LONDON (IT BOLTWISE) – Der Vorfall bei DigiCert im April 2026 zeigt, wie gefährlich gestohlene Code‑Signing-Zertifikate für Unternehmen werden können: Ein Angreiferkomplex aus dem Umfeld GoldenEyeDog gelangte über kompromittierte Support-Zugänge an EV-Zertifikate und signierte damit eigene Malware. Die Attacke nutzte dazu eine vielstufige Lieferkette mit getarnten Screenshots, Downloadern und schließlich Golden Gh0st RAT samt Plug-ins für Datendiebstahl, Persistenz und Log-Manipulation. Für IT-Security-Teams heißt das vor allem: Vertrauen in Signaturen reicht nicht—Prozesse rund um Zertifikatsmanagement, Monitoring und Incident Response müssen granularer werden.
Im April 2026 wurde der DigiCert-Vorfall nicht nur als klassischer Kompromittierungsfall von Konten beschrieben, sondern als Missbrauch von Vertrauen: Eine als CylindricalCanine geführte Angreifer-Clusterzuordnung soll über eine Untergruppe von GoldenEyeDog an Code‑Signing-Zertifikate gelangt sein. Das Team hinter der Kampagne verwendete die gestohlenen Zertifikate, um Malware zu signieren, wodurch Sicherheits- und Blockmechanismen im Umfeld vieler Organisationen an Wirkung verlieren können. Laut Analyse wurde der Akteur mindestens seit 2015 aktiv und richtet sich dabei wiederholt besonders auf Gaming- und Glücksspielziele—unter anderem über gefälschte Websites, die schädliche Software nachladen.
Technisch zentral ist dabei die Lieferkette. Laut den beschriebenen Details wird Golden Gh0st RAT als modularer Remote Access Trojan eingesetzt, der über einen spezifischen Loader verteilt wird. Der Weg dahin startet oft mit Phishing-E-Mails, in denen ein scheinbarer Screenshot oder eine entsprechende Datei als Link eingebettet ist. Klickt der Empfänger, lädt der Angriff weitere Stufen von einem externen Server nach. Anschließend folgt eine DLL-Side‑Loading-Kette: Ein legitimer Executable wird missbraucht, um eine Rogue‑DLL auszuführen, während parallel ein Köder-PDF eine HTTP‑503‑Fehlermeldung anzeigt. Erst danach wird ein verschlüsselter Payload geladen und der RAT übernimmt.
Wer im Incident-Case das Malware-„Warum“ verstehen will, muss auf die Detailtiefe der Funktionalität schauen. Golden Gh0st RAT bringt demnach Funktionen für Persistenz, Datendiebstahl und ein SOCKS‑Proxy‑Tunneling mit. Zudem sollen Mechanismen zur Unterdrückung von Anzeigeausgaben, Keylogging, Screenshot-Erfassung, Prozessenumeration und das Ausführen von Shell‑Commands zum Einsatz kommen. Für die Tarnung wird außerdem von dem Löschen von Windows‑Event‑Logs berichtet—ein Schritt, der forensische Nachvollziehbarkeit erschwert. Bei der Zielsuche setzt der Schadcode laut den vorliegenden Angaben auf gängige Browser- und Chat-Ökosysteme wie Skype, Chrome, Firefox, sowie verschiedene 360‑Browser und Tencent QQ.
Der DigiCert-Teil der Geschichte liefert zusätzlich einen Markt- und Prozesskontext: Der Angriff führte nicht nur „mal“ zu einer Malware-Infektion, sondern zu einer Zertifikatsausstellung auf Basis kompromittierter Informationen. Berichtet wird, dass ein Angreifer über einen Missbrauch einer Portal-Funktion in die Lage versetzt wurde, Initialisierungscodes für bereits freigegebene, aber noch nicht ausgelieferte EV Code Signing‑Bestellungen zu sehen. Für den Angriff reichte dabei „funktional“ schon die Kombination aus Initialisierungscode und genehmigter Bestellung, um EV‑Zertifikate über mehrere Kundenkonten und CAs zu erlangen. Im Ergebnis wurden 60 Zertifikate aus bestimmten CAs widerrufen, davon 27 explizit im Zusammenhang mit dem Angreifer—mit der Weaponisierung für Signaturartefakte von Zhong Stealer.
Dass Code‑Signing nicht automatisch „sicher“ bedeutet, passt in eine breitere Bedrohungslage. Expel ordnete CylindricalCanine als jüngste Ergänzung zu einer Reihe von Akteuren ein, die Zertifikate missbrauchen—genannt werden unter anderem Black Basta sowie TamperedChef (ebenfalls als EvilAI geführt) und Rhysida. Für die Einordnung ist relevant, dass ähnliche Überschneidungen bereits früher beobachtet wurden: Ein Gh0st‑RAT‑Umfeld wurde in einem Bericht mit einem Gambling‑fokussierten Kampagnenstart seit 2019 in Verbindung gebracht, ein Verhalten wurde 2020 von QiAnXin in einem Kontext adressiert, und ein weiterer Payload‑Überlappungsfall wird 2025 über ANY.RUN mit Zhong Stealer genannt. Marktseitig heißt das: Das Muster lebt, wird aber in der Lieferkette und in den Targeting‑Pfaden angepasst.
Für die Betreiberseite ergibt sich daraus vor allem eine Governance- und Compliance-Frage. Wer EV- und Code‑Signing‑Zertifikate verwaltet, muss Annahmen über „vertrauenswürdige Partnerkonten“ neu bewerten: Schon ein kompromittiertes Support‑Analysten‑Konto mit Proxied‑Zugriff kann theoretisch in Richtung Zertifikatsmissbrauch kippen. DigiCert erklärte daraufhin, einen Code‑Change eingeführt zu haben, der Initialisierungscodes aus Sicht von proxied Nutzern—über UI und API—maskiert. In der Regulatorik ist das im Kern ein Datenschutz- und Sicherheitsproblem: Die Integrität von Signaturen gehört zur Sicherheitsgarantie der Supply‑Chain, und nach NIS2/ähnlichen Anforderungen muss die Wirksamkeit von Zugriffskontrollen und Monitoring nachweisbar sein. Für Security-Teams in Unternehmen steigt damit der Bedarf an gezielter Validierung von Signaturpfaden, Zertifikatslifecycles und Alerting auf unplausible Ausstellungs- oder Widerrufsereignisse.
Wie es weitergeht, zeichnet sich in mehreren Richtungen ab. Erstens wird die Malware‑„Hülle“ durch Plug-ins und einen internen Module‑Dispatcher flexibel bleiben—das erschwert statische Signaturmethoden. Zweitens zeigen die beschriebenen Multi‑Stage‑Loader, dass Angreifer verstärkt auf Installer‑Schleusen setzen (etwa NSIS‑basiert), um legitime Programmnamen zu imitieren. Drittens wird der Fokus auf „Support‑nahe“ Ziele wachsen: Neben klassischen Phishing‑Pfaden wurden Angriffe auf Web3‑Kundensupports per Chat‑Links berichtet. Der wahrscheinlichste nächste Schritt für Defensivmaßnahmen ist eine Kombination aus Verhaltenserkennung, Zertifikats- und Ausstellungsanomalie‑Detection sowie strengeren Trennlinien zwischen Support‑Workflows und kundenbezogenen Ausstellungsprozessen—damit gestohlene Signaturen nicht als Schutzschild dienen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GoldenEyeDog: DigiCert missbraucht, EV-Zertifikate gestohlen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GoldenEyeDog: DigiCert missbraucht, EV-Zertifikate gestohlen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GoldenEyeDog: DigiCert missbraucht, EV-Zertifikate gestohlen« bei Google Deutschland suchen, bei Bing oder Google News!