, которые клиенты DigiCert использовали для активации сертификатов. Получив доступ, группа подписывала свои вредоносные исполняемые файлы, эффективно обходя защиту Windows SmartScreen.

Основное вредоносное ПО, применяемое CylindricalCanine, - это модифицированная версия известного со времён 2008 года трояна удалённого доступа Gh0st RAT. Исследователи назвали его Golden Gh0st RAT. Загрузчик первого этапа (Golden Gh0st Loader) распространяется через фишинговые письма, в которых файлы маскируются под скриншоты. Письма часто попадают напрямую в службу поддержки организации благодаря системам тикетов. При открытии вложения запускается легитимный исполняемый файл, который подгружает вредоносную библиотеку DLL через технику DLL-подгрузки (sideloading). Эта библиотека расшифровывает и запускает в памяти конечную полезную нагрузку.

Golden Gh0st RAT поддерживает широкий набор модулей: кейлоггер, скрытие экрана жертвы, сбор учётных данных из браузеров Chrome, Firefox, 360 Secure Browser и других, а также приложений Skype и Tencent QQ. Вредонос умеет убивать процессы, очищать журналы событий Windows, выполнять команды в оболочке, открывать URL в скрытом окне, создавать обратный RDP-доступ и обеспечивать закрепление в системе через планировщик задач и службы.

Сетевое взаимодействие происходит через WebSocket-соединение без шифрования TLS, но сами данные внутри фрейма шифруются с использованием жёстко прописанных в вредоносе ключей. Эксперты Expel создали инструмент, позволяющий расшифровывать трафик между заражённой машиной и командно-контрольным сервером. В ходе мониторинга в контролируемой среде они смогли извлечь извлечь извлечь файловые списки, скриншоты, а также плагин plugin32.dll, который добавляет закрепление через создание скрытой учётной записи администратора и автоматический вход в систему.

Целями атак GoldenEyeDog выступают преимущественно финансовые организации в Азиатско-Тихоокеанском регионе. Однако инцидент с DigiCert демонстрирует, что группы могут нацеливаться и на инфраструктурных поставщиков, чтобы расширить возможности атак на конечных клиентов. Использование похищенных сертификатов подписи кода позволяет вредоносу беспрепятственно запускаться на системах с включённым SmartScreen, что существенно снижает порог обнаружения.

Тенденция, когда киберпреступные группы достигают уровня сложности, ранее приписываемого только государственным APT-группировкам, отмечается многими экспертами. GoldenEyeDog применяет уязвимости различных степеней критичности и модульные цепочки атак, что требует от защитников более глубокого анализа угроз и внедрения механизмов мониторинга подозрительных сертификатов и поведенческих аномалий на конечных точках.