Ein Zertifikat bestätigt die Echtheit einer Webseite und ermöglicht eine verschlüsselte Verbindung zu dieser Site. Auch Programme können durch ein Zertifikat als echt, also von einem vertrauenswürdigen Hersteller, identifiziert werden. Unter Windows geschieht das über die sogenannten Stammzertifikate (Root-CAs). Diese werden im Windows-Zertifikatsspeicher verwaltet und von Windows automatisch aktualisiert. Der Zertifikatsspeicher wird von den Browsern Chrome, Edge sowie Internet Explorer genutzt. Firefox bringt seinen eigenen Speicher mit Root-CAs mit.
Dem Zertifikatsspeicher mit den Root-CAs kommt in der Kontrollkette der Vertrauenswürdigkeit von Webseiten ein sehr hoher Stellenwert zu. Ein Root-CA unter Windows ist die letzte und damit entscheidende Kontrollstelle, die eine Website oder ein Programm als vertrauenswürdig einstuft oder nicht.
Gelingt es einem Angreifer, ein gefälschtes Root-CA in Windows einzuschleusen, kann er später beliebte Webseiten als vertrauenswürdig erscheinen lassen und weiteren Code installieren und starten. Und genau das hat beispielsweise der Virus Rakhni gemacht. Er kopiert ein Root-CA in Windows und installiert nun weitere Schadprogramme, die den Rechner in einen Crypto-Miner verwandeln oder als Erpresservirus auftreten. Zusätzliche Infos zu Rakhni finden Sie hier.
So überprüfen Sie die Stammzertifikate von Windows: Microsoft bietet das Befehlszeilentool Sigcheck, das sämtliche Root-CAs im Zertifikatsspeicher von Windows auf Echtheit kontrolliert. Entpacken Sie zunächst Sigcheck in einen beliebigen Ordner. Nutzer von Windows 64-Bit verwenden das Programm sigcheck64.exe, 32-Bit-Nutzer setzen bitte sigcheck.exe ein. Öffnen Sie die Eingabeaufforderung CMD mit der Tastenkombination Win-R und der Eingabe von CMD. In der Eingabeaufforderung wechseln Sie in den Ordner, in dem Sie Sigcheck entpackt haben. Tippen Sie dann diesen Befehl ein:
sigcheck -u -e c:windowssystem32
Er prüft, ob es unsignierte Root-CAs in Windows gibt. Nur diese zeigt der Befehl als Ergebnis an. Wenn alles in Ordnung ist, erscheint nach der Suche die Zeile „No matching files were found“, da keine unsignierten Root-CAs gefunden wurden.
Autor: Arne Arnold
Arne Arnold arbeitet seit über 15 Jahren bei der PC-WELT als Redakteur in den Bereichen Software und Internet. Sein Schwerpunkt liegt auf dem Thema Sicherheit für Endanwender bei PC und Mobil-Geräten.