🚨 Microsoft подан иск на мошенников, выдававших сертификаты подписи кода

Кто не испугался открыть Signspace[.]cloud могли узнать, что домен был изъят Microsoft и сейчас установлен редирект, а также что Microsoft подан иск в Нью-Йорка, т.к. владелецы этого веб-сайта причастны к глобальной схеме "Вредоносная подпись как услуга" (Malware Signing-as-a-Service).

Сообщается, что сайт был создан, чтобы позволить злоумышленникам мошенническим путем получать сертификаты подписи кода Microsoft, чтобы подписывать вредоносное ПО как легитимный код и развертывать вредоносную нагрузку для облегчения киберпреступлений, таких как атаки с использованием программ-вымогателей и финансовое мошенничество. Размещена ссылка на более подробную информацию о судебном иске.

Иск Microsoft подан на Джонов Доу (организаторов Fox Tempest и исполнителей Vanilla Tempest) по мошенническому получению сертификатов подписи кода через облачный сервис Microsoft Artifact Signing.

В иске раскрывается схема работы, которая была поставлена на поток:
🔹Группировка Fox Tempest создала >580 мошеннических клиентов Microsoft. Они подделывали документы, регистрировали компании и использовали фейковые ID.
🔹Через эти клиенты они получали доступ к сервису Artifact Signing и создавали сертификаты подписи кода.
🔹Эти сертификаты продавались (цена до $9500) через Telegram-чаты и Google Forms группировке Vanilla Tempest.
🔹Vanilla Tempest использовала сертификаты для подписи троянов (в частности, Oyster), маскируя их под установщики Microsoft Teams. Подписанный софт проходил защиту Windows (включая Smart App Control).

В итоге вредоносное ПО Oyster воровало данные, развертывало троянов-вымогателей Ransomware Rhysida. Под угрозой оказались тысячи компьютеров в США, включая серверы Microsoft. Подсчитан ущерб Microsoft: только расследование стоило $1,5 млн и 8000 часов работы.

Microsoft была проведена контрольная закупка,  чтобы зафиксировать передачу биткоинов, доступ к VPS и сам факт продажи сертификатов. Сейчас компания требует в суде отозвать домены, заблокировать инфраструктуру и взыскать убытки.

За последние 10 лет ситуация с сертификатами подписи кода изменилась. Если раньше воровали ключи разработчиков, то теперь просто фейковым путем получают новые сертификаты в облачных сервисах.
В иске указано, что в Artifact Signing используется "digest signing" (сервис не видит код файла), что и стало идеальной лазейкой. Microsoft позволили этой уязвимости существовать, как архитектурной особенности.
Разработчик вычисляет хеш своего ПО, который нужно подписать, и отправляет только этот хеш. Microsoft подписывает хеш, сам файл ПО, чтобы можно было его проверить, в Microsoft не попадает. Microsoft никто не взламывал, воспользовались стандартными процедурами.

Технология от Microsoft, позиционируемая как защищенная (FIPS 140-2 Level 3), использовалась мошенниками в промышленных масштабах.

Отдельно прикрепил из иска скриншоты переписки Microsoft с мошенниками, которые до сих пор активны в Телеграм.

✍️"Об ЭП и УЦ"

Информированное добровольное согласие и электронная подпись

В личном кабинете медицинской организации пришло уведомление  - подпишите документ, которым оказалось "Согласие на ЭП" от F.Doc. После чего появилась возможность подписания основного документа "Информированное добровольное согласие". Стал смотреть, что такое -

Информированное добровольное согласие... оформляется в виде документа на бумажном носителе, подписанного гражданином, медицинским работником, либо формируется в форме электронного документа, подписанного гражданином с использованием усиленной квалифицированной электронной подписи или простой электронной подписи посредством применения ЕСИА, а также медицинским работником с использованием усиленной квалифицированной электронной подписи

Для подписания нужно аутентифироваться в ЕСИА, это предусмотрено статьей 20 323-ФЗ, либо использовать квалифицированную ЭП. При этом со стороны медицинской организации - только квал, но его найти не удалось.

Документ подписан электронной подписью посредством применения ЕСИА

Для медицинских организаций ПЭП ЕСИА не предусмотрена.

✍️"Об ЭП и УЦ"