DigiCert: 60 Certifikater Kapret af Zhong Stealer [2026]

Den 2. april 2026 sendte en ukendt trusselsaktør en ZIP-fil til DigiCerts kundesupport via live chat. Filen så ud som et skærmbillede. Den var det ikke. Inden for 15 dage havde angriberen udstedt 60 gyldige EV-kodesigneringscertifikater fra en af verdenens største certifikatmyndigheder, og mindst 11 af dem var allerede i brug til at signere Zhong Stealer-malware rettet mod kryptovaluta-brugere. DigiCert tilbagekaldte alle berørte certifikater inden den 17. april og offentliggjorde hændelsen den 4. maj 2026. Det er den alvorligste kompromittering af en global certifikatmyndigheds udstedelsesinfrastruktur siden DigiNotar-katastrofen i 2011.

Hvad er DigiCert, og hvorfor betyder det noget?

DigiCert er en af verdenens tre største certifikatmyndigheder (CA’er) og udsteder TLS/SSL-certifikater, kodesigneringscertifikater og dokumentsigneringscertifikater til virksomheder i mere end 100 lande. Browserudviklere som Google, Mozilla og Microsoft stoler implicit på DigiCerts rodcertifikater, hvilket betyder, at software signeret med et gyldigt DigiCert-certifikat som udgangspunkt anses for at komme fra en legitim, verificeret kilde.

Extended Validation (EV) kodesigneringscertifikater er det mest troværdige niveau i hierarkiet. For at få et EV-certifikat skal en virksomhed normalt igennem en manuel identitetsbekræftelse, virksomhedsvalidering og fysisk verifikation. Det er præcis disse certifikater, angriberne formåede at skaffe. Når en Windows-computer ser et program signeret med et EV-kodesigneringscertifikat, vises afsenderens firmanavn, og SmartScreen-filteret behandler filen som troværdig. Det er det, angriberne udnyttede.

Den 24. februar 2026 begyndte DigiCert at begrænse gyldigheden af nye kodesigneringscertifikater til maksimalt 459 dage, ned fra de tidligere to til tre år. Det var en proaktiv reaktion på branchens krav om kortere certifikatlevetider. Den reform kom seks uger inden angrebets start og viser, at PKI-industrien aktivt arbejder på at reducere angrebsvinduerne. Ironisk nok kunne kortere certifikatlevetider ikke forhindre dette angreb, der handlede om udstedelsesprocessen, ikke certifikatets levetid.

Angrebets tidslinje: 15 dage med uhindret adgang

Hændelsesforløbet er rekonstrueret ud fra DigiCerts officielle hændelsesrapport, arkiveret som fejlrapport 2033170 i Mozillas CA-overensstemmelsessporing, samt uafhængige analyser fra Black Swan Cybersecurity og ThreatLocker.

Dato	Hændelse
2. april 2026	Angriberen kontakter DigiCert-support via live chat og sender ZIP-fil forklædt som skærmbillede (k3.exe, en .scr-fil). ENDPOINT1 kompromitteres.
4. april 2026	ENDPOINT2 kompromitteres. CrowdStrike-sensor fejlede, kompromitteringen forbliver uopdaget.
4.–13. april 2026	Angriberen tilgår intern supportportal via proxy-funktion og henter initialiseringskoder for godkendte EV-certifikatordrer.
14. april 2026	Ekstern sikkerhedsforsker opdager Zhong Stealer-malware signeret med ægte DigiCert-certifikater og rapporterer til DigiCert. Intern undersøgelse igangsættes.
17. april 2026	Alle 60 berørte certifikater tilbagekaldes inden for 24 timer. Afventende ordrer annulleres.
30. april 2026	Microsoft Defender Intelligence Update 1.449.377.0 klassificerer fejlagtigt gyldige DigiCert-certifikater som malware og begynder at fjerne dem fra Windows-systemer.
3. maj 2026	Microsoft udgiver rettet signaturdefinition (1.449.431.0). Fejlpositiverne stoppes efter tre dages driftsforstyrrelse.
4. maj 2026	DigiCert offentliggør hændelsesrapporten. SecurityWeek og Help Net Security publicerer dækning.

Angrebsmetoden var simpel men effektiv. Angriberen tog kontakt til DigiCerts kundesupport via den officielle chatkanal og udgav sig for at være en legitim kunde med et teknisk problem. I chatforløbet sendte angriberen en ZIP-fil, der angiveligt indeholdt et skærmbillede til illustration af problemet.

Filen k3.exe var i realiteten en .scr-fil, et Windows-screensaver-format, der kan udføre vilkårlig kode direkte fra brugerens kontekst. Da supportmedarbejderen åbnede filen, kompromitteredes ENDPOINT1 straks. To dage senere ramte en lignende teknik ENDPOINT2. Den anden maskines sikkerhedsovervågning var defekt (CrowdStrike-sensor ikke korrekt installeret), hvilket betød, at kompromitteringen forblev uopdaget i næsten to uger, trods aktiv angriberaktivitet på netværket.

Det kritiske trin kom, da angriberne udnyttede en supportportalfunktion, der tillader medarbejdere at se kundernes konti fra kundens perspektiv (proxy-funktionalitet). Via denne funktion fik angriberne adgang til initialiseringskoder for godkendte men endnu ikke udstedte EV-certifikatordrer.

DigiCert forklarede mekanismen i deres officielle rapport: “Besiddelse af en initialiseringskode, kombineret med en godkendt ordre, er tilstrækkelig til at hente det tilsvarende certifikat. Da trusselsaktøren var i stand til at skaffe disse to oplysninger for et begrænset antal godkendte ordrer, kunne de hente EV-kodesigneringscertifikater på tværs af et sæt kundekonti og CA’er.”

Det er et lærebogeksempel på, hvad sikkerhedseksperter kalder en privilegeret støttekanaludnyttelse: angriberen behøvede aldrig at bryde DigiCerts kryptografiske infrastruktur. Det var nok at narre en menneskelig supportmedarbejder. Angrebets simplificitet er selve pointen.

Zhong Stealer: malwaren bag kryptotyverierne

De stjålne certifikater var ikke et mål i sig selv. De var et middel til at distribuere Zhong Stealer, en avanceret informationstyvende malware-familie med dokumenteret fokus på kryptovaluta-brugere og fintech-platforme. Malwaren er forbundet med kinesisk cyberkriminel aktivitet og er designet til at operere så stille som muligt, mens den eksfiltrerer data over tid.

Zhong Stealer fungerer primært ved at:

Stjæle gemte adgangskoder og sessions-cookies fra webbrowsere (Chrome, Firefox, Edge)
Høste kryptovaluta-wallet-filer og private nøgler fra lokal opbevaring
Eksfiltrere autentificeringstokens til børser og handelsplatforme
Etablere persistens via Windows-registreringsdatabasen for at overleve genstarter
Sende stjålne data til angriberkontrollerede Command and Control-servere

Det farlige ved at signere Zhong Stealer med et gyldigt EV-certifikat er, at Windows SmartScreen, der normalt advarer brugere om ukendte udgivere, tier stille. I stedet for en advarselsmeddelelse vises den tilsyneladende legitime virksomheds navn. Brugere, der ellers ville afvise et usigneret program, klikker sig igennem uden betænkeligheder. Det er netop den effekt, angriberne søgte.

Black Swan Cybersecurity vurderede i deres trusselsrådgivning fra den 7. maj 2026: “Signerede Zhong Stealer-varianter øger infektionssucces, persistens og stealth, særligt i fintech/krypto-sektorer.” Risikoniveauet for organisationer, der stoler på kodesignerede eksekverbare filer, klassificerede de som højt.

APT-Q-27 og GoldenEyeDog: den kinesiske trusselsaktør

Zhong Stealer er knyttet til GoldenEyeDog, også identificeret som APT-Q-27, en kinesisk cyberkriminel gruppe med fokus på finansielt motiverede angreb. Gruppen er dokumenteret for at bruge legitime tillidsmæssige artefakter, herunder kodesigneringscertifikater, til at omgå sikkerhedskontroller og opnå vedvarende adgang til finansielle konti og kryptovaluta-wallets.

Det er endnu uklart, om GoldenEyeDog direkte forestod kompromitteringen af DigiCerts supportkanal, eller om de blot erhvervede de stjålne certifikater fra en kriminel mellemsælger. Det sidstnævnte scenarie er et mønster, der ses oftere i det kriminelle certifikat-marked, hvor specialiserede grupper kompromitterer CA-supportprocesser og videresælger certifikaterne til andre aktører på darknet-markeder.

To IP-adresser forbundet med certifikatinstallationer, 82.23.186.8 og 154.12.185.32, er offentliggjort i DigiCerts rapport. Begge adresser bør tilføjes til bloklister i organisationer, der kan have modtaget software signeret med de kompromitterede certifikater i perioden 4.–17. april 2026.

60 certifikater tilbagekaldt: hvilke CA’er var berørt?

DigiCert tilbagekaldte i alt 60 kodesigneringscertifikater udstedt fra fire mellemliggende certifikatmyndigheder under DigiCerts rodniveau:

DigiCert Trusted G4 Code Signing RSA4096 SHA256 2021 CA1
DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1
GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1
Verokey High Assurance Secure Code EV

Af de 60 certifikater var 27 eksplicit knyttet til angriberens aktivitet. 11 af disse blev identificeret via fællesskabsrapporter fra sikkerhedsforskere, der opdagede Zhong Stealer-malware signeret med de pågældende certifikater. Yderligere 16 certifikater blev identificeret under DigiCerts interne undersøgelse. De resterende 33 certifikater blev tilbagekaldt som en forsigtighedsforanstaltning, da DigiCert ikke med sikkerhed kunne bekræfte, at kunderne fortsat kontrollerede dem.

DigiCert nåede at tilbagekalde alle 60 certifikater inden for 24 timer efter opdagelsen og satte tilbagekaldelsesdatoen til den oprindelige udstedelsesdato, et teknisk korrekt men sjældent set skridt, der forhindrer certifikaterne i at fremstå gyldige for valideringssoftware, der ikke tjekker i realtid. Afventende ordrer blev annulleret for at lukke adgangen til yderligere misbrug.

Microsoft Defender-kaos: falske positiver ramte Windows-brugere i tre dage

En ikke-planlagt sideeffekt af hændelsen opstod den 30. april 2026, da Microsoft udgav Defender Intelligence Update 1.449.377.0. Opdateringen indeholdt fejlagtige signaturdefinitioner, der klassificerede legitime DigiCert-rodcertifikater og -filer som malware.

I praksis betød det, at Windows Defender på ukendt, men sandsynligvis meget stort antal maskiner, begyndte at markere og fjerne gyldige DigiCert-certifikater fra Windows-certifikatlageret. ThreatLocker dokumenterede konsekvenserne: SSL-verifikation fra HTTPS-klienter slog fejl, kodesigneringsvalidering af legitim software mislykkedes, og API-kald, der afhang af DigiCert-certifikater, blev afbrudt.

Microsoft bekræftede efterfølgende, at fejlpositiverne var direkte knyttet til detektioner for kompromitterede certifikater fra DigiCert-hændelsen. Den 3. maj udgav Microsoft en rettet signaturdefinition (1.449.431.0). Brugere, der ikke opdaterede manuelt, oplevede tre dages kontinuerlig certifikatfjernelse og driftsforstyrrelse, et eksempel på, hvordan en CA-sikkerhedshændelse kan have kaskadeeffekter langt ud over selve kompromitteringen.

Historisk perspektiv: tre store CA-brud på 15 år

DigiCert-hændelsen i 2026 er ikke den første gang, en certifikatmyndighed er blevet kompromitteret med vidtrækkende konsekvenser for digital tillid. En sammenligning af de tre mest omtalte CA-hændelser i historien illustrerer, at angrebsmetoderne ændrer sig, selvom det grundlæggende problem, at tillid til PKI afhænger af CA’ernes processer, forbliver uændret.

Hændelse	År	Angrebsmetode	Kompromitterede certifikater	Konsekvens
Comodo-brud	2011	Kompromittering af autoriseret reseller	9 falske TLS-certifikater	Falske certifikater til Google, Microsoft, Skype m.fl. udstedt til angribere
DigiNotar-brud	2011	Direkte serverindtrængen via sårbarhed	500+ falske TLS-certifikater	Komplet tillidssammenbrud, DigiNotar gik konkurs inden for måneder
DigiCert-brud	2026	Social engineering via supportchat	60 EV-kodesigneringscertifikater	Begrænset til kodesignering, rodcertifikater upåvirket, hurtigt inddæmmet

Den vigtigste forskel på 2026-hændelsen og DigiNotar-katastrofen i 2011 er, at angriberne i 2026 aldrig kompromitterede DigiCerts rodcertifikatinfrastruktur. Det er selvfølgelig en afgørende forskel. Men det er også en bekymrende indsigt: at omgå en CA’s kryptografiske infrastruktur fuldstændigt ved blot at narre en supportmedarbejder. Angrebet udnytter den menneskelige komponent, ikke den tekniske. PKI er så stærk som det svageste menneskelige led i processen.

Konsekvenser for PKI-tillid og softwareforsyningskæden

Hændelsen rejser strukturelle spørgsmål om den tillid, vi placerer i PKI-hierarkiet. PKI (Public Key Infrastructure) bygger på antagelsen om, at certifikatmyndigheder kun udsteder certifikater til verificerede, legitime modtagere. Når den antagelse brydes, selv for 60 certifikater ud af millioner, rystes tillidsmodellen i sin grund for alle aktører, der er afhængige af kodesignering som sikkerhedsgaranti.

Et certifikat er ikke en sikkerhedserklæring

Et EV-kodesigneringscertifikat bekræfter identiteten på underskriveren på udstedelsestidspunktet. Det garanterer ikke, at softwaren er sikker, at udstederens processer er robuste over for social engineering, eller at certifikatet ikke er stjålet. Det er en tillidsankring, ikke en sikkerhedserklæring. DigiCert-hændelsen er et klart bevis på den distinktion.

Softwareforsyningskæden er det primære angrebsvektor, der udnyttes her. I stedet for at kompromittere en softwareudviklers build-pipeline, der normalt er godt beskyttet, kan angribere nu stille og roligt erhverve et gyldigt certifikat og signere malware, der ser ud til at komme fra en troværdig kilde. For nordiske virksomheder, der distribuerer software til slutbrugere, betyder det, at certifikat-baseret tillid alene ikke er tilstrækkelig beskyttelse.

Anbefalede tekniske tiltag

Sikkerhedseksperter anbefaler at supplere kodesignering med:

Software Bill of Materials (SBOM) for alle distribuerede komponenter, så modtagere kan verificere præcist hvad der er inkluderet
Binær-hash-verifikation ud over certifikatvalidering for kritiske applikationer
Sigstore og Rekor-transparenslogger for open source-software, der binder signaturer til verificerede identiteter og byggede procestransparens
Hardware Security Modules (HSM’er) til opbevaring af private kodesigneringsnøgler, der forhindrer nøgler i at forlade sikker hardware
Kortlevede certifikater frem for langlevede, hvilket begrænser skadeomfanget ved fremtidige kompromitteringer

DigiCerts respons: benchmark for hændelseshåndtering

DigiCerts håndtering af hændelsen er af flere sikkerhedsmedier fremhævet som eksemplarisk. Risky Business Newsletter, en af de mest anerkendte engelsksprogede sikkerhedspublikationer, noterede, at DigiCert kaldte sig selv “heldige” for, at en uafhængig tredjeparts sikkerhedsforsker opdagede misbruget og rapporterede det, inden skaden var større.

DigiCert iværksatte efter hændelsen en række konkrete foranstaltninger, der adresserer de identificerede svagheder:

Multifaktorgodkendelse indført som obligatorisk krav for alle administrative workflows i supportportalen
Initialiseringskoder maskeret i alle proxy-supportsessioner via portal og API, så supportmedarbejdere ikke længere kan se dem
Filtype-begrænsninger i supportchat og Salesforce-sagsvedhæftninger (.scr-filer og lignende eksekverbare filtyper blokeret)
Forbedret logning og sessionoverblik på supportportalen for hurtigere opdagelse af unormal aktivitet
Udvidede endepunktssikkerhedskrav for supportmedarbejdere med obligatorisk funktionel EDR-overvågning

TWiT Security Now omtalte DigiCerts transparente og hurtige respons som en benchmark for, hvad hændelseshåndtering bør se ud som. Det er en legitim ros, men ændrer ikke, at det menneskelige angrebsvektor var tilgængeligt i årevis. Fremtidig beskyttelse kræver, at branchestandarderne for CA-supportprocesser hæves systematisk.

Hvad bør nordiske organisationer gøre nu?

For virksomheder i Danmark og Norden, der distribuerer eller modtager kodesigneret software, er der konkrete handlingstrin, der bør gennemføres straks:

Tjek om I modtog berørt software: Brug certifikat-transparenslogger og OCSP-respons til at verificere, at kodesignerede applikationer i jeres miljø ikke er signeret med certifikater fra de fire berørte mellemliggende CA’er. Sysinternals-værktøjet Sigcheck kan bruges til at inspicere signaturkæder på installerede applikationer.

Bloker kendte angriber-IP-adresser: Tilføj 82.23.186.8 og 154.12.185.32 til firewallbloklister og SIEM-korrelationsregler. Søg i EDR-logs efter netværksforbindelser til disse adresser i perioden 2. til 17. april 2026.

Verificer Microsoft Defender-opdatering: Bekræft, at alle Windows-systemer kører Defender-signaturdefinition 1.449.431.0 eller nyere. Systemer, der kørte den fejlbehæftede version 1.449.377.0 (udgivet 30. april) og ikke opdaterede inden 3. maj, kan have fået gyldige DigiCert-certifikater utilsigtet fjernet fra certifikatlageret.

For virksomheder, der selv udsteder eller bruger kodesigneringscertifikater, bør der desuden gennemføres en fuld revision af signeringsprocessen med fokus på, hvem der har adgang til initialiseringskoder og private signeringsnøgler, og om nøglerne er beskyttet af Hardware Security Modules.

Markedskonsekvenser for CA-industrien

DigiCert-hændelsen er den første alvorlige sikkerhedshændelse i en global topti-CA siden DigiNotar-kollapsaen i 2011. Markedskonsekvenserne tegner til at blive vidtrækkende for hele PKI-branchen.

CA/Browser Forum, det konsortium af certifikatmyndigheder og browserproducenter, der sætter PKI-standarder, vil sandsynligvis stramme kravene til supportkanaladgang og initialiseringskodehåndtering. Der er allerede diskussioner om at kræve hardwarebundet autentificering for al supportportaladgang og om at fjerne proxy-funktionaliteten fra supportværktøjer som standard.

Hændelsen sætter fornyet fokus på kortere certifikatlevetider. Apple har foreslået at reducere maksimal TLS-certifikatgyldighed til 45 dage, delvist for at minimere konsekvenserne af fremtidige CA-kompromitteringer. Kortere levetider begrænser angrebsvinduet for stjålne certifikater markant. Tilsvarende logik gælder for kodesigneringscertifikater.

Den globale PKI-marked er estimeret til 2,3 milliarder dollars i 2026 og vokser med 18% om året. DigiCert alene håndterer certifikater for en betydelig andel af Fortune 500-virksomhederne. En tillidssvækkelse i DigiCerts brand kan accelerere kunders skifte til alternative CA’er som Sectigo, Entrust eller GlobalSign, eller drive adoption af nyere alternativer som de kortlevede certifikater fra Sigstore-projektet for open source-software.

5 forudsigelser for PKI-sikkerhed i resten af 2026

På baggrund af hændelsens konsekvenser og branchedynamikken er her fem konkrete forudsigelser:

CA/Browser Forum vedtager obligatorisk MFA og forbud mod proxy-adgang til initialiseringskoder inden udgangen af Q3 2026. Hændelsen har eksponeret et strukturelt hul i CA’s driftsprocesser, og standardiseringsorganet har historisk set reageret hurtigt på klare angrebsvektorer.
Microsoft, Google og Apple stramme kravene til EV-certifikater i løbet af 2026 med kortere maksimal gyldighed på under 90 dage og obligatorisk hardwarebeskyttelse for alle EV-kodesigneringsnøgler.
Sigstore-adoption stiger med 40 til 60% i open source-økosystemet i kølvandet på hændelsen. Kortlevede certifikater knyttet til verificerede identitetsudbydere er et stærkere alternativ til langlivede CA-certifikater.
Mindst to større nordiske softwarevirksomheder offentliggør SBOM-politikker inden udgangen af 2026 som direkte reaktion på kodesigneringsskandalens tillidsimplikationer. EU’s Cyber Resilience Act, der trådte i kraft i 2026, stiller krav om SBOM for visse produktkategorier.
Kryptovaluta-tab fra Zhong Stealer-kampagnen viser sig at overstige 10 millioner dollars i alt, når skadeomfanget fra de 11 bekræftede signeringsperioder kortlægges. Kryptovaluta-tab er typisk permanent og svære at opgøre præcist, da ofre ofte opdager dem sent.

Relateret dækning

Læs mere om digitale signaturer og certifikater

Ekspertkilder

Ofte stillede spørgsmål om DigiCert-hændelsen

Er mine DigiCert TLS-certifikater til hjemmesider påvirket?

Nej. Hændelsen berørte udelukkende EV-kodesigneringscertifikater, der bruges til at signere software. Standard TLS/SSL-certifikater til websider, S/MIME-e-mailcertifikater og dokumentsigneringscertifikater er ikke berørt. DigiCerts rodcertifikatinfrastruktur forblev upåvirket, og browsere er ikke berørt.

Hvad skal jeg gøre, hvis min software er signeret med et af de 60 tilbagekaldte certifikater?

Kontakt DigiCert via deres officielle supportkanal og anmod om udstedelse af et nyt certifikat under et ikke-berørt mellencertifikat. Genudsted alle signerede pakker med det nye certifikat, og informer distributionskanaler og slutbrugere om at opdatere til den nye version. Overvej desuden at implementere SBOM og hash-verifikation som supplement fremover.

Hvad er Zhong Stealer, og er jeg i fare?

Zhong Stealer er en informationstyvende malware med fokus på kryptovaluta-brugere og finansielle platforme. Risikoen gælder primært for brugere, der installerede ny Windows-software i perioden 4. til 17. april 2026 fra ukendte eller usikre kilder. Kør en fuld scanning med opdateret antivirussoftware og tjek dine kryptovaluta-wallets for uautoriserede transaktioner. Er du i tvivl, bør private nøgler til kryptovaluta-wallets udskiftes.

Kan jeg fortsat stole på kodesignerede programmer?

Kodesignering er fortsat et vigtigt sikkerhedslag, men bør aldrig være det eneste. Kombiner certifikatvalidering med hash-verifikation, installer kun software fra officielle leverandørkanaler, og verificer om muligt softwarens SBOM. Et gyldigt certifikat garanterer kun identiteten på underskriveren på udstedelsestidspunktet, ikke at softwaren er sikker, og ikke at certifikatet er legitimt erhvervet.

Hvad er forskellen på DigiCert-bruddet i 2026 og DigiNotar-katastrofen i 2011?

DigiNotar-angrebet i 2011 kompromitterede direkte CA’ens rodcertifikatinfrastruktur og resulterede i udstedelse af over 500 falske TLS-certifikater til højprofilerede domæner, herunder Google og CIA.gov. Millioner af iranere blev udsat for man-in-the-middle-angreb. DigiNotar gik konkurs. DigiCert-hændelsen i 2026 er langt mere begrænset: angriberne nåede aldrig rodcertifikaterne og kompromitterede kun supportprocessen for kodesigneringscertifikater. DigiCert kom sandsynligvis stærkere ud som følge af sin transparente respons.

Hvad er APT-Q-27 og GoldenEyeDog?

GoldenEyeDog, også benævnt APT-Q-27, er en kinesisk cyberkriminel trusselsgruppe med dokumenteret fokus på finansielt motiverede angreb, herunder tyveri af kryptovaluta og finansielle legitimationsoplysninger. Gruppen er ikke at forveksle med statsstøttede APT-grupper som APT41, selvom de opererer i det samme kriminelle økonomilandskab og kan dele infrastruktur med statslige aktører.

Hvornår kan man forvente opdaterede CA/B Forum-standarder?

CA/Browser Forum behandler normalt hændelsesdrevne standardopdateringer på kvartalsbasis. Baseret på historisk reaktionstid fra lignende hændelser kan brancheretningslinjer for håndtering af initialiseringskoder og CA-supportportal-adgang forventes som balloter inden udgangen af Q3 2026. Overvåg CA/B Forum’s offentlige ballotliste for konkrete opdateringer.