Microsoft rozbił usługę podpisywania malware dla ransomware. Co to oznacza?

Microsoft ogłosił 19 maja 2026 roku, że zakłócił działanie usługi malware-signing-as-a-service (MSaaS) prowadzonej przez grupę Fox Tempest. Proceder polegał na nadużywaniu platformy Microsoft Artifact Signing do generowania krótkotrwałych certyfikatów kodowania, które pozwalały podpisywać złośliwe oprogramowanie tak, by system Windows uznawał je za legalne. Według Microsoftu ofiarami padły organizacje z całego świata, w tym z sektora opieki zdrowotnej, edukacji, rządów i usług finansowych.

Jak działał proceder Fox Tempest?

Jak podaje SecurityWeek, Fox Tempest utworzył ponad tysiąc certyfikatów i setki dzierżawców oraz subskrypcji w chmurze Azure. Certyfikaty były ważne zaledwie 72 godziny, co utrudniało ich wykrycie. Usługa kosztowała od 5 do 9 tysięcy dolarów w bitcoinie i była promowana na kanale Telegram. Microsoft szacuje, że grupa zarobiła miliony dolarów.

BleepingComputer opisuje, że klienci Fox Tempest przesyłali pliki do podpisania przez platformę signspace[.]cloud. Podpisane malware było później rozpowszechniane jako rzekomo legalne instalatory programów takich jak Microsoft Teams, AnyDesk, PuTTY czy Webex. Gdy ofiara uruchamiała fałszywy instalator, w rzeczywistości uruchamiał się ładujący złośliwe oprogramowanie, które wdrażało np. ransomware Rhysida.

Kto był celem i jakie były skutki?

Według Microsoftu, jak cytuje SecurityWeek, „wpływ tych operacji spowodował ataki na szeroki zakres sektorów przemysłu, w tym opiekę zdrowotną, edukację, rządy i usługi finansowe, dotykając organizacje na całym świecie, w tym, ale nie tylko, w Stanach Zjednoczonych, Francji, Indiach i Chinach”. Wykorzystano m.in. ransomware Rhysida, INC, Qilin, Akira oraz stealer Lumma Stealer i Vidar.

Microsoft złożył pozew sądowy w sądzie okręgowym w Nowym Jorku, wymieniając jako współspiskowca grupę Vanilla Tempest, która odpowiada za ransomware INC. W ramach działań przejęto domenę signspace[.]cloud, wyłączono setki wirtualnych maszyn i zablokowano dostęp do infrastruktury.

Jak się bronić? Praktyczne wskazówki

Choć operacja została rozbita, administratorzy powinni zachować czujność. Microsoft unieważnił już ponad tysiąc certyfikatów związanych z Fox Tempest, ale nie można wykluczyć, że część nadal jest aktywna lub że pojawią się naśladowcy. Oto rekomendacje:

• Aktualizuj systemy i oprogramowanie – szczególnie łatki bezpieczeństwa dla Exchange Server, które były wykorzystywane w innych kampaniach (np. Salt Typhoon).
• Monitoruj podejrzane instalatory firm trzecich – jeśli program prosi o podniesione uprawnienia bez uzasadnienia, może to być sygnał ostrzegawczy.
• Korzystaj z uwierzytelniania wieloskładnikowego (MFA) – utrudnia ono przejęcie kont nawet po wykradzeniu danych.
• Regularnie twórz kopie zapasowe offline – w razie ataku ransomware pozwalają przywrócić dane bez płacenia okupu.
• Sprawdzaj certyfikaty – w razie wątpliwości co do autentyczności instalatora można zweryfikować certyfikat w MMC lub w PowerShellu.

Co dalej? Kontekst i ograniczenia

Microsoft nie ujawnił, ile dokładnie ofiar padło w wyniku ataków Fox Tempest. Wiadomo, że grupa działała od września 2025 roku i że Microsoft śledził ją od tego czasu. Sukces operacji nie oznacza całkowitego zniknięcia usługi – grupa może próbować odtworzyć infrastrukturę. Dlatego ważne jest, by BleepingComputer zwraca uwagę, że podobne przypadki nadużycia Trusted Signing były zgłaszane już w marcu 2025 roku. Administratorzy powinni śledzić aktualizacje Microsoft i komunikaty CERT-ów.

Przypadek Fox Tempest pokazuje, że nawet zaufane mechanizmy podpisywania kodu mogą być wykorzystane przeciwko użytkownikom. Najlepszą ochroną pozostaje ostrożność przy uruchamianiu nieznanych plików i regularne szkolenie personelu z zakresu cyberbezpieczeństwa.