T1588.003: 代码签名证书

摘要

攻击者可能购买和/或窃取可在目标定位期间使用的代码签名证书。代码签名是对可执行文件和脚本进行数字签名的过程，以确认软件作者并保证代码未被更改或损坏。代码签名为程序提供了一定程度的来自开发者的真实性，并保证程序未被篡改。(Citation: Wikipedia Code Signing) 用户和/或安全工具可能比未签名的代码更信任已签名的代码，即使他们不知道证书的颁发者或作者是谁。 在[代码签名](https://attack.mitre.org/techniques/T1553/002)之前，攻击者可能购买或窃取用于操作的代码签名证书。代码签名证书的购买可能使用幌子公司，或使用从先前被攻陷实体窃取的信息，使攻击者能够以该实体身份向证书提供商验证。攻击者还可能直接从被攻陷的第三方窃取代码签名材料。