Microsoft desmanteló Fox Tempest, un servicio ilegal que vendía certificados de firma de código para hacer que el malware pareciera software legítimo. Mediante cuentas fraudulentas, el grupo facilitó la propagación de ransomware y otros virus en miles de equipos, incluidos algunos de la propia Microsoft. La operación fue detectada tras una investigación que incluyó compras encubiertas y el rastreo de pagos en criptomonedas.

Microsoft ha incautado sitios web y ha dado de baja cientos de máquinas virtuales que ejecutaban un servicio de cibercrimen que presuntamente vendía certificados de firma de código a bandas de ransomware, logrando así que su malware pareciera software legítimo y permitiendo a los criminales infectar miles de máquinas en EE. UU., incluidas al menos 12 propiedad y operadas por el gigante de Windows.

La operación de firma de malware como servicio, llamada Fox Tempest, ha estado activa desde mayo de 2025 y abusa del servicio de firma de código Artifact Signing de Microsoft. Este servicio permite a los desarrolladores firmar digitalmente sus aplicaciones de software, indicando al sistema operativo Windows y al usuario final que el software es auténtico y no ha sido manipulado.

Desde mayo de 2025, el grupo Fox Tempest —identificado como John Doe 1 y 2 en los documentos judiciales desclasificados el martes— utilizó identidades falsas y suplantó organizaciones reales, lo que les permitió crear más de 580 cuentas fraudulentas de Microsoft.

Luego utilizaron estas cuentas para abusar del servicio Artifact Signing de Microsoft y obtener credenciales de firma de código reales, que posteriormente vendieron a otros criminales por miles de dólares.

Según Microsoft, los clientes de Fox Tempest incluían a un grupo de ransomware que Redmond rastrea como Vanilla Tempest (también conocido como Vice Spider, Vice Society, Rhysida), que presuntamente utilizó los certificados para firmar digitalmente el malware y hacer que pareciera legítimo para Windows y los usuarios.

Esto también permitió a los distribuidores de ransomware "desplegar el malware más fácilmente en los ordenadores de víctimas desprevenidas sin su consentimiento", según los [PDF] documentos judiciales. El malware incluía el backdoor de Windows Oyster, los infostealers Lumma y Vidar, y el ransomware Rhysida.

Vanilla Tempest "accedió ilegalmente a los ordenadores y dispositivos de las víctimas, exfiltró y robó información personal y confidencial, desplegó ransomware diseñado para cifrar los archivos y sistemas de las víctimas y extorsionó a las víctimas exigiendo el pago a cambio de restaurar el acceso a sus datos o suprimirlos", continúa la demanda civil, añadiendo que la actividad criminal continúa.

En una publicación posterior en su blog, Steven Masada, abogado de la Unidad de Delitos Digitales de Microsoft, afirmó que la investigación de la compañía tecnológica "vinculó aún más a Fox Tempest con varias filiales y familias de ransomware adicionales, incluidas INC, Qilin, Akira y otras".

Entre febrero y marzo, la Unidad de Delitos Digitales (DCU), trabajando con "una fuente cooperadora", compró y probó anónimamente el servicio de firma de código de John Doe 2, también conocido como SamCodeSign.

"Estas compras de prueba permitieron a los investigadores de la DCU observar de primera mano cómo los demandados de Fox Tempest operan el servicio, la información que se le proporciona al comprador y las instrucciones dadas por SamCodeSign para conectarse al servicio y firmar el software de prueba creado por Microsoft", dicen los documentos judiciales. "Además, las compras de prueba permitieron a la DCU identificar las carteras de criptomonedas utilizadas por los demandados de Fox Tempest".

Durante la primera compra de prueba, la fuente completó un formulario de Google preguntando con qué rapidez necesitaban los certificados. El estándar cuesta 5.000 dólares, mientras que el prioritario cuesta 7.500 dólares y el expedito tiene un precio elevado de 9.500 dólares.

SamCodeSign envió entonces un mensaje directo a la fuente y solicitó que el pago de 7.500 dólares se enviara a una cartera de bitcoin, según capturas de pantalla (traducidas del ruso) en los documentos judiciales.

Después de que la fuente pagara, SamCodeSign envió instrucciones sobre cómo acceder a la máquina virtual y completar el proceso de firma de código.

"Microsoft ha identificado miles de máquinas de clientes, incluidas más de una docena de máquinas propiedad y operadas por Microsoft en los Estados Unidos, que se han visto afectadas por malware firmado con certificados originados en los inquilinos creados por los demandados de Fox Tempest", dice la demanda.

Fuente:
TheRegister