Microsoft interrumpe el servicio de cibercrimen que abusaba en masa de los sistemas de verificación de software
Microsoft se apoderó de la infraestructura e interrumpió un servicio de ciberdelincuencia que creaba y vendía más de 1.000 certificados de firma de código que otros ciberdelincuentes utilizaban para hacer que el software plagado de malware pareciera confiable y legítimo para posteriores ciberataques, incluido el ransomware, dijo la compañía el martes.
El grupo de amenazas con motivación financiera, que Microsoft rastrea como Fox Tempest, proporcionó la firma de malware como servicio a múltiples grupos de ransomware, incluidos Rhysida, Vanilla Tempest, Storm-0501, Storm-2561 y Storm-0249 durante al menos un año antes de que Microsoft recibiera una orden judicial para desmantelar la operación.
Fox Tempest, que Microsoft ha estado rastreando desde septiembre de 2025, abusó del sistema de firma de artefactos de Microsoft al fabricar identidades y hacerse pasar por organizaciones legítimas para acceder a los servicios de firma de códigos de Microsoft, dijo Steven Masada, asesor general adjunto de la Unidad de Delitos Digitales de Microsoft, durante una conferencia de prensa el lunes.
Los ciberdelincuentes pagaron a Fox Tempest hasta 9.500 dólares para firmar su código malicioso, lo que les permitió pasar el software a través de las defensas y eludir los controles diseñados para confirmar que los programas son auténticos y están vinculados a una fuente confiable.
«Esta no es la imitación obvia que se puede encontrar en una esquina. Es más bien un producto falsificado que es tan preciso que incluso los expertos tienen problemas para distinguirlo del producto real», dijo Masada. «Actúa como una identificación falsa que permite a los ciberdelincuentes ingresar a los sistemas simplemente cruzando la puerta principal».
Si bien los atacantes y defensores históricamente se han centrado en los puntos de entrada de los ataques, la operación de Fox Tempest ejemplifica un movimiento más amplio en relación con la forma en que se construyen los ataques en primer lugar, añadió.
«Ya no se trata sólo de engañar a los usuarios para que hagan clic en un enlace, sino de explotar los mismos sistemas en los que confiamos para decidir qué es seguro y qué no», dijo Masada.
Los ciberdelincuentes han estado revendiendo certificados de firma de código durante al menos una década, pero la operación de Fox Tempest fue única al proporcionar un servicio masivamente escalable para extorsión, phishing, envenenamiento de SEO o publicidad con malware, dijo Maurice Mason, quien dirigió la investigación sobre Fox Tempest como investigador principal de delitos cibernéticos en la DCU de Microsoft.
Mason dijo que los operadores de ransomware y otros grupos de amenazas implementaron principalmente estos certificados fraudulentos en anuncios o envenenamiento de SEO, lo que llevó a su software malicioso y a sus ladrones de información a la cima de las clasificaciones de búsqueda, atrapando a víctimas desprevenidas que pensaban que estaban descargando y ejecutando aplicaciones legítimas.
La operación de Fox Tempest, que incluía un portal autenticado y una función de arrastrar y soltar que permitía a los clientes firmar su código, estaba directamente relacionada con la implementación de docenas de familias de malware, incluidas Oyster, Lumma Stealer, MuddyWater y Vidar, añadió.
Microsoft dijo que el grupo de amenazas también está vinculado a afiliados de ransomware de INC, Qilin, Akira y otros. La operación tuvo un impacto global, lo que resultó en ataques a los sectores de salud, educación, gobierno y servicios financieros, y a organizaciones y personas más atacadas en los Estados Unidos, Francia, India y China.
«¿Por qué no pagarías esos miles de dólares si eres un actor de amenazas y los recuperas mediante extorsión y ransomware por valor de millones? Esto es como una calderilla para ti», dijo Mason.
Microsoft dijo que desalojó o eliminó más de 1.000 cuentas y suscripciones que Fox Tempest usaba para brindar sus servicios. La compañía también se apoderó del sitio web del grupo de amenazas, desconectó cientos de máquinas virtuales y bloqueó el acceso a un sitio que aloja el código subyacente.
«Esta interrupción probablemente aumentará el costo para los atacantes, y esperamos que dejen de utilizar estos servicios», dijo Mason. «Obviamente es sólo una interrupción y hay otras cosas a las que probablemente se trasladarán, o alguien podría intentar hacer esto de otra manera la próxima vez».
Fox Tempest es un ejemplo de la economía plenamente desarrollada del cibercrimen que enfrentan ahora los defensores, dijo Masada.
«En muchos casos, un actor ya no necesita crear un ataque desde cero. Simplemente puede ensamblar uno comprando sus componentes: un kit de phishing de un proveedor, malware de otro, infraestructura y herramientas de optimización de otros, y así sucesivamente», afirmó.
«A medida que centramos más nuestras recientes perturbaciones en los mercados y los proveedores de servicios, obtenemos una imagen mucho más clara de cómo funciona realmente la economía, y lo que está surgiendo es un ecosistema estratificado», añadió Masada.
«Por un lado, están las herramientas mercantilizadas que se producen en masa y se construyen a escala, como kits de phishing llave en mano o servicios de recolección de credenciales», dijo. «Pero por encima de eso, estamos viendo un nivel más sofisticado de operadores, servicios altamente especializados centrados en la evasión, la durabilidad y la optimización. Estos no sólo permiten ataques, sino que los diseñan para que tengan éxito contra las defensas modernas».
