Microsoft zakłócił działanie usługi podpisującej malware. Kto był celem i jak się chronić?

Microsoft poinformował o zakłóceniu działania operacji Fox Tempest, która przez co najmniej kilka miesięcy nadużywała firmowej platformy Artifact Signing (wcześniej Trusted Signing) do generowania fałszywych certyfikatów podpisu kodu. Jak wynika z raportu Microsoft Threat Intelligence, atakujący stworzyli ponad tysiąc certyfikatów i setki dzierżaw oraz subskrypcji Azure, by umożliwić cyberprzestępcom podpisywanie malware w modelu malware-signing-as-a-service (MSaaS). Ofiarami mogły paść organizacje na całym świecie – w tym polskie firmy i instytucje – ponieważ podpisane złośliwe oprogramowanie było używane w kampaniach ransomware i kradzieży danych.

Jak działała usługa Fox Tempest?

Operacja Fox Tempest oferowała cyberprzestępcom możliwość przesłania plików wykonywalnych do podpisania przy użyciu certyfikatów uzyskanych z Microsoft Artifact Signing. Jak czytamy w raporcie, BleepingComputer opisuje, że certyfikaty były ważne zaledwie 72 godziny, co utrudniało ich wykrycie. Atakujący wykorzystywali skradzione tożsamości z USA i Kanady, by przejść weryfikację tożsamości wymaganą przez platformę. Po podpisaniu pliki były rozpowszechniane jako rzekomo legalne instalatory popularnych programów, takich jak Microsoft Teams, AnyDesk, PuTTY czy Webex.

Microsoft wskazuje, że z usługi korzystały m.in. grupy ransomware Vanilla Tempest (INC Ransomware), Storm-0501, Storm-2561 oraz Storm-0249. Wśród podpisanych malware znalazły się m.in. Oyster, Lumma Stealer, Vidar, a także ransomware Rhysida, Akira, INC, Qilin i BlackByte. W jednym z opisanych przypadków ofiara uruchomiła fałszywy instalator Microsoft Teams, który dostarczył ładunek Oyster, a następnie ransomware Rhysida – wszystko podpisane certyfikatem z Artifact Signing, przez co system Windows początkowo uznawał plik za bezpieczny.

Kto był celem i jakie były skutki?

Ataki były wymierzone w organizacje na całym świecie – nie tylko w duże korporacje, ale także w małe i średnie przedsiębiorstwa. Microsoft podaje, że operacja Fox Tempest przyniosła miliony dolarów zysku, a jej twórcy byli dobrze zorganizowani, zarządzali infrastrukturą, relacjami z klientami i finansami. W maju 2026 roku Microsoft Digital Crimes Unit (DCU) przejął domenę signspace[.]cloud, wyłączył setki maszyn wirtualnych i zablokował dostęp do infrastruktury hostingowej platformy. Firma złożyła również pozew w sądzie federalnym USA.

Dla polskich użytkowników i administratorów kluczowe jest to, że podpisane malware mogło ominąć standardowe zabezpieczenia systemowe. Jak podkreśla Microsoft, „ponieważ malware Oyster był podpisany certyfikatem z usługi Artifact Signing, system Windows początkowo rozpoznawał go jako legalne oprogramowanie, podczas gdy w innym przypadku zostałby oznaczony jako podejrzany lub zablokowany”. Oznacza to, że nawet aktualny antywirus mógł nie wychwycić zagrożenia, dopóki nie pojawiły się sygnatury.

Jak się chronić? Praktyczne zalecenia

Choć Microsoft już zablokował certyfikaty i infrastrukturę Fox Tempest, administratorzy powinni podjąć dodatkowe kroki, by zmniejszyć ryzyko podobnych ataków w przyszłości. Oto najważniejsze działania defensywne:

• Weryfikuj pochodzenie instalatorów – pobieraj oprogramowanie wyłącznie z oficjalnych stron producentów lub zaufanych repozytoriów. Fałszywe instalatory często są dystrybuowane przez phishing lub fałszywe strony.
• Monitoruj certyfikaty podpisu kodu – w środowisku firmowym warto śledzić, jakie certyfikaty są używane do podpisywania aplikacji. Narzędzia EDR mogą pomóc w wykrywaniu nietypowych certyfikatów.
• Stosuj zasadę najmniejszych uprawnień – ogranicz możliwość instalowania oprogramowania przez zwykłych użytkowników. W przypadku ataku ransomware kluczowe jest też segmentowanie sieci i regularne tworzenie kopii zapasowych offline.
• Aktualizuj oprogramowanie i systemy – Microsoft regularnie wydaje poprawki, które mogą blokować znane techniki nadużyć. Warto też włączyć automatyczne aktualizacje dla Windows Defender i innych rozwiązań bezpieczeństwa.
• Szkol użytkowników – kampanie phishingowe, które dostarczają fałszywe instalatory, są skuteczne, gdy ofiara nie podejrzewa podstępu. Regularne ćwiczenia z rozpoznawania phishingu mogą znacząco zmniejszyć ryzyko.

Co dalej?

Microsoft zapowiada dalsze działania prawne i techniczne wobec Fox Tempest. Jednak podobne operacje mogą pojawić się w przyszłości, zwłaszcza że usługi chmurowe do podpisywania kodu są coraz powszechniejsze. Administratorzy powinni śledzić komunikaty Microsoft Threat Intelligence oraz raporty CERT Polska, które często ostrzegają przed nowymi kampaniami. W przypadku podejrzenia infekcji warto skontaktować się z zespołem CSIRT lub skorzystać z narzędzi do skanowania pamięci i analizy plików. Najważniejsze to nie ufać ślepo podpisom cyfrowym – nawet certyfikat od zaufanego dostawcy może być chwilowo ważny, jeśli został wyłudzony.