Todos os dias, decidimos em segundos em qual software program confiar, guiados por rótulos simples como “verificado”, “seguro” e “seguro para instalar”. O problema é que esses sinais podem ser manipulados.
Hoje, a Microsoft abriu um processo authorized no Tribunal Distrital dos EUA para o Distrito Sul de Nova York visando um serviço de crime cibernético conhecido como Fox Tempest, que, desde maio de 2025, permitiu que os cibercriminosos disfarçassem malware como software program legítimo. A assinatura como serviço de malware (MSaaS) funcionava acessando e abusando de forma fraudulenta de ferramentas de assinatura de código, como o Artifact Signing da Microsoft, um sistema projetado para verificar se o software program é legítimo e não foi adulterado. Os cibercriminosos usaram o serviço para entregar malware e permitir ransomware e outros ataques, infectando milhares de máquinas e comprometendo redes em todo o mundo.
Pela primeira vez, a Microsoft está a tomar medidas públicas contra um facilitador poderoso, mas muitas vezes invisível, dentro do ecossistema do crime cibernético, visando a forma como os cibercriminosos se preparam e empregam técnicas para otimizar a sua taxa de sucesso. Para interromper o serviço, apreendemos o web site da Fox Tempest espaço de sinalização(.)nuvemcolocou off-line centenas de máquinas virtuais que executavam a operação e bloqueou o acesso a um web site que hospedava o código subjacente. Esta ação baseia-se esforços internos persistentes revogar certificados de assinatura de código obtidos de forma fraudulenta e melhorar nossas defesas e empregar novos recursos de segurança para detectar e impedir tais atividades maliciosas. Já está tendo impacto: os cibercriminosos reclamam dos desafios de acesso ao serviço atual.
Nosso impacto vai além de um ator. O processo tem como alvo a infraestrutura da Fox Tempest e também nomes Tempestade de Baunilha como co-conspirador, um importante grupo de ransomware que usou o serviço para implantar malware como Oyster, Lumma Stealer e Vidar, e ransomware, incluindo Rhysida, em vários ataques cibernéticos recentes. Vanilla Tempest tem como alvo escolas, hospitaise outros organizações críticas em todo o mundoenquanto o Rhysida, uma variante de ransomware altamente evoluída que criptografa arquivos e rouba dados, muitas vezes usada para extorsão dupla, tem sido usada por vários atores em vários ataques de alto perfil em todo o mundo, inclusive para roubar e vazar documentos internos do Biblioteca Britânica e interromper as operações em Aeroporto Internacional de Seattle-Tacoma. A investigação da Microsoft vinculou ainda mais o Fox Tempest a vários afiliados e famílias adicionais de ransomware, incluindo INC, Qilin, Akira e outros.
De forma mais ampla, este caso mostra como o cibercrime está a mudar. O que antes exigia um único grupo para realizar um ataque do início ao fim agora está dividido em um ecossistema modular onde os serviços são comprados e vendidos e funcionam de forma intercambiável entre si. Alguns serviços são baratos e amplamente utilizados. Outros, como o Fox Tempest, são altamente especializados e caros porque removem atritos ou contornam obstáculos que fazem os ataques falharem, tornando-os mais confiáveis e mais difíceis de detectar. Como visto no Fox Tempest, quando esses serviços são combinados com táticas baseadas em IA, os ataques podem escalar mais facilmente, atingindo mais pessoas e tornando-se mais convincentes.
Esse tipo de abuso não é novo, mas está evoluindo
Ilícito certificados de assinatura de código foi vendido e traficado por mais de uma década. Isso inclui a sua utilização por intervenientes do Estado-nação para atingir organizações de infraestrutura crítica na Europa. O que mudou foi a forma como esta atividade é comercializada, embalada e vendida como um serviço, juntamente com a escala em que é agora utilizada em campanhas de ransomware. Em vez de comprar certificados um por um, os criminosos carregam o malware em um serviço que os assina para eles.
O que também torna este modelo notável é o nível de investimento. Ao contrário de serviços de baixo custo como RedVDSum fornecedor de infra-estruturas cibercriminosas que custa apenas 24 dólares por mês, que a Microsoft interrompeu no início deste ano, a Fox Tempest mostra que os intervenientes mais sofisticados estão dispostos a pagar milhares de dólares por capacidades avançadas que tornam os ataques mais fáceis de realizar, mais difíceis de detectar e mais propensos a ter sucesso.
Como a Fox Tempest vendeu “legitimidade” em grande escala
O modelo de negócios da Fox Tempest period simples: vender recursos fraudulentos de assinatura de código, permitir que outros empacotassem malware e permitir ataques posteriores. O modelo gerou milhões em receitas, demonstrando lucro financeiro significativo.
Nos bastidores, as operadoras criaram acesso em grande escala. Usando identidades fabricadas e se passando por organizações legítimas, eles criaram centenas de contas fraudulentas da Microsoft para obter credenciais reais de assinatura de código em grande quantity. Os clientes que pagassem pelos serviços da Fox Tempest poderiam então fazer add de arquivos maliciosos por meio de um portal on-line para serem assinados usando certificados controlados pela Fox Tempest. Os cibercriminosos pagaram milhares de dólares pelo serviço, refletindo o quão valiosa period essa capacidade.
Uma vez assinado, o malware parecia legítimo. Os invasores então distribuíram o malware assinado por meio de táticas como manipulação de pesquisa e anúncios maliciosos, onde os usuários são mais propensos a confiar no que encontram. A IA ajudou então a gerar e refinar essas campanhas para atingir um público mais amplo.
Isso mudou as probabilidades. Software program malicioso que deveria ter sido bloqueado ou sinalizado por antivírus e outras proteções tinha maior probabilidade de ser aberto, autorizado a ser executado ou aprovado em verificações de segurança – essencialmente permitindo que o malware se escondesse à vista de todos. Em vez de forçar a entrada, os invasores poderiam escapar pela porta da frente, disfarçando-se de convidados bem-vindos.
À medida que a Microsoft desativava contas fraudulentas, revogava certificados obtidos de forma fraudulenta e introduzia proteções aprimoradas, os operadores do Fox Tempest se adaptavam continuamente. Em fevereiro de 2026, eles finalmente migraram para redes de máquinas virtuais hospedadas por terceiros para manter e dimensionar as operações. Esse tipo de mudança rápida faz parte do modelo: estes serviços evoluem rapidamente em resposta à pressão e ao atrito. Na verdade, a Microsoft observou novas adaptações em resposta aos nossos esforços de disrupção em camadas, com a Fox Tempest tentando transferir operações e clientes para outro serviço de assinatura de código.
Além de confiscar a infraestrutura principal por detrás da operação e degradar a sua capacidade de funcionar em grande escala, tomámos medidas adicionais para evitar abusos semelhantes, removendo contas fraudulentas, reforçando a verificação e limitando a forma como este tipo de acesso pode ser reutilizado. Mais detalhes técnicos sobre a operação e as medidas que estamos tomando para evitar abusos semelhantes estão disponíveis neste Weblog de Inteligência de Ameaças da Microsoft.
Eliminando um facilitador crítico do crime cibernético
Esta ação não foi para parar um ator. Procurou neutralizar estrategicamente um serviço important do qual muitos invasores, especialmente grupos de ransomware, dependem. Quando os serviços legítimos de assinatura de código são transformados em armas, tudo fica mais fácil: o malware parece legítimo, os avisos de segurança são menos propensos a serem acionados e os ataques têm maior probabilidade de sucesso. A degradação dessa capacidade aumenta o atrito e força uma reinicialização. As taxas de sucesso dos ataques diminuem e os invasores precisam reconstruir, encontrar novas maneiras de entrar e aceitar mais riscos a cada tentativa, aumentando tanto o custo quanto o tempo necessários para operar.
É importante ressaltar que as ações de disrupção não acontecem isoladamente e nunca são concluídas de uma só vez. A colaboração é basic, uma vez que diferentes organizações e setores têm visibilidade em diferentes partes do ecossistema do crime cibernético. Neste caso, estamos trabalhando em estreita colaboração com uma empresa de segurança cibernética Resegurançacujos insights nos ajudam a entender melhor como a Fox Tempest opera. Também estamos colaborando estreitamente com Centro Europeu da Cibercriminalidade da Europol (EC3) e o Departamento Federal de Investigação (FBI). Como vimos em esforços anteriores, esperamos que os intervenientes tentem reconstruir. Coletivamente, continuaremos a agir e a manter a pressão. Isso também significa fortalecer o ecossistema de assinatura de código por meio do compartilhamento de inteligência e parceria com outros serviços de assinatura de código, de modo que seja mais difícil para os atores mal-intencionados recuperarem esse terreno.
Quando os invasores conseguem fazer com que software program malicioso pareça legítimo, isso prejudica a forma como as pessoas e os sistemas decidem o que é seguro. Interromper essa capacidade é basic para aumentar o custo do crime cibernético. À medida que as ameaças evoluem, a Unidade de Crimes Digitais da Microsoft continuará a trabalhar com parceiros da indústria e das autoridades policiais para identificar e interromper persistentemente os serviços que as permitem.