سرویس جرایم سایبری که از پلتفرم مایکروسافت برای امضای بدافزار سوءاستفاده می‌کرد، مختل شد

مایکروسافت اعلام کرد که یک عملیات بدافزار-امضا-به‌عنوان-سرویس (Malware-Signing-as-a-Service) را که با نام «Fox Tempest» ردیابی می‌شد، مختل کرده است. این گروه از سرویس امضای مصنوعات (Artifact Signing) مایکروسافت سوءاستفاده کرده و بیش از هزار گواهی امضای کد (code-signing certificate) جعلی برای باندهای باج‌افزاری و سایر مجرمان سایبری صادر کرده بود. مایکروسافت همچنین پرونده‌ای حقوقی در دادگاه فدرال ایالات متحده در منطقه جنوبی نیویورک علیه این عملیات مطرح کرد، دامنه signspace[.]cloud را توقیف نمود، صدها ماشین مجازی مرتبط با این عملیات را از دسترس خارج کرد و دسترسی به زیرساخت‌های این پلتفرم جرایم سایبری را مسدود ساخت.

این عملیات با کمپین‌های متعدد بدافزاری و باج‌افزاری از جمله Oyster، Lumma Stealer، Vidar و باج‌افزارهای Rhysida، Akira، INC، Qilin و BlackByte مرتبط بوده است. گروه‌های تهدید از جمله Vanilla Tempest، Storm-0501 و Storm-0249 از این بدافزارهای امضاشده در حملات خود استفاده کردند. مایکروسافت اعلام کرد که این پلتفرم از طریق کانال تلگرامی «EV Certs for Sale by SamCodeSign» با قیمت‌هایی بین ۵,۰۰۰ تا ۹,۰۰۰ دلار بیت‌کوین تبلیغ می‌شد و میلیون‌ها دلار سود برای اپراتورهای آن به همراه داشت. گواهی‌های مورد استفاده تنها ۷۲ ساعت اعتبار داشتند تا احتمال شناسایی کاهش یابد، و مایکروسافت معتقد است اپراتورها از هویت‌های سرقت‌شده از ایالات متحده و کانادا برای عبور از فرآیند تأیید هویت استفاده کرده‌اند.