Code Signing

Source: CA/Browser Forum — Le Forum annonce la fin de la période IPR pour le ballot CSC‑31 « Maximum Validity Reduction » sans exclusion de droits, l’adoption au 17 novembre 2025, et la publication des Code Signing Baseline Requirements v3.10.0. La mise à jour des « Baseline Requirements for the Issuance and Management of Publicly‑Trusted Code Signing Certificates » réduit la validité maximale des certificats de 39 mois à 460 jours, avec entrée en vigueur le 1er mars 2026. La redline et la version publiée sont disponibles (PDF et comparaison GitHub). ...

Selon Jamf Threat Labs (blog Jamf), une nouvelle itération de l’infostealer macOS MacSync Stealer abandonne les chaînes d’exécution « drag‑to‑terminal/ClickFix » au profit d’un dropper Swift code‑signé et notarisé, distribué dans une image disque, qui récupère et exécute un script de second étage de façon plus discrète. Le binaire Mach‑O universel est signé et notarisé (Developer Team ID GNJLS3UYZ4) et a été livré dans un DMG nommé zk-call-messenger-installer-3.9.2-lts.dmg, accessible via https://zkcall.net/download. Le DMG est volumineux (25,5 Mo) en raison de fichiers leurres (PDF liés à LibreOffice) intégrés. Au moment de l’analyse initiale, les hachages n’étaient pas révoqués, puis Jamf a signalé l’abus à Apple et le certificat a été révoqué. Sur VirusTotal, les échantillons allaient de 1 à 13 détections, classés surtout comme téléchargeurs génériques (familles « coins » ou « ooiid »). ...

L’article, publié sur le blog du chercheur en cybersecurité Michael Taggart, explore les implications de la nouvelle version 2.3 de Deno, un outil de développement basé sur Rust, qui est désormais code-signé sur Windows. Deno est présenté comme une alternative à Node.js, apprécié pour ses choix de conception et son approche de la gestion des dépendances. Cependant, la mise à jour 2.3, qui inclut la signature de code sur Windows, soulève des préoccupations en matière de sécurité offensive. ...