Der Technologieriese gab am 19. Mai bekannt, dass er den Aktionen von Fox Tempest ein Ende gesetzt habeein Dienst, der als „Malware-Signing-as-a-Service“ (MSaaS) bezeichnet wird. Diese Plattform ermöglichte es Hackern, ihre Malware als echte Programme auszugeben, indem sie den legitimen Cloud-Dienst Azure Artifact Signing missbrauchten. Seit 2024 bietet dieses Tool Entwicklern die Möglichkeit, ihre Anwendungen digital zu signieren, eine Vertrauensgarantie für Betriebssysteme wie Windows und Antivirenprogramme. Fox Tempest war ein wichtiger, aber oft unsichtbarer Akteur im Ökosystem der Cyberkriminalität modern.

Wie hat es Fox Tempest geschafft, die Sicherheitssysteme auszutricksen?

Die Arbeitsweise der Plattform war äußerst effizient. Damit ein Programm als vertrauenswürdig gilt, muss es über ein digitales Zertifikat verfügen ausgestellt von einer anerkannten Behörde. Den Betreibern von Fox Tempest gelang es, an diese wertvollen Schlüssel zu gelangen, indem sie Hunderte gefälschter Azure-Konten erstellten und dabei häufig Identitäten stahlen. von legitimen Entwicklern, hauptsächlich Amerikanern und Kanadiern. Ein Hacker könnte dann einfach seine Malware auf dem Fox Tempest-Portal hinterlegen, um sie wenige Augenblicke später signiert und bereit abzurufen, um die Wachsamkeit der Computerabwehr zu täuschen.

Dieser schlüsselfertige Dienst wurde über Abonnements auf Kanälen wie Telegram vermarktet, wobei die Preise in Bitcoin zwischen 5.000 und 9.500 US-Dollar lagen. Um das Risiko einer Entdeckung zu minimieren, waren die auf betrügerische Weise erlangten Zertifikate nur 72 Stunden gültig, eine Einschränkung, die das Unternehmen nicht daran hinderte, Gewinne in Millionenhöhe zu erwirtschaften. Kriminelle konnten mehr als 1.000 Malware-Teile zertifizieren, was die Erfolgsaussichten ihrer Angriffe durch die Überwindung von Sicherheitssystemen deutlich erhöht. traditionell.

Was waren die Ziele und Folgen dieser Angriffe?

Sobald die Malware zertifiziert war, wurde sie über klassische, aber effektive Methoden verbreitet: bösartige Werbung auf Suchmaschinen und gefälschten Downloadseiten für beliebte Software wie Microsoft Teams, AnyDesk oder PuTTY. Ein Opfer, das glaubte, ein legitimes Programm zu installieren, setzte tatsächlich Spyware wie Oyster ein, die dann den Weg für die Rhysida-Ransomware ebnete. Letzterer war dafür verantwortlich, alle Dateien auf dem Computer zu verschlüsseln und ein Lösegeld zu verlangen.

Diese Methode hat die Verbreitung vieler Malware-Familien ermöglicht, darunter die Datendiebe Lumma Stealer und Vidar. Krankenhäuser, Universitäten und öffentliche Verwaltungen wurden weltweit ins Visier genommen. Frankreich Besonders betroffen war das Land, das nach den Vereinigten Staaten das am zweithäufigsten von den Operationen von Fox Tempest betroffene Land war. Zu den Kunden dieses Dienstes gehörten kriminelle Gruppen wie Vanilla Tempest, Qilin und Akira, die es ihnen ermöglichten, Dateien zu verschlüsseln ihrer Opfer mit beeindruckender Effizienz.

Was war die Reaktion, um diese Bedrohung zu neutralisieren?

Um dieser Bedrohung ein Ende zu setzen, hat Microsoft mobilisierte seine Abteilung für digitale Kriminalität (DCU), ihre auf die Bekämpfung der Cyberkriminalität spezialisierte Einheit. In enger Zusammenarbeit mit dem FBI, dem European Cybercrime Centre (EC3) von Europol und dem Cybersicherheitsunternehmen Resecurity wurde ein massiver Gegenangriff organisiert. Die Operation führte zur Beschlagnahmung der Domain web von Fox Tempest, signspace(.)cloud, bis hin zur Offlineschaltung Hunderter virtueller Maschinen und der Sperrung von mehr als 1.000 betrügerischen Zertifikaten.

Zusätzlich zu diesen technischen Maßnahmen reichte der Herausgeber eine Beschwerde gegen die Administratoren der Plattform und einen ihrer Hauptkunden, die Vanilla Tempest-Bande, ein. Diese koordinierte Reaktion hat strategische Auswirkungen: Es zwingt Hacker dazu, alles neu aufzubauen, neue Schwachstellen zu finden und mehr Risiken einzugehen. Das Ziel besteht darin, ihre Abläufe kostspieliger und komplexer zu machen und damit ein kritisches Glied in der Angriffskette vieler Ransomware-Gruppen zu schwächen.