Cách Sao chép Chứng chỉ số từ App này sang App khác

Vậy chữ ký số xác thực (authenticode digital signature) hay chứng chí số là gì? Nói một cách đơn giản, đó là một cách để xác định nhà xuất bản phần mềm. Nhà xuất bản phần mềm ký vào driver  hoặc driver package, gắn thẻ cho nó bằng chứng chỉ số để xác minh danh tính của nhà xuất bản. Với chữ ký nhúng (embedded signatures), chữ ký điện tử được nhúng vào trong phần không được thực thi của file driver. Điều này có nghĩa là việc ký mã xác thực không làm thay đổi phần thực thi của driver.
Công nghệ Authenticode là hình thức ký mã được Microsoft triển khai. Mã xác thực (Authenticode) không phải là cách duy nhất để ký vào driver (trình điều khiển). Bộ chứng nhận phần cứng Windows có các danh mục kiểm tra cho các loại thiết bị khác nhau. Nếu loại thiết bị có danh mục thử nghiệm, nhà xuất bản có thể sử dụng chữ ký phát hành WHQL cho driver package. Chữ ký phát hành WHQL bao gồm tệp danh mục được ký. Nếu không có chương trình thử nghiệm, thì nhà xuất bản có thể ký driver bằng Authenticode.
Có hai cách bạn có thể sử dụng để kiểm tra hoặc xác minh chứng chỉ.

2 cách kiểm tra chứng chỉ số

Cách đầu tiên

Đầu tiên là lệnh Get-AuthenticodeSignature trên PowerShell. Nó chỉ đơn giản là lấy chữ ký mã xác thực. Mình sẽ sử dụng VS Code làm ví dụ.

PS C:\Users\User > Get-AuthenticodeSignature "C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe"

    Directory: C:\Users\User\AppData\Local\Programs\Microsoft VS Code

SignerCertificate                         Status                                Path
-----------------                         ------                                ----
8740DF4ACB749640AD318E4BE842F72EC651AD80  Valid                                 Code.exe

Bạn có thể chuyển đầu ra sang Format-List.
Mẹo nhanh về PowerShell:
Có rất nhiều thông tin nhưng bạn cần chỉ quan tâm đến các thuộc tính SignerCertificate và Status. Bạn có thể thêm tham số -Property sau Format-List và chỉ định thuộc tính nào bạn muốn.

PS C:\Users\User > Get-AuthenticodeSignature "C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe" | Format-List

SignerCertificate      : [Subject]
                           CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                         [Issuer]
                           CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                         [Serial Number]
                           33000002528B33AAF895F339DB000000000252

                         [Not Before]
                           9/2/2021 11:32:59 AM

                         [Not After]
                           9/1/2022 11:32:59 AM

                         [Thumbprint]
                           8740DF4ACB749640AD318E4BE842F72EC651AD80

TimeStamperCertificate : [Subject]
                           CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:D082-4BFD-EEBA, OU=Microsoft Ireland
                         Operations Limited, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                         [Issuer]
                           CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                         [Serial Number]
                           330000018FF351A8EB5A72DDCC00010000018F

                         [Not Before]
                           10/28/2021 12:27:46 PM

                         [Not After]
                           1/26/2023 11:27:46 AM

                         [Thumbprint]
                           3E4D2F820476E748070746A02695D1605B419A6A

Status                 : Valid
StatusMessage          : Signature verified.
Path                   : C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe
SignatureType          : Authenticode
IsOSBinary             : False

PS C:\Users\User > Get-AuthenticodeSignature "C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe" | Format-List -Property Status, SignerCertificate

Status            : Valid
SignerCertificate : [Subject]
                      CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                    [Issuer]
                      CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

                    [Serial Number]
                      33000002528B33AAF895F339DB000000000252

                    [Not Before]
                      9/2/2021 11:32:59 AM

                    [Not After]
                      9/1/2022 11:32:59 AM

                    [Thumbprint]
                      8740DF4ACB749640AD318E4BE842F72EC651AD80

Nếu bạn thích GUI hơn, thì bạn có thể xem vàp thuộc tính tệp và xem chứng chỉ ở đó.

Cách thứ hai

Công cụ thứ hai là SignTool từ Windows SDK. Không giống như Get-AuthenticodeSignature, SignTool có thể xác minh chứng chỉ của tệp bằng cách kiểm tra chính sách driver Windows (mặc định) hoặc Chính sách xác thực mặc định. SignTool yêu cầu SDK Windows, vì vậy bạn cần cài SDK đó trước.
https://developer.microsoft.com/en-us/windows/downloads/windows-sdk/

Tuỳ chọn /pa sử dụng Chính sách xác thực mặc định. Nếu nó không được sử dụng, SignTool sẽ mặc định sử dụng chính sách driver Windows để xác minh nhưng có thể xảy ra lỗi nếu chữ ký sử dụng chứng chỉ số, như tệp dưới đây.

Không có /pa

PS C:\Users\User > & "C:\Program Files (x86)\Windows Kits\10\bin\10.0.19041.0\x64\signtool.exe" verify "C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe"
File: C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe
Index  Algorithm  Timestamp
========================================
SignTool Error: A certificate chain processed, but terminated in a root
        certificate which is not trusted by the trust provider.

Number of errors: 1

Có /pa

PS C:\Users\User > & "C:\Program Files (x86)\Windows Kits\10\bin\10.0.19041.0\x64\signtool.exe" verify /pa "C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe"
File: C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe
Index  Algorithm  Timestamp
========================================
0      sha256     RFC3161

Successfully verified: C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe

Copy chứng chỉ số từ app này sang app khác

Sử dụng SigThief

Bản thân công cụ này rất đơn giản. Lấy chữ ký từ một tệp và thêm nó vào một tệp khác. Có các tùy chọn khác như trích xuất chữ ký và lưu nó để sử dụng cho sau này, có thể áp dụng cùng một chữ ký vào nhiều tệp.

Trong ví dụ này, mình sẽ chỉ cho bạn cách lấy chứng chỉ từ VS Code và sao chép vào Mimikatz. Mimikatz ban đầu chưa được ký chứng chỉ số, vì vậy để nó không bị phát hiện, thì bạn nên cấy chứng chỉ.

PS C:\Users\User > Get-AuthenticodeSignature "C:\Users\User\Downloads\mimikatz_trunk\x64\mimikatz.exe"

    Directory: C:\Users\User\Downloads\mimikatz_trunk\x64

SignerCertificate                         Status                            Path
-----------------                         ------                            ----
                                          NotSigned                         mimikatz.exe

PS C:\Tools\SigThief > python .\sigthief.py -i "C:\Users\User\AppData\Local\Programs\Microsoft VS Code\Code.exe" -t "C:\Users\User\Downloads\mimikatz_trunk\x64\mimikatz.exe" -o mimicode.exe

!! New Version available now for Dev Tier Sponsors! Sponsor here: https://github.com/sponsors/secretsquirrel

Output file: mimicode.exe
Signature appended.
FIN.

PS C:\Tools\SigThief > .\mimicode.exe                                                                                                                                                                                                               ...#####.   mimikatz 2.2.0 (x64) #19041 Sep 19 2022 17:44:08                                                             ..## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)                                                                               .## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( [email protected] )
 ## \ / ##       > https://blog.gentilkiwi.com/mimikatz
 '## v ##'       Vincent LE TOUX             ( [email protected] )
  '#####'        > https://pingcastle.com / https://mysmartlogon.com ***/

mimikatz # exit
Bye!

PS C:\Tools\SigThief > Get-AuthenticodeSignature .\mimicode.exe

    Directory: C:\Tools\SigThief

SignerCertificate                         Status                            Path
-----------------                         ------                            ----
8740DF4ACB749640AD318E4BE842F72EC651AD80  HashMismatch                      mimicode.exe

Chứng chỉ code.exe đã được sao chép sang mimikatz.exe và một tệp nhị phân mới đã được tạo.
Bây giờ tệp này có thể được tải lên VT, hoặc thử nghiệm với AV trên hệ thống của riêng bạn,… Mục tiêu là để xem AV có quét được tệp thực thi độc hại khi nó có chữ ký từ một bên đáng tin cậy hay không.