Takedown Microsoft Fox Tempest: revocati oltre 1.000 certificati

Uno sviluppo di rilievo scuote i mercati delle criptovalute. Il takedown Microsoft Fox Tempest ha smantellato un servizio cybercriminale che sfruttava l’infrastruttura cloud dell’azienda per far apparire legittimo malware destinato anche a campagne ransomware. Il caso tocca un punto delicatissimo della sicurezza informatica: l’abuso dei certificati di firma del codice, cioè uno dei meccanismi che dovrebbero garantire fiducia nel software. Microsoft non si è limitata a bloccare il gruppo.

Ha anche avviato un’azione legale contro i responsabili dell’operazione e ha puntato direttamente all’infrastruttura usata per offrire il servizio ad altri attaccanti. In questo modo, il takedown Microsoft Fox Tempest colpisce non solo il malware finale, ma anche la “fabbrica” che rendeva più semplice distribuirlo. Secondo i dettagli diffusi, Fox Tempest avrebbe trasformato Azure Artifact Signing in uno strumento per emettere certificati fraudolenti, poi usati per distribuire malware sotto le sembianze di applicazioni note come Teams, AnyDesk e Webex.

Dinamiche di mercato

Gli aggressori non si sono limitati a diffondere codice malevolo: hanno cercato di farlo passare per software affidabile agli occhi dei sistemi di difesa. Microsoft blocca Fox Tempest e colpisce l’infrastruttura del servizio Il cuore dell’operazione è stato il takedown Microsoft Fox Tempest, con cui il gruppo di Redmond ha interrotto il funzionamento del servizio cybercriminale e ne ha colpito i canali operativi. Tra le misure adottate ci sono il sequestro del dominio signspacecom e di centinaia di macchine virtuali, oltre al blocco dell’accesso all’infrastruttura che ospitava l’intero servizio.

Microsoft ha indicato anche Vanilla Tempest nell’azione legale, come co-cospiratore collegato alla distribuzione di malware e ransomware. Il punto chiave è questo: in casi come questo non viene preso di mira solo il malware finale, ma la struttura che permetteva ad altri gruppi di criminali informatici di firmare i file e aggirare più facilmente i controlli di sicurezza. Colpire il servizio a monte può avere un impatto più ampio rispetto alla semplice rimozione di singoli campioni malevoli.

Come funzionava l’abuso di Azure Artifact Signing Fox Tempest, secondo Microsoft, abusava di Azure Artifact Signing e abuso per creare certificati temporanei usati nella firma di codice malevolo. In pratica, questi certificati facevano apparire il malware come software legittimo, aiutandolo a eludere l’antivirus e altre protezioni del sistema operativo. I certificati avevano una validità di 72 ore, una finestra breve pensata per ridurre la probabilità di essere individuati in tempo.

Impatto sui mercati

Nonostante questa durata limitata, l’operazione ha raggiunto volumi significativi: il gruppo avrebbe creato più di 1. 000 certificati e utilizzato centinaia di tenant e sottoscrizioni Azure. Microsoft ha dichiarato di aver revocato oltre mille certificati di firma del codice attribuiti a Fox Tempest.

La revoca certificati code-signing è uno degli aspetti più importanti dell’intervento, perché riduce la possibilità che file già preparati o campagne ancora attive possano continuare a sfruttare quella catena di fiducia. In sintesi, l’operazione si reggeva su alcuni elementi chiave: abuso di Azure Artifact Signing per ottenere certificati fraudolenti; uso di centinaia di tenant e sottoscrizioni Azure per sostenere l’infrastruttura; distribuzione di malware firmato come se fosse software affidabile. Questo spiega anche l’impatto della revoca dei certificati.

Quando un certificato di firma viene considerato affidabile dal sistema, il malware parte con un vantaggio enorme: può sembrare meno sospetto, superare più facilmente i controlli e convincere le vittime a eseguire file che altrimenti verrebbero bloccati o segnalati. Il malware nascosto dentro false app legittime Tra le applicazioni usate come esca figuravano nomi molto noti: Teams, AnyDesk e Webex. La logica era semplice e pericolosa allo stesso tempo: presentare all’utente un installer credibile, con una firma digitale apparentemente valida, per aumentare le probabilità di esecuzione.

I mercati delle criptovalute seguono da vicino questo sviluppo, mentre gli investitori valutano il potenziale impatto sui prezzi.