文章总结： 中文黑产通过社工攻击攻破DigiCert客服系统，利用代理视角功能漏洞窃取60张EV代码签名证书，首次实现基础设施级信任攻击。攻击者使用签名恶意软件绕过安全机制，影响全球软件生态。建议实施零信任架构，隔离初始化码与签发流程，强制EDR巡检，升级证书信誉校验，并加强内部支撑系统安全基线。 综合评分： 92 文章分类： 漏洞分析,安全大事件,供应链安全,威胁情报,应急响应

---

代码签名证书被盗：中文黑产如何攻破全球最大证书机构

原创

兰陵笑笑僧 兰陵笑笑僧

兰陵笑笑僧

2026年9月7日 12:06 广西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

图：封面 — 代码签名证书被盗：中文黑产如何攻破全球最大证书机构

2026年4月，一个伪装成客户截图的ZIP文件，通过DigiCert客服聊天渠道传入。前四次被拦截，第五次成功。十天后，60张EV代码签名证书落入攻击者手中。

这不是故事会。这是中文黑产首次「基础设施级信任攻击」的真实记录。

📌 本文看点

01

事件还原：10天无感窗口

02

技术拆解：证书被盗之后

03

防御启示：零信任CA系统

01

THE INCIDENT

事件还原：一张截图背后的10天盲区

2026年4月2日，DigiCert的客服聊天系统里来了一个新客户。

对方自称遇到了证书问题，需要技术支持。按照标准流程，客服人员通过内部系统查看客户账户——一个合法的「代理视角」功能，让分析师能站在客户立场排查问题。

但这次，「客户」发来的不是截图。

是一个ZIP压缩包，伪装成客户提供的证明材料。包里藏着一个.scr文件——Windows屏幕保护程序，但本质是可执行文件。这是社工攻击的老套路，但效果依然惊人。

前四次投递，DigiCert部署的CrowdStrike EDR全部拦截。第五次，成功了。

ENDPOINT1沦陷。

但讽刺的是，DigiCert的Trust Operations团队在第二天就检测并隔离了这台机器。他们以为事情结束了。

实际上，攻击者还有第二张牌。

4月4日，同一个投递向量，另一个分析师的工作站ENDPOINT2也被感染。而这次，CrowdStrike传感器 malfunction——部署错误导致该终端完全没有防护。

从4月4日到4月14日，整整10天，攻击者在DigiCert内部系统中畅通无阻。

他们做了什么？

访问了客户支持门户的「代理视角」功能。这个功能暴露了一个关键信息：EV代码签名证书的初始化码。

在证书颁发流程中，客户提交订单并通过验证后，订单进入「已批准但未交付」状态。此时系统会生成一个初始化码。持有这个码，结合已批准订单，就足以激活有效证书。

简单来说：初始化码 + 已批准订单 = 可以直接激活有效证书。

这相当于什么？

你走进银行，柜员帮你查账户余额。正常流程到此结束。但这个系统的bug在于——柜员的查询界面，同时也显示了「提款密码」。

攻击者用这10天，从多个客户账户中收集了足够多的初始化码。然后在4月14日到17日之间，通过7个IP地址完成证书安装。

— 攻击时间线：从首次入侵到证书撤销的关键节点

DigiCert撤销了60张EV代码签名证书，涉及4家CA：

affected CAs

DigiCert Trusted G4 Code Signing RSA4096 SHA256 2021 CA1主根

DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1次级根

GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1GoGetSSL分支

Verokey High Assurance Secure Code EVVerokey品牌

其中27张被明确关联到攻击者（11张来自社区报告，16张来自内部调查）。另外33张是预防性撤销。

核心事实：这不是利用漏洞，而是滥用内部工具的设计缺陷。

‌

02

TECHNICAL BREAKDOWN

技术拆解：证书被盗之后发生了什么

拿到证书只是第一步。怎么用，才是真正的考验。

Zhong Stealer：被签名的木马

DigiCert事件的直接产出是Zhong Stealer——一个信息窃取型恶意软件，之前就被ANY.RUN在2025年2月记录过，与加密货币盗窃活动有关。

攻击者用窃取的EV证书对Zhong Stealer的payload进行数字签名。这意味着什么？

Windows SmartScreen、企业EDR策略、应用白名单——这些原本用来区分「可信软件」和「恶意软件」的机制，面对一张合法CA签发的EV证书时，会自动降低警惕。

这就是为什么「签名」在现代攻击链中比「漏洞利用」更有价值。

Golden Gh0st RAT：2008年的开源项目，2026年的武器

Zhong Stealer的幕后执行者是Golden Gh0st RAT——Gh0st RAT（2008年开源的远程控制木马）的改写版本。

Expel归因这个子集群为CylindricalCanine，是金眼狗（GoldenEyeDog）的一个子集群。

关键技术特征

75+

独立签名证书

(2024-26)

1,770

全球已知恶意签名证书

4家

受影响CA跨域

RoninLoader内核免杀链

RoninLoader（Elastic Security Labs 2025年11月命名）展示了更复杂的免杀能力：

technique chain

签名驱动 ollama.sys (Kunming Wuqi, EV cert)

  → IOCTL 0x222000 → ZwTerminateProcess → 绕过PPL

自定义WDAC拒绝策略 → 屏蔽360rp.exe / 360sd.exe

ClipUp.exe -ppl滥用 + 目录Junction C:\ProgramData\roming

  → 破坏MsMpEng.exe（Windows Defender）

线程池注入: NtCreateSection + NtMapViewOfSection

  → 比CreateRemoteThread更隐蔽

Golden Gh0st RAT的核心技术特征：

加密算法：每个字节 byte + 0x77 → XOR 0x62；C2通信走非TLS WebSocket端口5188/5198；plugin32.dll硬编码凭据创建Admin账户+Winlogon自动登录。

— 攻击链四阶段：从社工突破到恶意软件分发

‌

03

BROADER CONTEXT

更大背景：CA信任基础设施的攻击潮

DigiCert事件不是孤例。它是2024–2026年代码签名证书滥用危机的组成部分。

攻击路径的演进

— CA信任基础设施攻击潮对比：从「购买假证书」到「攻破CA内部系统」

趋势总结：攻击路径从「购买假证书」演进到「直接攻破CA内部系统」。攻击面从「证书申请层」转移到「证书管理支撑层」。

归属关系的多重命名

| 追踪命名 | 来源 | 含义 | | — | — | — | | GoldenEyeDog | QiAnXin通用名 | 母集群总称 | | APT-Q-27 | QiAnXin内部编号 | 威胁雷达跟踪ID | | CylindricalCanine | Expel内部名 | 负责DigiCert事件的子集群 |

Expel明确将DigiCert事件归因于CylindricalCanine子集群（非整个GoldenEyeDog），暗示金眼狗内部存在运营专业化分工——不同子集群负责不同任务链。

‌

04

STRATEGIC SHIFT

为什么意义远超银狐

银狐（SilverFox）的核心危害：在用户侧投放恶意软件，窃取自定义钱包凭据，攻击面是终端用户。

金眼狗DigiCert事件的核心危害：攻入证书颁发机构内部支撑系统，窃取信任链最高层级的签发能力，攻击面是整个软件生态的信任根基。

两者差距不在技术复杂度，而在战略维度。

银狐攻击的是「人」——一次只感染一个受害者。

DigiCert攻击的是「信任」——一张stolen cert可签署任意数量的恶意文件，影响无限扩展。

「这是中文黑产首次完成「基础设施级信任攻击」——从针对终端用户升级为针对整个软件信任链。」

更值得警惕的是时间线：

2025年9月

Vanilla Tempest开始滥用多家CA签署恶意安装包

2026年4月

金眼狗直接攻破DigiCert内部支撑系统

2026年7月

Expel发布归因报告，将DigiCert事件明确关联到CylindricalCanine

从「绕信任」到「破信任」，只用了9个月。

‌

05

DEFENSE INSIGHTS

防御启示：零信任CA支撑系统

初始化码必须与签发流程物理隔离

DigiCert事件中最大的设计缺陷：初始化码通过「代理视角」功能暴露给客服分析师。解决方案：初始化码绝不应出现在任何支持人员可见的界面。证书签发流程应使用独立的审批系统，与客服工单系统完全隔离。

EDR传感器状态必须作为安全基线强制检查

ENDPOINT2的10天无感窗口，根源是CrowdStrike部署错误未被发现。解决方案：EDR覆盖状态必须作为IT资产基线的一部分，定期自动巡检。不支持EDR的终端不允许接入内部系统（含客服系统）。

客服通道文件接收需零信任策略

.scr伪装成截图、ZIP伪装成文档，是社工攻击的标配。解决方案：客服系统禁止接收可执行文件格式。ZIP文件必须经过沙箱扫描后再交付分析师。文件名/类型与实际内容不符时，触发二次确认。

代码签名证书验证需升级为证书信誉校验

仅检查签名有效性已不足。攻击者可以使用合法证书签名恶意软件。解决方案：结合Cert Graveyard类黑名单做威胁驱动应用控制（TDAC）。企业环境部署应用白名单，仅允许已知可信证书签署的软件执行。

CA内部支撑系统实施零信任隔离

「代理视角」功能是legitimate support tool，但同时也是 privilege escalation vector。解决方案：CA内部所有高权限操作必须实施MFA + JIT访问。客服系统与证书签发系统网络隔离。所有客服会话记录留痕，异常行为实时告警。

💡 核心结论：信任链的强度，永远等于其最脆弱环节的实力。

‌

∞

THE END

结语：信任是最脆弱的边界

DigiCert事件揭示了一个残酷的事实：

「在信任基础设施层面，攻击者不需要找到0day，只需要找到一个「合理的便利」。」

DigiCert的「代理视角」功能是legitimately designed for support efficiency——但它同时也是 privilege escalation vector。

同样的模式出现在：

路由器的Web管理界面（Fire Ant攻击目标）

云控制台的支持工单系统（本次DigiCert攻击路径）

代码签名证书的申请/审批流程（初始化码暴露）

攻击面泛化的共同特征是：不再直接攻击最终目标，而是攻击目标背后的信任链和支撑层。

这对防御侧的启示是：

边缘设备（路由器、认证服务器、管理平面）的安全基线不应低于核心服务器。

内部支撑工具（客服系统、工单系统、审批流程）的安全基线不应低于生产系统。

信任链的强度，永远等于其最脆弱环节的实力。

而中文黑产，正在证明他们有能力攻击那个最脆弱的环节。

END

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：兰陵笑笑僧 兰陵笑笑僧 兰陵笑笑僧《代码签名证书被盗：中文黑产如何攻破全球最大证书机构》