Microsoft desmanteló la operación de Fox Tempest, un servicio que defraudaba el sistema de firma de certificados de la empresa para disfrazar malware y ransomware como software legítimo. Esta red permitió ataques globales contra sectores de salud, finanzas y gobierno, cobrando entre 5,000 y 9,000 dólares por cada firma fraudulenta. La intervención incluyó la incautación de su sitio web y el cierre de cientos de máquinas virtuales utilizadas para el crimen cibernético.

Microsoft afirmó el martes que ha desmantelado una operación de firma de malware como servicio (MSaaS) que instrumentalizó el sistema de Firma de Artefactos (Artifact Signing) de la compañía para entregar código malicioso y llevar a cabo ataques de ransomware y otras amenazas, comprometiendo miles de máquinas y redes en todo el mundo.

El gigante tecnológico atribuyó la actividad a un actor de amenazas que denomina Fox Tempest, el cual ofrecía el esquema MSaaS para permitir que los cibercriminales disfrazaran el malware como software legítimo. El actor de amenazas ha estado activo desde mayo de 2025. El esfuerzo de incautación ha sido bautizado como OpFauxSign.

"Para interrumpir el servicio, incautamos el sitio web de Fox Tempest signspace[.]cloud, dejamos fuera de línea cientos de las máquinas virtuales que ejecutaban la operación y bloqueamos el acceso a un sitio que alojaba el código subyacente", dijo Steven Masada, asesor general adjunto de la Unidad de Delitos Digitales de Microsoft [enlace].

Microsoft señaló que la operación permitió el despliegue del ransomware Rhysida por parte de actores de amenazas como Vanilla Tempest, junto con otras familias de malware como Oyster, Lumma Stealer y Vidar, ilustrando el papel crucial desempeñado por Fox Tempest dentro del ecosistema del cibercrimen.

Además, se han descubierto conexiones entre el actor de amenazas y afiliados asociados con varias cepas prominentes de ransomware, incluidas INC, Qilin, BlackByte y Akira. Los ataques lanzados por estas operaciones han tenido como objetivo servicios sanitarios, educativos, gubernamentales y financieros situados en EE. UU., Francia, India y China.

Artifact Signing (anteriormente Azure Trusted Signing) es la solución de firma de extremo a extremo totalmente gestionada de Microsoft que permite a los desarrolladores crear y distribuir aplicaciones fácilmente, asegurando que el software es legítimo y no ha sido modificado por terceros no autorizados.

Se dice que Fox Tempest aprovechó este mecanismo para generar certificados de firma de código fraudulentos de corta duración y utilizarlos para entregar malware firmado y confiable, evadiendo los controles de seguridad. Los certificados eran válidos solo durante 72 horas.

"Para obtener certificados firmados legítimos a través de Artifact Signing, el solicitante debe pasar procesos detallados de validación de identidad conformes a las credenciales verificables (VC) estándar de la industria, lo que sugiere que el actor de amenazas probablemente utilizó identidades robadas basadas en Estados Unidos y Canadá para hacerse pasar por una entidad legítima y obtener las credenciales digitales necesarias para la firma", explicó Microsoft [enlace].

"El sitio web SignSpace fue construido sobre Artifact Signing y permitía la firma segura de archivos a través de un panel de administración y una página de usuario, aprovechando suscripciones de Azure, certificados y una base de datos estructurada para gestionar usuarios y archivos".

El servicio permitía a clientes cibercriminales que pagaban cargar archivos maliciosos para la firma de código utilizando certificados obtenidos fraudulentamente por Fox Tempest. Esto, a su vez, permitió que el malware y el ransomware se disfrazaran de software legítimo como AnyDesk, Microsoft Teams, PuTTY y Cisco Webex. El servicio costaba entre 5.000 y 9.000 dólares.

A partir de febrero de 2026, se dice que el actor de amenazas pasó a proporcionar a los clientes máquinas virtuales (VM) preconfiguradas alojadas en Cloudzy, haciendo así posible cargar directamente los artefactos necesarios en la infraestructura controlada por el atacante y recibir a cambio binarios firmados.

"Esta evolución de la infraestructura redujo la fricción para los clientes, mejoró la seguridad operativa de Fox Tempest y optimizó aún más la entrega de malware firmado, malicioso pero confiable, a gran escala", afirmó Microsoft.

Se ha descubierto que actores de amenazas como Vanilla Tempest distribuyeron binarios firmados a través del servicio mediante anuncios comprados legítimamente que redirigían a los usuarios que buscaban Microsoft Teams a páginas de descarga falsas, allanando el camino para el despliegue de Oyster (también conocido como Broomstick o CleanUpLoader), un implante modular y cargador responsable de entregar el ransomware Rhysida.

Microsoft afirmó que Fox Tempest ha adaptado continuamente sus tácticas a medida que la empresa implementaba contramedidas, como la desactivación de cuentas fraudulentas y la revocación de los certificados obtenidos ilícitamente, llegando el actor de amenazas incluso a intentar cambiar a un servicio de firma de código diferente. Documentos judiciales revelan que Microsoft trabajó con una "fuente cooperativa" para comprar y probar el servicio entre febrero y marzo de 2026.

"Cuando los atacantes pueden hacer que el software malicioso parezca legítimo, socavan la forma en que las personas y los sistemas deciden qué es seguro", dijo Redmond. "Interrumpir esa capacidad es clave para aumentar el coste del cibercrimen".

Fuente:
THN