恶意广告活动使用了让我们加密的免费证书

Trend公司欺诈研究员Joseph Chen写道，网络犯罪分子危害了一个合法网站并建立了一个子域，导致一个服务器在他们的控制之下。 ：如何从Windows PC中删除恶意软件]

如果用户访问该网站，该子域将显示恶意广告，将用户重定向到托管Angler漏洞利用工具包的网站w该子域使用SSL / TLS（安全套接字层/传输层安全性）证书，该证书对服务器和用户计算机之间的通信进行加密。

证书已颁发Let's Encrypt是一个由ISRG（互联网安全研究组织）运行并由Mozilla，电子前沿基金会，思科和Akamai等支持的项目。

Let's Encrypt是第一个大规模项目发布免费的数字证书，这是整个互联网提高安全性的广泛运动的一部分。

Chen写道，趋势科技一直在期待网络犯罪分子为了自己的恶意目的试图从Let's Encrypt获得免费证书。在这种情况下，加密到恶意服务器的流量可以更好地屏蔽网络犯罪分子的活动。

可以撤消数字证书。但是，Let's Encrypt已经决定不撤销证书。 10月份，该组织解释说，认证机构（CA）没有配备警察内容。

但是，Let's Encrypt会检查Google的安全浏览API，以查看请求证书的域是否被标记为网络钓鱼或恶意软件

Chen不同意这种做法，写道：“CA应该愿意取消颁发给被各种威胁行为者滥用的非法派对的证书。”

ISRG执行董事Josh Aas通过电子邮件写道，尽管证书可以再次使用，网络犯罪分子不太可​​能会走得很远，因为这些域名是已知的恶意广告网站。

攻击者仍然可以为不同的域名生成新的证书，并且这些操作对于任何CA都很难停止他写道：“CA不能够快速检测和响应，”他写道，“另一种方法是让在线广告经纪人实施内部控制来阻止恶意广告，Aas wro

在线广告行业已经认识到恶意广告存在的问题，但是网络犯罪分子利用各种技术偷袭有害的广告。