Wprowadzenie do problemu / definicja
Microsoft poinformował o zakłóceniu działania zorganizowanej usługi typu malware-signing-as-a-service, która wykorzystywała platformę Artifact Signing do generowania krótkotrwałych certyfikatów używanych do podpisywania złośliwego oprogramowania. Tego rodzaju nadużycie zwiększa skuteczność kampanii cyberprzestępczych, ponieważ podpis cyfrowy może obniżać poziom podejrzeń po stronie użytkowników, systemów operacyjnych i części narzędzi bezpieczeństwa.
W praktyce podpisany plik wykonywalny wygląda bardziej wiarygodnie niż niepodpisany odpowiednik. To sprawia, że infrastruktura zaufania, zaprojektowana z myślą o legalnych dostawcach oprogramowania, może zostać wykorzystana jako element wspierający dystrybucję malware.
W skrócie
Centralną rolę w sprawie odegrała grupa śledzona jako Fox Tempest. Według ustaleń Microsoftu aktor ten miał utworzyć ponad tysiąc certyfikatów oraz setki dzierżaw i subskrypcji chmurowych, aby wspierać operację podpisywania złośliwych plików.
Usługa była oferowana cyberprzestępcom jako zaplecze techniczne umożliwiające nadawanie malware legalnie wyglądających podpisów cyfrowych. Microsoft unieważnił powiązane certyfikaty, przejął domenę wykorzystywaną przez usługę oraz wyłączył część związanej z nią infrastruktury.
Kontekst / historia
Podpisywanie kodu od lat pozostaje jednym z fundamentów modelu zaufania w ekosystemie oprogramowania. Certyfikat code signing ma potwierdzać integralność pliku i tożsamość podmiotu publikującego, ale mechanizm ten bywa regularnie nadużywany przez grupy przestępcze pozyskujące lub wyłudzające certyfikaty.
W opisywanym przypadku wykorzystano usługę Artifact Signing, wcześniej znaną jako Trusted Signing. Rozwiązanie zostało zaprojektowane z myślą o uproszczeniu procesu podpisywania aplikacji przez legalnych producentów oprogramowania. Z ustaleń Microsoftu wynika, że Fox Tempest obchodził mechanizmy weryfikacji tożsamości, prawdopodobnie z użyciem skradzionych danych identyfikacyjnych z USA i Kanady.
Microsoft łączy tę infrastrukturę z wieloma rodzinami malware oraz z operacjami ransomware, w tym z Oyster, Lumma Stealer, Vidar, Rhysida, Akira, INC, Qilin i BlackByte. Skala oraz różnorodność przypisywanych kampanii wskazują, że nie chodziło o pojedynczy incydent, lecz o dojrzałą usługę wspierającą szerszy ekosystem cyberprzestępczy.
Analiza techniczna
Model działania przypominał wyspecjalizowaną usługę przestępczą. Klienci przesyłali pliki do podpisania, a operator zapewniał infrastrukturę, konta, profile certyfikatów i automatyzację całego procesu. Szczególnie istotne były krótkotrwałe certyfikaty ważne przez 72 godziny, które utrudniały wykrywanie schematów nadużyć i skracały czas dostępny na reakcję obrońców.
Według opisu Microsoftu usługa początkowo działała przez portal SignSpace, a następnie ewoluowała do modelu opartego o wstępnie skonfigurowane maszyny wirtualne. Klienci otrzymywali gotowe środowisko, do którego mogli przesłać próbki, a następnie odebrać podpisane binaria. Taka architektura ograniczała tarcie operacyjne, poprawiała separację między operatorem a klientem oraz ułatwiała skalowanie usługi.
W przygotowanych środowiskach znajdowały się pliki konfiguracyjne wskazujące odpowiednie endpointy, profile podpisywania oraz skrypty automatyzujące proces. Z perspektywy atakującego podpisany plik zyskiwał przewagę operacyjną, ponieważ wyglądał bardziej wiarygodnie dla ofiary, mógł łatwiej ominąć część mechanizmów reputacyjnych i był mniej podejrzany podczas pierwszego uruchomienia.
Szczególnie groźne było użycie podpisanych plików w kampaniach podszywających się pod znane aplikacje, takie jak Microsoft Teams, AnyDesk, PuTTY czy Webex. Ofiara pobierała pozornie legalny instalator, który po uruchomieniu dostarczał loader lub backdoora, a następnie kolejne ładunki, w tym ransomware. W jednym z opisanych scenariuszy trojanizowany instalator Teams prowadził do wdrożenia malware Oyster, a później do uruchomienia ransomware Rhysida.
Model biznesowy również świadczył o wysokim poziomie profesjonalizacji. Dostęp do usługi był promowany przez kanały komunikacyjne używane przez cyberprzestępców, a ceny za podpisywanie plików miały sięgać od 5 do 9 tys. dolarów w bitcoinie. To pokazuje, że podpis cyfrowy stał się towarem premium zwiększającym skuteczność operacji intrusion-as-a-service i ransomware-as-a-service.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takich nadużyć jest osłabienie zaufania do mechanizmu podpisu kodu. Jeżeli złośliwe oprogramowanie może zostać podpisane przy użyciu certyfikatów pochodzących z uznanej platformy, organizacje tracą część korzyści wynikających z opierania polityk bezpieczeństwa na reputacji plików i wydawców.
Ryzyko operacyjne obejmuje kilka warstw. Użytkownicy są bardziej skłonni uruchomić plik wyglądający na legalny. Część narzędzi bezpieczeństwa może opóźnić alarmowanie wobec podpisanego binarium. Dodatkowo ataki z użyciem podpisanych instalatorów łatwiej wpisują się w scenariusze initial access oparte na malvertisingu, SEO poisoning i podszywaniu się pod legalne marki.
Dla zespołów SOC oznacza to konieczność odejścia od uproszczonego założenia, że podpisany plik jest automatycznie mniej ryzykowny. Certyfikat pozostaje ważnym sygnałem, ale nie może być jedynym kryterium zaufania. Szczególną ostrożność powinny wzbudzać krótkookresowe certyfikaty, nowi lub rzadko spotykani wydawcy oraz nietypowe łańcuchy dostawy.
Rekomendacje
Organizacje powinny wdrożyć podejście defense-in-depth wobec wszystkich plików wykonywalnych, niezależnie od statusu podpisu cyfrowego. Sam podpis nie powinien wyłączać analizy behawioralnej, oceny reputacyjnej, sandboxingu ani korelacji telemetrii z innych warstw ochrony.
- monitorować uruchamianie nowo podpisanych plików, szczególnie z krótkim okresem ważności certyfikatu;
- korelować telemetrię z pobrań reklamowych, wyników wyszukiwania i stron podszywających się pod legalnych producentów;
- stosować allowlisting aplikacji z dodatkowymi warunkami, a nie wyłącznie na podstawie obecności podpisu;
- weryfikować łańcuch certyfikatów, wiek certyfikatu, historię wydawcy i zgodność nazwy pliku z deklarowaną funkcją;
- analizować nietypowe instalatory popularnych narzędzi administracyjnych i komunikacyjnych;
- utrzymywać aktywne funkcje ochrony chmurowej, reputacyjnej i antyphishingowej w EDR, AV oraz zabezpieczeniach poczty i przeglądarek;
- egzekwować segmentację, MFA i ograniczenia uprawnień lokalnych, aby utrudnić dalszy ruch po skutecznym uruchomieniu malware;
- regularnie aktualizować procedury detekcji pod kątem kampanii wykorzystujących trojanizowane instalatory i podpisane loadery.
Po stronie dostawców usług podpisywania kluczowe pozostają twardsza walidacja tożsamości, analiza anomalii przy zakładaniu tenantów i subskrypcji, wykrywanie masowego wystawiania krótkotrwałych certyfikatów oraz szybkie procedury unieważniania i blokowania nadużyć.
Podsumowanie
Sprawa Fox Tempest pokazuje, że infrastruktura zaufania może zostać przekształcona w narzędzie wspierające dystrybucję malware na dużą skalę. Nadużycie usługi Artifact Signing umożliwiło cyberprzestępcom podpisywanie złośliwych plików certyfikatami o wysokiej wiarygodności, co zwiększało skuteczność kampanii ransomware i innych ataków.
Dla obrońców najważniejszy wniosek jest jednoznaczny: podpis cyfrowy nie może być traktowany jako samodzielny dowód bezpieczeństwa. Powinien być oceniany w szerszym kontekście, z uwzględnieniem telemetrii, zachowania pliku, reputacji wydawcy i realnego ryzyka operacyjnego.
Źródła
- https://www.bleepingcomputer.com/news/security/cybercrime-service-disrupted-for-abusing-microsoft-platform-to-sign-malware/
- https://www.microsoft.com/en-us/security/blog/2026/05/19/exposing-fox-tempest-a-malware-signing-service-operation/
- https://www.noticeofpleadings.net/OpFauxSign/index.html
- https://learn.microsoft.com/en-us/azure/trusted-signing/overview
- https://www.microsoft.com/en-us/security/blog/