Microsoft geht gegen Cybercrime-Dienst Fox Tempest vor

Microsoft geht gegen Cybercrime-Dienst Fox Tempest vor

Malware-Signierung als Service ist ein ernsthaftes Problem in der IT-Sicherheit — ein neuer Rechtsfall zeigt jetzt, wie Cyberangriffe legitimer wirken können. Microsoft hat vor dem US District Court for the Southern District of New York ein Verfahren gegen den Cybercrime-Dienst Fox Tempest gestartet. Der Dienst soll seit Mai 2025 Cyberkriminellen ermöglicht haben, Schadsoftware als legitime Software erscheinen zu lassen.

Dazu missbrauchte Fox Tempest Code-Signing-Werkzeuge wie Microsoft Artifact Signing. Angreifer konnten Malware über ein Onlineportal signieren lassen, um Sicherheitsprüfungen zu umgehen und Ransomware sowie andere Angriffe vorzubereiten.

Hierbei zeigt sich ein bislang oft unsichtbarer Teil der Cybercrime-Ökonomie: spezialisierte Dienste, die Angriffe erfolgreicher und schwerer erkennbar machen. Die Maßnahmen richten sich nicht nur gegen einen einzelnen Akteur, sondern gegen eine Fähigkeit, die von mehreren Ransomware-Gruppen genutzt wurde.

Die wichtigsten Informationen im Überblick:

• Infrastruktur von Fox Tempest gestört: Microsoft hat die Website signspace[.]cloud beschlagnahmt, nahm Hunderte virtuelle Maschinen offline und blockierte den Zugriff auf eine Seite mit dem zugrunde liegenden Code.
• Dienst verkaufte scheinbare Legitimität: Fox Tempest nutzte gefälschte Identitäten und imitierte legitime Organisationen, um in großem Umfang betrügerische Microsoft-Konten und Code-Signing-Zugangsdaten zu erhalten.
• Ransomware-Akteure nutzten die Signaturen für Angriffe: Sub-Angreifer Vanilla Tempest und Malware wie Oyster, Lumma Stealer, Vidar und Rhysida waren im Einsatz.
• Methode erhöhte die Erfolgschancen von Angriffen: Signierte Malware wirkte vertrauenswürdiger, erschien unter anderem über Suchmanipulation und schädliche Anzeigen und wurde dadurch eher geöffnet oder ausgeführt.
• Microsoft setzt auf Zusammenarbeit und dauerhafte Störung: Neben eigenen Schutzmaßnahmen arbeitet Microsoft mit Resecurity, Europol EC3 und dem FBI zusammen, um den Missbrauch von Code-Signing-Diensten zu erschweren.

Weitere Informationen finden Sie in diesem Blogpost.