Tấn công mạng

Microsoft Triệt Phá Dịch Vụ Ký Số Mã Độc Fox Tempest Đứng Sau Các Cuộc Tấn Công Ransomware

Microsoft vừa công bố triệt phá thành công một mạng lưới cung cấp dịch vụ ký số mã độc (MSaaS) mang tên Fox Tempest. Tổ chức này đã lợi dụng hệ thống Artifact Signing của chính Microsoft để phát tán mã độc và triển khai các cuộc tấn công Ransomware quy mô toàn cầu.

Fox Tempest và Chiến dịch OpFauxSign

Được xác định hoạt động từ tháng 5/2025, Fox Tempest cung cấp giải pháp giúp tội phạm mạng ngụy trang mã độc dưới dạng phần mềm hợp pháp. Chiến dịch triệt phá của Microsoft, được đặt mã hiệu OpFauxSign, đã dẫn đến việc thu giữ tên miền signspace.cloud và đánh sập hàng trăm máy ảo phục vụ vận hành.

Mã độc liên quan

Rhysida Ransomware
Lumma Stealer
Vidar Malware
Oyster (Broomstick)

Mục tiêu tấn công

Ngành Y tế & Giáo dục
Cơ quan chính phủ
Dịch vụ tài chính
Mỹ, Pháp, Ấn Độ, Trung Quốc

Kỹ thuật Lạm dụng Hệ thống Tin cậy

Fox Tempest đã lạm dụng Artifact Signing (trước đây là Azure Trusted Signing) để tạo ra các chứng chỉ ký số ngắn hạn (có hiệu lực 72 giờ). Bằng cách sử dụng danh tính đánh cắp được từ Mỹ và Canada, chúng vượt qua quy trình xác minh và tạo ra các tệp thực thi mã độc có chữ ký số hợp lệ.

Các tệp mã độc này sau đó được ngụy trang thành các phần mềm phổ biến như:

AnyDesk
Microsoft Teams
PuTTY
Cisco Webex

Mức phí mà Fox Tempest thu từ các khách hàng tội phạm dao động từ 5.000 USD đến 9.000 USD cho mỗi lần ký số thành công.

Diễn biến và Phản ứng từ Microsoft

Từ tháng 2/2026, Fox Tempest chuyển sang cung cấp các máy ảo (VM) cấu hình sẵn trên nền tảng Cloudzy để tối ưu hóa việc phân phối mã độc. Microsoft đã phối hợp cùng các đối tác mật báo để mua thử nghiệm dịch vụ này nhằm thu thập bằng chứng pháp lý trước khi thực hiện lệnh thu giữ tên miền và hạ tầng.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Kiểm tra lại toàn bộ quy trình xác thực phần mềm nội bộ, không chỉ dựa vào chứng chỉ ký số.
Cảnh giác với các quảng cáo phần mềm (Google Ads) dẫn đến các trang tải xuống không chính thức.
Cập nhật các giải pháp Endpoint (EDR) để phát hiện hành vi mã độc Oyster và Rhysida.
Thực hiện rà soát các tài khoản quản trị và bảo vệ danh tính số của tổ chức.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS