Fox Tempest: когда код УЦ используется для доставки шифровальщиков

Пока рынок в нашей стране обсуждает очередные антифрод-поправки, которые в том числе предусматривают создание Национального удостоверяющего центра, злоумышленники используют легитимные сервисы доверенного подписания кода. Microsoft опубликован подробный разбор деятельности "Fox Tempest" - полноценного бизнеса по модели "подписание кода как услуга" (MSaaS) с тысячами выданных сертификатов.

Как это работало с точки зрения PKI и доверия

Злоумышленники не использовали самоподписанные сертификаты в надежде, что жертва нажмет "Установить в хранилище", они пошли официальным путём: используя сервис Microsoft Artifact Signing (бывший Azure Trusted Signing), пройдя подтверждение личности (вероятно, по краденым документам граждан США и Канады), они получали короткоживущие (72 часа) легитимные сертификаты для подписи кода.

Файлы со зловредами (Oyster, Lumma, Vidar, Rhysida и др.) подписывались валидной подписью доверенного центра, имя издателя маскировалось под легитимный софт (AnyDesk, Teams, Webex). Операционные системы и средства защиты не видели угрозы, так как доверяли сертификатам подписи кода.
Цепочка атак Vanilla Tempest и Fox Tempest

Работало это через домен Signspace.cloud (сейчас заблокирован). Там была классическая админка: подписчики загружали свои зловреды, а операторы Fox Tempest подписывали. Ценник на услугу был выставлен от $5000 до $9000.

В феврале 2026 года схема усовершенствовалась: клиентам начали выдавать преднастроенные виртуальные машины (VPS), где уже были скрипты PowerShell и конфиги metadata.json с привязкой к конкретной учетке подписания. Всё было автоматизировано и поставлено на поток. Техническая поддержка велась через Telegram-канал и Google-формы (на русском и английском языках).

Компания Fox Tempest взаимодействовала с клиентами напрямую через Telegram-канал EV Certs for Sale by SamCodeSign под учетной записью пользователя arbadakarba2000

- говорится в отчёте. Мне удалось найти на одном из форумов пост с данного аккаунта о продаже сертификатов подписи кода.

Microsoft зафиксированы тысячи сертификатов от Fox Tempest, все они отозваны. Ключевой индикатор для сферы электронной подписи - использование легитимной инфраструктуры УЦ для обхода эвристики. Зловред больше не "серый", он имеет валидную подпись и сертификат от доверенного издателя. Без контроля цепочки сертификатов и средств поведенческого анализа (XDR/EDR) полагаться только на наличие "замочка" подписи - больше не приходится.

✍️"Об ЭП и УЦ"

🚨 Microsoft подан иск на мошенников, выдававших сертификаты подписи кода

Кто не испугался открыть Signspace[.]cloud могли узнать, что домен был изъят Microsoft и сейчас установлен редирект, а также что Microsoft подан иск в Нью-Йорка, т.к. владелецы этого веб-сайта причастны к глобальной схеме "Вредоносная подпись как услуга" (Malware Signing-as-a-Service).

Сообщается, что сайт был создан, чтобы позволить злоумышленникам мошенническим путем получать сертификаты подписи кода Microsoft, чтобы подписывать вредоносное ПО как легитимный код и развертывать вредоносную нагрузку для облегчения киберпреступлений, таких как атаки с использованием программ-вымогателей и финансовое мошенничество. Размещена ссылка на более подробную информацию о судебном иске.

Иск Microsoft подан на Джонов Доу (организаторов Fox Tempest и исполнителей Vanilla Tempest) по мошенническому получению сертификатов подписи кода через облачный сервис Microsoft Artifact Signing.

В иске раскрывается схема работы, которая была поставлена на поток:
🔹Группировка Fox Tempest создала >580 мошеннических клиентов Microsoft. Они подделывали документы, регистрировали компании и использовали фейковые ID.
🔹Через эти клиенты они получали доступ к сервису Artifact Signing и создавали сертификаты подписи кода.
🔹Эти сертификаты продавались (цена до $9500) через Telegram-чаты и Google Forms группировке Vanilla Tempest.
🔹Vanilla Tempest использовала сертификаты для подписи троянов (в частности, Oyster), маскируя их под установщики Microsoft Teams. Подписанный софт проходил защиту Windows (включая Smart App Control).

В итоге вредоносное ПО Oyster воровало данные, развертывало троянов-вымогателей Ransomware Rhysida. Под угрозой оказались тысячи компьютеров в США, включая серверы Microsoft. Подсчитан ущерб Microsoft: только расследование стоило $1,5 млн и 8000 часов работы.

Microsoft была проведена контрольная закупка,  чтобы зафиксировать передачу биткоинов, доступ к VPS и сам факт продажи сертификатов. Сейчас компания требует в суде отозвать домены, заблокировать инфраструктуру и взыскать убытки.

За последние 10 лет ситуация с сертификатами подписи кода изменилась. Если раньше воровали ключи разработчиков, то теперь просто фейковым путем получают новые сертификаты в облачных сервисах.
В иске указано, что в Artifact Signing используется "digest signing" (сервис не видит код файла), что и стало идеальной лазейкой. Microsoft позволили этой уязвимости существовать, как архитектурной особенности.
Разработчик вычисляет хеш своего ПО, который нужно подписать, и отправляет только этот хеш. Microsoft подписывает хеш, сам файл ПО, чтобы можно было его проверить, в Microsoft не попадает. Microsoft никто не взламывал, воспользовались стандартными процедурами.

Технология от Microsoft, позиционируемая как защищенная (FIPS 140-2 Level 3), использовалась мошенниками в промышленных масштабах.

Отдельно прикрепил из иска скриншоты переписки Microsoft с мошенниками, которые до сих пор активны в Телеграм.

✍️"Об ЭП и УЦ"