💀 GoldenEyeDog проникла в DigiCert через чат поддержки и украла EV-сертификаты В апреле 2026 года подгруппа CylindricalCanine (часть китайской GoldenEyeDog) заразила две рабочие станции аналитиков поддержки DigiCert. Атакующие отправили в клиентский чат ZIP-архив под видом скриншота — внутри оказался .scr-файл с Golden Gh0st RAT. После закрепления они использовали функцию портала, позволяющую аналитику видеть учётную запись клиента «глазами заказчика», чтобы извлечь коды инициализации для одобренных, но ещё не выданных EV Code Signing-сертификатов. Обладания этим кодом при уже утверждённом заказе хватило, чтобы получить 60 сертификатов, 27 из которых немедленно пошли на подпись вредоносного Zhong Stealer. DigiCert отозвала все скомпрометированные сертификаты и внедрила маскирование кодов инициализации в интерфейсе поддержки — в исходной модели угроз сценарий компрометации учётной записи аналитика просто не рассматривался. Загрузчик доставлял цепочку загрузки DLL: легитимный исполняемый файл подтягивал вредоносную DLL, расшифровывавшую финальную полезную нагрузку. Golden Gh0st RAT — модульный RAT на базе Gh0st RAT, активный с 2015 года. Среди его функций: кейлоггинг, снятие скриншотов, SOCKS-прокси, очистка Windows Event Logs и сбор данных из браузеров Chrome, Firefox, 360 Secure Browser, а также клиента Skype. Те же техники доставки через фишинговые скриншоты и поддельные установщики Chrome/Teams исследователи фиксировали ещё в ноябре 2025 года, а схожий Zhong Stealer — в феврале 2025-го, согласно данным The Hacker News и Expel. Компрометация произошла не через PKI, а через самое доверенное звено — сотрудника первой линии с доступом к чувствительным артефактам выдачи. Это меняет взгляд на защиту центров сертификации: недостаточно контролировать криптографию, если атакующий может просто прочитать код инициализации с экрана через функцию прокси. Как много других вендоров и внутренних CA до сих пор отдают предварительно выданные токены через тикет-системы без маскирования? #GoldenEyeDog #CodeSigning #DigiCert #Gh0stRAT #EVcert