Microsoft zerschlägt Signatur-Dienst, der Malware als echte Software tarnte

Zusammenfassung

Microsoft hat nach eigenen Angaben einen kriminellen Signatur-Dienst zerschlagen, mit dem Schadsoftware als legitime Anwendung getarnt verbreitet wurde. Unter dem Decknamen OpFauxSign legte das Unternehmen am Dienstag eine Operation lahm, die das hauseigene System Artifact Signing missbrauchte, um Schadcode mit gültigen Signaturen zu versehen und so Ransomware- und andere Angriffe zu ermöglichen. Nach Darstellung von Microsoft wurden dadurch weltweit Tausende Rechner und Netzwerke kompromittiert. Verantwortlich macht der Konzern eine Gruppe, die er Fox Tempest nennt und die seit Mai 2025 aktiv sein soll. Sie bot ihr Angebot als „malware-signing-as-a-service" (MSaaS) an, mit dem Cyberkriminelle Malware als echte Programme ausgeben konnten. Zur Unterbrechung des Dienstes beschlagnahmte Microsoft die Website signspace[.]cloud, nahm Hunderte virtuelle Maschinen vom Netz und sperrte den Zugang zu einer Seite, auf der der zugrunde liegende Code lag. Das erklärte Steven Masada, Assistant General Counsel der Digital Crimes Unit von Microsoft. Der Dienst spielte nach Einschätzung des Unternehmens eine zentrale Rolle im Ökosystem der Cyberkriminalität, weil über ihn unter anderem die Rhysida-Ransomware ausgerollt wurde.

Artifact Signing, früher Azure Trusted Signing, ist Microsofts vollständig verwalteter Signatur-Dienst, mit dem Entwickler Anwendungen erstellen und verteilen können und der sicherstellen soll, dass Software echt und nicht von Unbefugten verändert ist. Fox Tempest nutzte diesen Mechanismus laut Microsoft, um kurzlebige, betrügerische Code-Signing-Zertifikate zu erzeugen und damit signierte Malware an Sicherheitskontrollen vorbeizuschleusen. Die Zertifikate waren jeweils nur 72 Stunden gültig.

Da Antragsteller für legitime Zertifikate eine detaillierte Identitätsprüfung nach branchenüblichen verifizierbaren Berechtigungsnachweisen durchlaufen müssen, geht Microsoft davon aus, dass die Gruppe sehr wahrscheinlich gestohlene Identitäten aus den USA und Kanada verwendete, um sich als legitime Stelle auszugeben und die nötigen digitalen Nachweise zu erlangen. Die Website SignSpace war selbst auf Artifact Signing aufgebaut und ermöglichte über ein Admin-Panel und eine Nutzerseite das Signieren von Dateien, gestützt auf Azure-Abonnements, Zertifikate und eine strukturierte Datenbank.

Zahlende Kunden konnten schädliche Dateien hochladen und mit den betrügerisch beschafften Zertifikaten signieren lassen. So ließ sich Schadsoftware als bekannte Programme wie AnyDesk, Microsoft Teams, PuTTY und Cisco Webex ausgeben. Der Dienst kostete zwischen 5.000 und 9.000 US-Dollar. Ab Februar 2026 stellte die Gruppe ihren Kunden vorkonfigurierte virtuelle Maschinen bei Cloudzy bereit, sodass diese ihre Artefakte direkt auf die von den Angreifern kontrollierte Infrastruktur laden und signierte Binärdateien zurückerhalten konnten. Diese Weiterentwicklung habe den Ablauf für Kunden vereinfacht, die operative Sicherheit von Fox Tempest verbessert und die Auslieferung signierter Malware im großen Maßstab gestrafft, so Microsoft.

Über den Dienst ermöglichte die Operation laut Microsoft den Einsatz der Rhysida-Ransomware durch Akteure wie Vanilla Tempest sowie weiterer Schadsoftware-Familien wie Oyster, Lumma Stealer und Vidar. Zudem deckte das Unternehmen Verbindungen zu Partnern mehrerer bekannter Ransomware-Stämme auf, darunter INC, Qilin, BlackByte und Akira. Deren Angriffe richteten sich gegen Einrichtungen aus Gesundheitswesen, Bildung, Verwaltung und Finanzdienstleistungen in den USA, Frankreich, Indien und China.

Vanilla Tempest verbreitete über den Dienst signierte Binärdateien unter anderem über regulär gekaufte Werbeanzeigen, die Nutzer bei der Suche nach Microsoft Teams auf gefälschte Download-Seiten umleiteten. Auf diesem Weg gelangte Oyster auf die Systeme, ein modularer Implantat- und Loader, der wiederum die Rhysida-Ransomware nachlud.

Fox Tempest passte sein Vorgehen nach Angaben des Konzerns fortlaufend an die Gegenmaßnahmen an, etwa das Deaktivieren betrügerischer Konten und das Widerrufen unrechtmäßig erlangter Zertifikate, und versuchte sogar, auf einen anderen Signatur-Dienst auszuweichen. Gerichtsunterlagen zufolge arbeitete Microsoft mit einer „kooperativen Quelle" zusammen, um den Dienst zwischen Februar und März 2026 zu kaufen und zu testen. „Wenn Angreifer schädliche Software legitim aussehen lassen können, untergräbt das, wie Menschen und Systeme entscheiden, was sicher ist", erklärte Microsoft. Diese Fähigkeit zu stören sei entscheidend, um die Kosten der Cyberkriminalität zu erhöhen.

Microsoft zerschlägt Signatur-Dienst, der Malware als echte Software tarnte

Ähnliche Artikel

Neueste Artikel