Usługa podpisywania malware wykryta i przerwana. Microsoft usuwa tysiące fałszywych certyfikatów

Microsoft ogłosił, że zakłócił działalność grupy cyberprzestępczej o nazwie Fox Tempest, która prowadziła usługę podpisywania złośliwego oprogramowania (Malware-Signing-as-a-Service). Jak wynika z komunikatu firmy, przestępcy wykorzystywali mechanizm Microsoft Artifact Signing do generowania krótkotrwałych certyfikatów kodowania. Służyły one do podpisywania malware, w tym ransomware i stealerów, co pomagało atakującym ominąć zabezpieczenia. Sprawa dotyczy tysięcy certyfikatów i setek dzierżaw usługi Azure.

Czym była usługa Fox Tempest?

Grupa Fox Tempest działała od co najmniej września 2025 roku. Badacze Microsoftu ustalili, że przestępcy utworzyli ponad tysiąc certyfikatów kodowania oraz setki kont w ramach platformy Azure. Jak informuje producent, „Fox Tempest utworzył ponad tysiąc certyfikatów i założył setki dzierżaw Azure oraz subskrypcji do wspierania swojej działalności”. Koszt skorzystania z usługi wynosił tysiące dolarów, a przestępcy zarobili na niej miliony.

Z usług Fox Tempest korzystały grupy roznoszące ransomware, takie jak Rhysida, Inc, Qilin i Akira. Wśród dystrybuowanego oprogramowania znalazły się również znane rodziny malware, w tym Lumma Stealer, Oyster i Vidar. Microsoft podkreśla, że „konsekwencje tych operacji dotknęły szerokiego zakresu sektorów, w tym opiekę zdrowotną, edukację, administrację rządową i usługi finansowe, uderzając w organizacje na całym świecie, w tym między innymi w Stanach Zjednoczonych, Francji, Indiach i Chinach”.

Jak atakujący ukrywali złośliwe oprogramowanie?

Mechanizm ataku opierał się na nadużyciu legalnej funkcji Microsoft Artifact Signing, która umożliwia podpisywanie aplikacji certyfikatami zaufanymi przez system Windows. Dzięki temu malware było sygnowane jako legalne oprogramowanie, co utrudniało wykrycie przez programy antywirusowe i inne mechanizmy obronne. Certyfikaty były krótkotrwałe – pozwalało to przestępcom na szybką rotację i unikanie blokad.

Microsoft podjął kroki w celu przerwania tej działalności: odwołał ponad tysiąc certyfikatów, przejął kluczową infrastrukturę, usunął fałszywe konta i wzmocnił procesy weryfikacji dla nadużywanych usług. Firma złożyła również pozew przeciwko grupom Fox Tempest i Vanilla Tempest.

Co to oznacza dla użytkowników i firm?

Z punktu widzenia zwykłych użytkowników i administratorów sprawa pokazuje, jak trudno odróżnić złośliwe oprogramowanie od legalnych aplikacji. Nawet podpisany certyfikatem plik nie jest gwarancją bezpieczeństwa. Dlatego warto przestrzegać kilku zasad:

• Pobieraj oprogramowanie wyłącznie z oficjalnych źródeł – stron producentów lub sklepów z aplikacjami.
• Regularnie aktualizuj system i oprogramowanie – łatki często usuwają luki wykorzystywane przez malware.
• Nie otwieraj załączników ani nie klikaj w linki z nieznanych wiadomości e-mail lub komunikatorów.
• Zwracaj uwagę na datę ważności certyfikatu i wystawcę – jeśli coś budzi wątpliwości, lepiej skonsultować się z działem IT.

Dla organizacji kluczowe jest wdrożenie polityki ograniczającej możliwość instalacji nieautoryzowanego oprogramowania. Warto również korzystać z rozwiązań do wykrywania i reagowania na incydenty (EDR), które potrafią analizować zachowanie aplikacji, a nie tylko polegać na podpisie cyfrowym.

Dalsze kroki i obserwacje

Działania Microsoftu pokazują, że walka z nielegalnymi usługami podpisywania jest możliwa, ale wymaga ciągłej czujności. Warto śledzić komunikaty producentów oprogramowania oraz raporty zespołów bezpieczeństwa. SecurityWeek opisuje szczegóły operacji i wskazuje, że to kolejna z serii skutecznych akcji prawnych podejmowanych przez Microsoft w ostatnim roku.

W przypadku podejrzenia infekcji lub otrzymania nietypowego pliku podpisanego certyfikatem – warto skontaktować się z zespołem bezpieczeństwa IT. Najważniejsze to zachować zdrowy rozsądek i nie działać pod presją.