CẢNH BÁO AN NINH MẠNG

Microsoft vừa thông báo triệt phá thành công Fox Tempest – một hệ thống cung cấp dịch vụ ký số mã độc (MSaaS) tinh vi, lợi dụng chính hạ tầng Artifact Signing của Microsoft để phát tán ransomware trên quy mô toàn cầu.

Chiến dịch OpFauxSign và Cuộc Triệt Phá Fox Tempest

Đơn vị Tội phạm Kỹ thuật số (DCU) của Microsoft đã thực hiện chiến dịch có mật danh OpFauxSign để đánh sập hạ tầng của Fox Tempest. Hoạt động từ tháng 5/2025, nhóm này đã cung cấp các chứng chỉ số giả mạo cho phép tội phạm mạng ngụy trang mã độc thành các phần mềm hợp pháp như AnyDesk, Microsoft Teams, PuTTY và Cisco Webex nhằm vượt qua các kiểm soát bảo mật.

Hạ tầng bị thu giữ

Microsoft đã thu giữ tên miền signspace[.]cloud, ngắt kết nối hàng trăm máy ảo (VM) và chặn quyền truy cập vào các kho lưu trữ mã nguồn của Fox Tempest.

Các dòng mã độc liên quan

Dịch vụ này hỗ trợ phát tán Rhysida Ransomware, cùng các mã độc khác như Oyster, Lumma Stealer, Vidar và các biến thể từ nhóm Akira, Qilin.

Phương thức lợi dụng Artifact Signing tinh vi

Fox Tempest đã sử dụng danh tính đánh cắp từ Hoa Kỳ và Canada để vượt qua các quy trình xác minh (Verifiable Credentials). Chúng tạo ra các chứng chỉ ký số có thời hạn cực ngắn (chỉ 72 giờ) để ngụy trang mã độc dưới dạng ứng dụng tin cậy. Tội phạm mạng sẵn sàng trả từ 5.000 đến 9.000 USD để sử dụng dịch vụ ký số bất hợp pháp này.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Cảnh giác Malvertising: Tuyệt đối không tải phần mềm từ các liên kết quảng cáo trên công cụ tìm kiếm.
Kiểm tra chứng chỉ: Rà soát lại các tệp thực thi có chứng chỉ từ Artifact Signing (trước đây là Azure Trusted Signing) trong giai đoạn đầu năm 2026.
Phòng thủ Ransomware: Tăng cường giám sát các nhóm tấn công liên quan như Vanilla Tempest, INC và BlackByte.
Nguyên tắc Zero Trust: Không tin tưởng tuyệt đối vào tệp chỉ vì nó có chữ ký số; thực hiện phân tích hành vi ứng dụng.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Microsoft Triệt Phá Dịch Vụ Ký Số Mã Độc Hỗ Trợ Tấn Công Ransomware