如何看待微软承认签名了恶意驱动程序"Netfilter"？

微软最近承认，他们“签名”了一个名为“Netfilter”的恶意驱动程序。这件事情确实引起了广泛的关注，也暴露了一些我们一直以来在安全领域担忧的问题。为了更深入地理解这件事，我们得一层层剥开来看。

首先，我们要明白“签名”在Windows操作系统中的意义。简单来说，微软的数字签名就像是一个“安全通行证”。当一个软件或驱动程序带有微软的签名时，Windows就会认为它是经过微软验证的、可信赖的来源。这是一种安全机制，旨在防止恶意软件在用户不知情的情况下侵入系统，特别是内核层级的恶意软件。内核层级的东西一旦出问题，那影响可就大了，因为它直接控制着整个操作系统的运行。

那么，“Netfilter”这个恶意驱动程序是什么来头？从目前的信息来看，它被描述为一个“Rootkit”，这是一种非常阴险的恶意软件。Rootkit 的主要特点是它能够隐藏自身以及其他恶意程序的存在，使得传统的安全软件难以检测和清除。它之所以能做到这一点，是因为它通常会潜伏在操作系统的核心（内核）层面，篡改系统的工作方式，让检测工具“看不见”它。

这次事件的蹊跷之处在于，这个恶意驱动程序竟然获得了微软的签名。这就像是有人伪造了官方的身份证明，然后通过了安检。这就带来了一个非常关键的问题：微软的签名机制出了什么问题？

我们可以从几个角度来分析：

微软的签名流程是否足够严格？ 微软有一套针对驱动程序开发者的认证和签名流程，旨在确保提交的驱动程序是安全的。但这次事件表明，这个流程可能存在漏洞，或者说，恶意行为者找到了绕过这些验证的方法。是不是有人利用了供应链的某个环节？是不是有内部人员的疏忽，甚至是被收买？这些都是需要深挖的问题。
签名证书的安全性。 微软自身的签名证书体系是否受到了威胁？如果用于签署驱动程序的证书被盗用或泄露，那么恶意软件就能“披着羊皮”进入系统。虽然微软通常会对签名证书进行严格管理，但历史证明，任何安全系统都不是绝对的。
“Netfilter”是如何绕过审查的？ 恶意软件开发者总是想方设法隐藏自己的真实意图。Netfilter 可能在提交签名时并没有表现出其恶意特性，而是在后续的更新中或者在特定条件下才激活其恶意功能。这种“潜伏式”的攻击方式，使得最初的签名审核很难发现问题。

那么，这件事情的潜在影响是什么？

信任危机。 微软的签名是用户信任的重要基石。当用户看到一个微软签名的驱动程序时，他们会认为它是安全的，可以放心地运行。这次事件无疑会动摇这种信任。用户可能会开始怀疑，其他微软签名的软件或驱动程序是否也隐藏着风险。
安全风险。 恶意驱动程序一旦进入系统，尤其是Rootkit，其破坏力是巨大的。它可以窃取敏感信息（如密码、个人数据）、监视用户活动、甚至完全控制系统。由于它在内核层面运行，修复起来也会非常困难，可能需要重装系统。
供应链攻击的警示。 这次事件也可能是对更广泛供应链攻击的一种警示。如果一个大型、受信任的软件供应商（如微软）的签名都能被利用，那么其他更小的供应商或开源项目可能面临更大的风险。恶意行为者可以通过攻击软件开发流程的任何一个环节，将恶意代码植入到最终产品中。

从微软的角度来看，他们可能在做什么？

调查。 微软肯定会启动内部调查，找出签名流程中的漏洞，以及Netfilter是如何获得签名的。这可能涉及技术分析、人员审查等多个方面。
撤销签名。 微软已经采取了行动，撤销了对Netfilter的签名，这意味着Windows会拒绝加载这个驱动程序，并将其标记为不安全。
改进安全措施。 鉴于此次事件，微软很可能会加强其驱动程序签名和审核流程，增加更多的检测手段，提升对可疑行为的警惕性。这可能包括更严格的白名单机制、更深入的代码扫描、甚至引入更先进的AI辅助安全分析。
与安全社区合作。 微软也可能会与全球的安全研究人员和厂商合作，共同分析Netfilter的威胁，并分享相关信息，以帮助整个安全生态系统应对类似威胁。

我们普通用户能做什么？

保持警惕。 即使是微软签名的软件，也要对异常行为保持警惕。如果某个软件突然表现异常，或者出现你没安装过的驱动程序，就要留心了。
及时更新系统和安全软件。 微软和安全厂商会不断发布安全补丁和更新来修复漏洞。保持系统和安全软件的最新状态，是抵御恶意软件的重要手段。
谨慎安装第三方驱动程序。 尽量从硬件制造商的官方网站下载驱动程序，并仔细核对信息。
启用更高级的安全设置。 例如，在Windows中，可以考虑启用“内存完整性”等功能，这些功能可以帮助阻止恶意驱动程序加载。

总而言之，微软承认签名Netfilter恶意驱动程序这件事情，绝非小事。它暴露了在复杂数字安全环境中，即使是像微软这样强大的公司，也可能面临被利用的风险。这迫使我们重新审视当前的软件安全验证机制，并提醒我们，在数字世界中，信任需要被不断地审视和验证，而安全防线也需要不断地加固和升级。这起事件的后续影响，以及微软将如何吸取教训并改进，值得我们持续关注。

6月30日更新：两天前我的猜测“多半是哪家半吊子水平的游戏公司，拿rootkit做反盗版反作弊”略有偏差。根据微软最新的调查报告，Netfliter目的是帮助玩家隐藏真实IP地址，可以畅玩外服。额，这算是广告吗？

The actor’s activity is limited to the gaming sector, specifically in China, and does not appear to target enterprise environments. We are not attributing this to a nation-state actor at this time. The actor’s goal is to use the driver to spoof their geo-location to cheat the system and play from anywhere. The malware enables them to gain an advantage in games and possibly exploit other players by compromising their accounts through common tools like keyloggers.

---

我猜多半是哪家半吊子水平的游戏公司，拿rootkit做反盗版反作弊。以前也有过这样的事，最出名的是索尼。只是不知道为什么，这次居然能混过微软审查。

上面那个说微软偷数据，还传回美国的，你认真看报道了吗？数据传回到的IP地址属于Ningbo Zhuo Zhi Innovation Network Technology Co 公司地址在浙江大学国家大学科技园宁波分园。