Microsoft rozbija usługę podpisywania malware. Kto korzystał z MSaaS?

Microsoft ogłosił, że zakłócił działanie usługi, która pomagała cyberprzestępcom podpisywać złośliwe oprogramowanie certyfikatami cyfrowymi. Dzięki temu malware mogło udawać legalne aplikacje i omijać zabezpieczenia. Operacja nosi nazwę Fox Tempest i według Microsoftu była wykorzystywana przez kilka znanych grup ransomware.

Czym jest MSaaS i jak działało Fox Tempest?

Microsoft nazwał proceder malware-signing-as-a-service (MSaaS) – czyli podpisywanie malware jako usługa. Fox Tempest nadużywał mechanizmu Microsoft Artifact Signing, aby generować krótkotrwałe certyfikaty do podpisywania kodu. Jak wyjaśnia Microsoft, „Fox Tempest utworzył ponad tysiąc certyfikatów i założył setki dzierżaw i subskrypcji Azure, aby wspierać swoje operacje”. Firma unieważniła już ponad tysiąc certyfikatów powiązanych z tą grupą.

Usługa była dostępna za opłatą – według Microsoftu kosztowała tysiące dolarów, a przestępcy zarobili na niej miliony. Działanie Fox Tempest Microsoft śledził od września 2025 roku.

Kto korzystał z usługi Fox Tempest?

Z MSaaS korzystały grupy rozsiewające ransomware, takie jak Vanilla Tempest, Rhysida, Inc, Qilin i Akira. Microsoft wskazuje, że usługa pomagała także w dystrybucji malware typu infostealer: Lumma Stealer, Oyster i Vidar. To oznacza, że podpisane certyfikatem złośliwe oprogramowanie mogło trafiać do firm i instytucji na całym świecie.

„Skutki tych operacji dotknęły szerokiego zakresu sektorów przemysłu, w tym opiekę zdrowotną, edukację, administrację rządową i usługi finansowe, wpływając na organizacje na całym świecie, między innymi w Stanach Zjednoczonych, Francji, Indiach i Chinach” – podaje Microsoft w swoim komunikacie.

Jak Microsoft zakłócił działanie Fox Tempest?

Firma przejęła kluczową infrastrukturę, usunęła fałszywe konta i wzmocniła procesy weryfikacji dla nadużywanych usług. Microsoft złożył również pozew przeciwko Fox Tempest i Vanilla Tempest. Jak tłumaczy Microsoft, „w operacjach zakłócania cyberprzestępczości pozwy służą jako potężne mechanizmy prawne do przejmowania złośliwych domen, demontażu infrastruktury serwerowej i zmuszania zewnętrznych dostawców do wyłączania przestępczych operacji”.

To nie pierwsza taka akcja Microsoftu. Wcześniej firma rozbiła usługi RedVDS, RaccoonO365 i Tycoon 2FA. Każda z tych operacji pokazuje, że walka z cyberprzestępczością wymaga nie tylko technicznych działań, ale i prawnych narzędzi.

Co to oznacza dla polskich użytkowników i firm?

Podpisane certyfikatem malware jest trudniejsze do wykrycia przez programy antywirusowe i zapory sieciowe. Dlatego nawet jeśli system zabezpieczeń działa poprawnie, może przepuścić złośliwe oprogramowanie, które ma ważny podpis cyfrowy. Dla firm i instytucji oznacza to, że nie można polegać wyłącznie na sygnaturach – konieczne jest monitorowanie zachowań aplikacji i stosowanie zasad ograniczonego zaufania.

Warto również regularnie aktualizować oprogramowanie i korzystać z rozwiązań EDR (Endpoint Detection and Response), które analizują działanie programów, a nie tylko ich podpis. Dla zwykłych użytkowników kluczowe jest pobieranie aplikacji wyłącznie z oficjalnych sklepów i stron producentów – nawet jeśli plik wydaje się podpisany.

Co dalej?

Microsoft zapowiada dalsze działania prawne i techniczne przeciwko Fox Tempest. Firma nie ujawniła, czy sprawcy zostali zidentyfikowani osobowo, ani czy doszło do aresztowań. Na razie wiemy, że infrastruktura została przejęta, a certyfikaty unieważnione. To jednak nie oznacza końca zagrożenia – podobne usługi mogą pojawić się ponownie, dlatego warto śledzić komunikaty producentów zabezpieczeń i reagować na zalecenia aktualizacyjne.

Więcej szczegółów na temat operacji można znaleźć w komunikacie Microsoftu opublikowanym przez SecurityWeek.