Takedown Microsoft Fox Tempest : service démantelé

Le retrait de Microsoft Fox Tempest a démantelé un service cybercriminel qui exploitait l'infrastructure cloud de l'entreprise pour faire apparaître des logiciels malveillants légitimes, également destinés à des campagnes de ransomware. L'affaire touche à un point très délicat de la sécurité informatique : l'abus des certificats de signature de code, c'est-à-dire l'un des mécanismes qui doivent garantir la confiance dans les logiciels.

Microsoft n'a pas seulement bloqué le groupe. Elle a également engagé des poursuites judiciaires contre les responsables de l'opération et s'est directement attaquée aux infrastructures utilisées pour proposer le service à d'autres attaquants. De cette façon, le retrait de Microsoft Fox Tempest cela affecte non seulement le malware final, mais également « l’usine » qui a facilité sa distribution.

Selon les détails publiés, Fox Tempest a transformé Azure Artifact Signing en un outil permettant d'émettre des certificats frauduleux, qui ont ensuite été utilisés pour distribuer des logiciels malveillants sous le couvert d'applications bien connues telles que Teams, AnyDesk et Webex. Les attaquants n'ont pas seulement diffusé du code malveillant : ils ont tenté de le faire passer pour un logiciel fiable aux yeux des systèmes de défense.

Microsoft bloque Fox Tempest et affecte l'infrastructure du service

Le cœur de l'opération était le retrait de Microsoft Fox Tempestavec lequel le groupe Redmond a interrompu le fonctionnement du service cybercriminel et affecté ses canaux opérationnels.

Parmi les mesures adoptées figurent la saisie du domaine espace de signalisation[dot]com et des centaines de machines virtuelles, en plus de bloquer l'accès à l'infrastructure qui hébergeait l'ensemble du service. Microsoft a également indiqué Tempête de vanille dans le procès, en tant que co-conspirateur lié à la distribution de logiciels malveillants et de ransomwares.

Le point clé est le suivant : dans des cas comme celui-ci, ce n’est pas seulement le malware final qui est ciblé, mais la structure qui a permis à d’autres groupes cybercriminels de signer les fichiers et de contourner plus facilement les contrôles de sécurité. Cibler le service en amont peut avoir un impact plus large que la simple suppression d’échantillons malveillants individuels.

Fonctionnement de l’abus d’Azure Artifact Signing

Fox Tempest, selon Microsoft, maltraité Signature et abus d'artefacts Azure pour créer des certificats temporaires utilisés pour signer du code malveillant. Essentiellement, ces certificats donnaient l’impression que le logiciel malveillant était un logiciel légitime, ce qui l’aidait à échapper aux protections antivirus et autres protections du système d’exploitation.

Les certificats étaient valables 72 heures, une courte fenêtre conçue pour réduire la probabilité d'être détecté à temps. Malgré cette durée limitée, l’opération a réalisé des volumes importants : le groupe aurait créé plus de 1 000 certificats et exploité des centaines de locataires et d’abonnements Azure.

Microsoft a déclaré avoir révoqué plus d'un millier de certificats de signature de code attribués à Fox Tempest. Là révocation des certificats de signature de code c'est l'un des aspects les plus importants de l'intervention, car il réduit la possibilité que des dossiers déjà préparés ou des campagnes encore actives puissent continuer à exploiter cette chaîne de confiance.

En résumé, l’opération reposait sur quelques éléments clés :

• abuser d’Azure Artifact Signing pour obtenir des certificats frauduleux ;
• utilisation de centaines de locataires et d’abonnements Azure pour prendre en charge l’infrastructure ;
• distribuer des logiciels malveillants signés comme s'il s'agissait d'un logiciel digne de confiance.

Cela explique également leimpact de la révocation du certificat. Lorsqu'un certificat de signature est approuvé par le système, le malware présente un énorme avantage : il peut paraître moins suspect, passer les contrôles plus facilement et convaincre les victimes d'exécuter des fichiers qui autrement seraient bloqués ou signalés.

Logiciels malveillants cachés dans de fausses applications légitimes

Parmi les applications utilisées comme appât figuraient des noms bien connus : Teams, AnyDesk et Webex. La logique était à la fois simple et dangereuse : présenter à l’utilisateur un installateur crédible, avec une signature numérique apparemment valide, pour augmenter les chances d’exécution.

Microsoft a expliqué que lorsque les victimes exécutaient de faux fichiers d'installation de Microsoft Teams, elles livraient un chargeur malveillant qui installait Oyster et conduisait finalement au déploiement de Rançongiciel Rhysida Microsoft. Le lien entre malware lié au certificat et les ransomwares rendent l'histoire encore plus sérieuse, car elles montrent comment l'abus des signatures de code n'a pas seulement été utilisé pour distribuer des chevaux de Troie ou des infostealers, mais aussi pour préparer des attaques plus destructrices.

Ici le retrait de Microsoft Fox Tempest il revêt également une importance stratégique pour les entreprises et les équipes de sécurité : on ne parle pas seulement de fichiers malveillants isolés, mais d'une chaîne qui a facilité les intrusions, la persistance et les phases ultérieures d'extorsion numérique.

Les campagnes associées et l’impact sur le secteur

Le service aurait également été lié à des campagnes impliquant LummaStealer, Vidar, Qilin, BlackByte et Akira. Ce sont des noms qui permettent de mesurer l'ampleur de l'opération : Fox Tempest n'aurait pas été un acteur marginal, mais un fournisseur utilisé dans différents écosystèmes criminels, du vol de données aux ransomwares.

C'est le deuxième point décisif de l'affaire. Lorsqu’une infrastructure de support est partagée par plusieurs familles de logiciels malveillants, sa suppression peut produire des effets d’entraînement. Il n'élimine pas toutes les menaces à lui seul, mais il ferme un service qui facilitait la distribution de fichiers signés et augmentait ainsi le succès des attaques.

Le retrait de Microsoft Fox TempestParallèlement à la révocation de plus d’un millier de certificats, cela signale également une pression croissante sur les modèles de cybercriminalité « en tant que service ». Si un fournisseur malveillant est neutralisé à la fois au niveau juridique, infrastructurel et technique, il devient plus coûteux et plus complexe pour les attaquants de reconstruire rapidement le même mécanisme.

Cependant, un fait important demeure : Fox Tempest aurait réussi à générer plus de 1 000 certificats et à parcourir des centaines de locataires Azure avant l'intervention. C’est ce détail qui, plus que tout autre, nous révèle à quel point la question des certificats de signature compromis est devenue centrale dans la bataille entre les plateformes cloud et les réseaux criminels.