Nhóm GoldenEyeDog liên quan sự cố DigiCert và đánh cắp chứng chỉ ký mã
"Researchers attributed the April 2026 DigiCert incident to a GoldenEyeDog sub-group dubbed CylindricalCanine, which used phishing and a malicious support-channel payload to access DigiCert systems and steal code-signing certificates. DigiCert revoked 60 certificates after attackers abused initialization codes in its support portal; the stolen certificates were used to sign malware, including Zhong Stealer and Golden Gh0st RAT, and the company later masked initialization codes in its UI and API."
Sự cố cho thấy rủi ro nghiêm trọng khi initialization codes trong cổng hỗ trợ bị lộ, dẫn đến việc kẻ tấn công có thể ký mã độc bằng chứng chỉ hợp lệ. Tác động trọng yếu gồm: thu hồi 60 chứng chỉ, lạm dụng để phát tán Zhong Stealer và Golden Gh0st RAT.
Ngoài thiệt hại kỹ thuật, việc chứng chỉ bị lạm dụng có thể làm suy giảm niềm tin vào chuỗi cung ứng phần mềm và tăng chi phí xử lý sự cố. Các điểm cần chú ý: thu hồi chứng chỉ theo nhiều CA, và yêu cầu khách hàng rà soát lại các bản phân phối đã được ký trong giai đoạn bị ảnh hưởng.
Các nhà nghiên cứu cho biết sự cố bảo mật của DigiCert vào tháng 4/2026 có thể liên quan đến một cụm hoạt động thuộc GoldenEyeDog, được gọi là CylindricalCanine. Theo phân tích được công bố, nhóm này dùng kỹ thuật phishing và tải trọng độc hại thông qua kênh hỗ trợ để xâm nhập hệ thống của DigiCert và đánh cắp chứng chỉ code-signing nhằm phục vụ ký mã độc, tránh bị phát hiện.
Cụ thể, CylindricalCanine được mô tả là sử dụng biến thể *Gh0st RAT (Golden Gh0st RAT) kèm cơ chế phân phối nhiều giai đoạn. Chuỗi tấn công có dấu hiệu DLL side-loading, đồng thời hiển thị tài liệu giả (decoy) báo lỗi HTTP 503. Golden Gh0st RAT được cho là có khả năng thiết lập persistence, đánh cắp dữ liệu, tạo SOCKS proxy, ghi phím, chụp màn hình và xóa *Windows Event Logs.
Về phía DigiCert, tổ chức này cho biết đã thu hồi 60 chứng chỉ bị lấy trái phép từ cổng hỗ trợ nội bộ sau khi kẻ tấn công chiếm quyền hai máy trạm của nhân viên hỗ trợ bằng payload được gửi qua kênh chat khách hàng. Việc lạm dụng initialization codes cho phép nhận chứng chỉ EV code signing cho một tập tài khoản. DigiCert sau đó đã triển khai thay đổi để che initialization codes trên cả UI và API.