Microsoft провела операцию по ликвидации схемы подписки вредоносного ПО, которая использовала уязвимость в Artifact Signing для распространения атак, затрагивавших тысячи устройств по всему миру. Это усиливает общую безопасность в цифровом пространстве и может существенно снизить число инцидентов с вымоганием данных.
Уязвимость и злоумышленники
Компания выявила, что за действиями киберпреступников стоит группа Fox Tempest, активно действующая с мая 2025 года. Чаще всего они предлагали услуги по подписке на вредоносное ПО, маскируя его под легитимные приложения — например, Microsoft Teams и Cisco Webex. Эта схема позволила запускающим атаки группировкам, таким как Vanilla Tempest, эффективно скрывать свои злонамеренные действия, используя подписанные сертификаты.
Подробности операций
В рамках операции, получившей кодовое имя OpFauxSign, Microsoft приостановила доступ к домену signspace[.]cloud, отключила сотни виртуальных машин и заблокировала доступ к сайтам, которые устанавливали вредоносное ПО. В результате этой инициативы количество атак на системы защиты гражданских и денежных учреждений в США, Франции, Индии и Китае может значительно сократиться.
Fox Tempest генерировал мошеннические сертификаты, действительные всего 72 часа, что позволило им избегать обнаружения. Microsoft подтвердила, что для получения легитимных подписанных сертификатов злоумышленники, вероятно, использовали украденные данные идентификации граждан США и Канады.
Влияние на кибербезопасность
Закрытие сервиса и приводимые данные указывают на то, что работа Microsoft по выявлению и ликвидации таких схем прямо влияет на уровень безопасности пользователей в сети. Несмотря на угрозу со стороны сложных схем атаки, такие меры могут снижать финансовые потери, связанные с киберпреступлениями, которые в 2025 году составили $6 трлн.
Следующий шаг для Microsoft — продолжение разработки технологий, которые бы обеспечили защиту от подобных схем и защитили конечных пользователей. В планах компании остается работа по усовершенствованию механизмов предотвращения подписки на вредоносное ПО и дальнейшая борьба с киберпреступностью на глобальном уровне.