Microsoft Defender rileva malware, ma sono certificati

Microsoft Defender ha individuato e rimosso un malware a fine aprile. Si è trattato però di un clamoroso falso positivo, in quanto la presunta infezione era dovuta a due certificati root legittimi emessi da DigiCert. Il bug, corretto dall’azienda di Redmond, era correlato ad un data breach avvenuto a metà aprile.

Microsoft ha bloccato i certificati sbagliati

Diversi utenti e ricercatori di sicurezza hanno segnalato ieri sera la rimozione da Windows 11 di due certificati root emessi da DigiCert (0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43 e DDFB16CD4931C973A2037D3FC83A4D7D775D05E4). Microsoft Defender ha rilevato il malware Trojan:Win32/Cerdigent.A!dha, in seguito all’aggiornamento distribuito il 30 aprile.

Si tratta però di falsi positivi, quindi il computer non è stato infettato. Il bug è stato risolto dall’azienda di Redmond con l’aggiornamento 1.449.430.0. La versione più recente è 1.449.441.0. Con il fix sono stati ripristinati i certificati rimossi per errore. È possibile verificare la loro presenza nella chiave di registro KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\.

Microsoft ha confermato i falsi positivi:

A seguito delle segnalazioni di certificati compromessi, Microsoft Defender ha immediatamente aggiunto il rilevamento del malware al nostro software antivirus per contribuire a proteggere i clienti. In mattinata abbiamo stabilito che alcuni falsi positivi venivano attivati ​​per errore e abbiamo aggiornato la logica di avviso.

Quanto accaduto è correlato al data breach confermato da DigiCert a metà aprile. Ignoti cybercriminali hanno contattato il team di supporto clienti e inviato un archivio ZIP affermando che conteneva uno screenshot. Invece era presente un file SCR che ha installato il malware sfruttato per rubare i codici di inizializzazione di 60 certificati.

I cybercriminali hanno usato 27 certificati per firmare il malware Zhong Stealer che, a differenza del nome, è un RAT (Remote Access Trojan). DigiCert ha revocato tutti i certificati, quindi il malware non viene più considerato un file legittimo. Microsoft aveva però rimosso i certificati sbagliati.