Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Podpisywanie kodu odgrywa kluczową rolę w budowaniu zaufania do oprogramowania. Mechanizm ten ma potwierdzać autentyczność pliku oraz integralność jego zawartości, dzięki czemu użytkownik, system operacyjny i narzędzia bezpieczeństwa mogą traktować aplikację jako pochodzącą z wiarygodnego źródła. Problem pojawia się wtedy, gdy cyberprzestępcy uzyskują certyfikaty w sposób nieuprawniony albo wykorzystują infrastrukturę, która pozwala nadawać złośliwym plikom pozory legalności.
Właśnie taki model miał funkcjonować w przypadku Fox Tempest, podmiotu opisywanego jako dostawca usługi malware-signing-as-a-service. Według ujawnionych informacji Microsoft Digital Crimes Unit przy wsparciu Resecurity przeprowadził operację wymierzoną w ten ekosystem, aby ograniczyć możliwość podpisywania złośliwego oprogramowania certyfikatami budzącymi zaufanie.
W skrócie
Fox Tempest miał świadczyć usługi wspierające podpisywanie malware, co ułatwiało innym grupom przestępczym dystrybucję złośliwych plików. W ramach działań operacyjnych przejęto wskazaną infrastrukturę, wyłączono setki maszyn wirtualnych oraz cofnięto ponad tysiąc certyfikatów powiązanych z tym ekosystemem.
- Microsoft DCU i Resecurity zakłóciły działanie zaplecza Fox Tempest.
- Operacja objęła zarówno działania prawne, jak i techniczne.
- Usługa była łączona z kampaniami ransomware i stealerów.
- Celem było ograniczenie nadużyć związanych z zaufaniem do podpisanego kodu.
Kontekst / historia
Cyberprzestępczość od lat rozwija się w modelu usługowym. Obok operatorów ransomware, brokerów dostępu początkowego i dostawców infrastruktury odpornej na zgłoszenia pojawiły się wyspecjalizowane podmioty wspierające konkretne etapy ataku. Jednym z takich segmentów jest właśnie podpisywanie złośliwego kodu.
Fox Tempest nie był opisywany jako klasyczna grupa prowadząca szeroko zakrojone kampanie przeciw ofiarom końcowym. Jego rola miała polegać na dostarczaniu zaplecza, które umożliwiało innym przestępcom opatrywanie malware podpisami zwiększającymi wiarygodność plików. Taki model obniża próg wejścia dla afiliantów ransomware i operatorów stealerów, ponieważ nie muszą oni samodzielnie budować infrastruktury ani pozyskiwać certyfikatów.
Z dostępnych informacji wynika również, że sprawa została skierowana do sądu federalnego w Stanach Zjednoczonych. To pokazuje, że podobne operacje wymagają jednoczesnego wykorzystania narzędzi prawnych, technicznych i międzynarodowej współpracy pomiędzy firmami prywatnymi a organami ścigania.
Analiza techniczna
Istotą działalności przypisywanej Fox Tempest było nadużywanie mechanizmów zaufania związanych z podpisywaniem kodu. Podpis cyfrowy może zmniejszać podejrzliwość użytkownika, a w niektórych scenariuszach wpływać także na sposób traktowania pliku przez systemy ochronne i mechanizmy reputacyjne.
Podpisany plik wykonywalny lub instalator częściej wygląda na legalny, szczególnie gdy podszywa się pod aktualizację, narzędzie administracyjne albo komponent systemowy. W praktyce zwiększa to szansę, że ofiara uruchomi próbkę bez dodatkowej weryfikacji. Jednocześnie część środowisk bezpieczeństwa może uznać podpis za silny sygnał zaufania, jeśli nie jest on analizowany w szerszym kontekście.
Według ujawnionych informacji infrastruktura Fox Tempest obejmowała serwis wykorzystywany do świadczenia usługi, liczne maszyny wirtualne oraz komponenty odpowiedzialne za obsługę procesu podpisywania. Dlatego działania obronne nie ograniczyły się do zablokowania pojedynczego adresu czy panelu, lecz objęły rozbicie całego zaplecza operacyjnego. Wyłączenie setek maszyn wirtualnych i cofnięcie dużej liczby certyfikatów uderza zarówno w dostępność usługi, jak i w jej zdolność do dalszego generowania wiarygodnie wyglądających podpisów.
Microsoft powiązał ten ekosystem z wieloma rodzinami zagrożeń, w tym z ransomware oraz malware typu stealer. To ważny sygnał dla obrońców, ponieważ pokazuje, że podpisywanie malware nie jest marginalnym dodatkiem, lecz jednym z elementów zwiększających skuteczność całego łańcucha ataku.
Konsekwencje / ryzyko
Dla organizacji oznacza to podważenie jednego z podstawowych założeń bezpieczeństwa, czyli zaufania do podpisanego kodu. Jeśli złośliwe oprogramowanie posiada wiarygodnie wyglądający podpis, użytkownik może uznać je za legalne, a zespół bezpieczeństwa może otrzymać mniej oczywistych sygnałów ostrzegawczych na wczesnym etapie analizy.
W praktyce zwiększa to skuteczność kampanii phishingowych i malware delivery, podnosi prawdopodobieństwo uruchomienia próbki oraz może ułatwiać obchodzenie części zabezpieczeń opartych na reputacji plików. Szczególnie narażone są te środowiska, które traktują podpis cyfrowy jako samodzielny dowód zaufania i nie korelują go z pochodzeniem pliku, telemetrią EDR, zachowaniem procesu czy analizą łańcucha certyfikacji.
Choć rozbicie infrastruktury Fox Tempest istotnie utrudnia działalność przestępczą, nie oznacza całkowitego końca problemu. Rynek cyberprzestępczy jest elastyczny, a podobne usługi mogą zostać odtworzone pod inną nazwą, na nowej infrastrukturze lub z użyciem innych metod pozyskiwania certyfikatów.
Rekomendacje
Organizacje powinny traktować podpis cyfrowy jako jeden z elementów oceny zaufania, a nie jako ostateczny dowód bezpieczeństwa. Skuteczna weryfikacja wymaga korelowania statusu podpisu z reputacją wydawcy, kontekstem dostarczenia pliku, miejscem uruchomienia oraz telemetrią z systemów EDR, XDR i SIEM.
Warto rozwijać polityki allowlistingu aplikacji w oparciu nie tylko o obecność podpisu, ale również o zaufanych wydawców, skróty plików, ścieżki uruchomienia i kontrolę pochodzenia artefaktów. Z perspektywy SOC ważne jest też monitorowanie nowych lub rzadko spotykanych certyfikatów oraz nagłych zmian wydawcy w uruchamianych plikach.
- aktualizacja reguł detekcyjnych pod kątem podpisanego malware;
- monitorowanie informacji o cofniętych certyfikatach i uwzględnianie ich w politykach bezpieczeństwa;
- wzmocnienie kontroli pobierania i uruchamiania plików z internetu;
- szkolenie użytkowników, że obecność podpisu nie gwarantuje legalności programu;
- integracja informacji o zagrożeniach z huntingiem oraz blokowaniem IOC i TTP.
Dobrym kierunkiem pozostaje także regularny przegląd zaufanych certyfikatów i wydawców w środowisku organizacji, zwłaszcza tam, gdzie dopuszcza się automatyczne uruchamianie podpisanych binariów.
Podsumowanie
Sprawa Fox Tempest dobrze ilustruje, jak bardzo dojrzały i wyspecjalizowany stał się współczesny ekosystem cyberprzestępczy. Podpisywanie malware funkcjonuje już nie jako incydentalna technika, lecz jako usługa wspierająca operatorów ransomware, stealerów i inne grupy atakujące organizacje na całym świecie.
Działania Microsoft DCU i partnerów uderzają w ważny element tego łańcucha, ograniczając możliwość nadawania złośliwym plikom pozorów legalności. Dla obrońców najważniejszy wniosek pozostaje niezmienny: podpis cyfrowy nie może być jedynym kryterium zaufania, a skuteczna obrona wymaga analizy kontekstu, zachowania i telemetrii.
Źródła
- Security Affairs — https://securityaffairs.com/192818/security/resecurity-supports-microsoft-dcu-in-disrupting-fox-tempest-cybercriminal-code-signing-ecosystem.html
- Microsoft — Disrupting malware-signing abuse: a court-authorized takedown of Fox Tempest — https://www.microsoft.com/en-us/security/blog/
- Resecurity — Company statement and research context — https://www.resecurity.com/