Fox Tempest: ransomware как сервис с «официальным» сертификатом

Ваш антивирус видит подпись Microsoft - и пропускает. А внутри - выкуп за ваши данные.

В мае Microsoft раскрыла и прикрыла операцию Fox Tempest - группу, которая продавала услугу: «подпишем ваш вирус как легитимное ПО». Они использовали легальный сервис подписи артефактов и получали краткоживущие, но настоящие сертификаты. Клиент приносил вредонос - уходил с файлом, который выглядел как доверенное, подписанное приложение.

Клиентура - от известных рансом-групп до менее заметных игроков. Цены - до десятков тысяч долларов за «подписанный» билд. Антивирусы и фильтры, которые доверяют подписи как сильному индикатору легитимности, оказывались в дураках.

Аналогия: это подпольная нотариальная контора, которая за деньги ставит настоящие печати на документы любого содержания. На входе - бандиты с фальшивыми договорами. На выходе - бумага, которой верит любой суд.

Что делать:

Пользователям: перестаньте верить одной галочке «подписано Microsoft/издателем X». Скачивайте ПО только с официальных сайтов, а не из «подборок лучших программ» или с форумов.

Бизнесу/CEO: если ваша защита настроена по принципу «подписано - значит ок», вы живёте в прошлом. Нужен поведенческий анализ, сегментация, контроль привилегий, а не слепое доверие к сертификату.

Моё мнение: история с Fox Tempest - это демонстрация того, что злоумышленники прекрасно понимают, во что верит корпоративная защита. И начинают выдавать себя за именно то, чему она доверяет. Ждите «подписку» на подобные сервисы на подпольных маркетплейсах. Если честно, я бы не удивился, увидев тарифный план «Enterprise».

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥



#FoxTempest #ransomware #codesigning #Microsoft #кибербезопасность