Microsoft neutraliza la operación ‘Fox Tempest’ y su servicio de firma de código malicioso
Microsoft ha anunciado recientemente la interrupción exitosa de una operación de Malware-Signing-as-a-Service (MSaaS), un modelo de negocio criminal que permitía a diversos atacantes dotar a sus archivos maliciosos de una apariencia de legitimidad. La operación, dirigida por un actor de amenazas identificado como Fox Tempest, utilizaba de forma fraudulenta el sistema Artifact Signing de Microsoft para distribuir ransomware y otros tipos de malware en miles de redes en todo el mundo.
¿Qué es el Malware-Signing-as-a-Service (MSaaS)?
En el ecosistema de la ciberseguridad, la firma de código es un mecanismo de confianza. Cuando un software está firmado digitalmente por una entidad reconocida (como Microsoft o Cisco), los sistemas operativos y las soluciones de seguridad suelen permitir su ejecución sin alertas, asumiendo que el código no ha sido alterado. El servicio ofrecido por Fox Tempest permitía a otros ciberdelincuentes pagar entre 5.000 y 9.000 dólares para que sus virus y troyanos parecieran aplicaciones legítimas y confiables, como Microsoft Teams, AnyDesk o Cisco Webex.
El abuso de ‘Artifact Signing’ y la suplantación de identidad
Para obtener estos certificados de confianza, Fox Tempest abusó del servicio Artifact Signing (anteriormente conocido como Azure Trusted Signing). Según las investigaciones de la Unidad de Delitos Digitales de Microsoft, el grupo criminal probablemente utilizó identidades robadas en Estados Unidos y Canadá para superar los procesos de validación de identidad.
Una vez obtenida la validación, generaban certificados de firma de código de corta duración (72 horas) para firmar binarios maliciosos. Este enfoque táctico permitía a los atacantes:
- Evadir controles de seguridad: Muchos antivirus omiten el análisis profundo de archivos firmados por autoridades de confianza.
- Aumentar la tasa de infección: Los usuarios finales confían más en aplicaciones que no activan las advertencias de «editor desconocido» de Windows.
- Escalabilidad: El uso de máquinas virtuales preconfiguradas facilitaba a sus clientes la carga y firma masiva de malware.
Impacto en el panorama del Ransomware
La relevancia de este desmantelamiento, bautizado como OpFauxSign, radica en el papel crítico que Fox Tempest desempeñaba para otros grupos de ransomware. Se han identificado conexiones directas con el despliegue del ransomware Rhysida, así como vínculos con afiliados de cepas tan peligrosas como Akira, Qilin, BlackByte e INC.
Los sectores más afectados por el malware firmado a través de este servicio incluyen la salud, la educación, los servicios financieros y las agencias gubernamentales, con ataques detectados en países como Estados Unidos, Francia, India y China.
Acciones de mitigación y recomendaciones empresariales
Microsoft ha tomado medidas drásticas, incluyendo la incautación del dominio signspace.cloud, el cierre de cientos de máquinas virtuales vinculadas a la operación y la revocación de los certificados obtenidos ilícitamente. Sin embargo, este incidente subraya una realidad persistente: los atacantes están refinando sus métodos para comprometer la cadena de suministro de confianza.
Desde una perspectiva empresarial, este caso nos recuerda la importancia de:
- No confiar ciegamente en la firma de código: Las soluciones de seguridad deben analizar el comportamiento del software (EDR/XDR) independientemente de su firma.
- Reforzar la gestión de identidades: La suplantación de identidad sigue siendo la puerta de entrada para abusar de servicios legítimos en la nube.
- Mantener una vigilancia activa: La interrupción de servicios como el de Fox Tempest eleva el coste operativo para los criminales, pero la vigilancia sobre nuevas variantes de malware como Oyster o Lumma Stealer debe ser constante.
En Intedya, seguimos monitorizando estas amenazas para ofrecer a nuestros clientes las mejores estrategias de cumplimiento y seguridad, garantizando que sus infraestructuras permanezcan resilientes ante la evolución del cibercrimen organizado.
Fuentes
- The Hacker News — Microsoft Takes Down Malware-Signing Service Behind Ransomware Attacks
https://thehackernews.com/2026/05/microsoft-takes-down-malware-signing.html