BELYAEV_SECURITY

Fox Tempest: ransomware как сервис с «официальным» сертификатом Ваш антивирус видит подпись Microsoft - и пропускает. А внутри - выкуп за ваши данные.

В мае Microsoft раскрыла и прикрыла операцию Fox Tempest - группу, которая продавала услугу: «подпишем ваш вирус как легитимное ПО». Они использовали легальный сервис подписи артефактов и получали краткоживущие, но настоящие сертификаты. Клиент приносил вредонос - уходил с файлом, который выглядел как доверенное, подписанное приложение.

Клиентура - от известных рансом-групп до менее заметных игроков. Цены - до десятков тысяч долларов за «подписанный» билд. Антивирусы и фильтры, которые доверяют подписи как сильному индикатору легитимности, оказывались в дураках. Аналогия: это подпольная нотариальная контора, которая за деньги ставит настоящие печати на документы любого содержания. На входе - бандиты с фальшивыми договорами. На выходе - бумага, которой верит любой суд. Что делать: Пользователям: перестаньте верить одной галочке «подписано Microsoft/издателем X». Скачивайте ПО только с официальных сайтов, а не из «подборок лучших программ» или с форумов. Бизнесу/CEO: если ваша защита настроена по принципу «подписано - значит ок», вы живёте в прошлом. Нужен поведенческий анализ, сегментация, контроль привилегий, а не слепое доверие к сертификату. Моё мнение: история с Fox Tempest - это демонстрация того, что злоумышленники прекрасно понимают, во что верит корпоративная защита. И начинают выдавать себя за именно то, чему она доверяет. Ждите «подписку» на подобные сервисы на подпольных маркетплейсах. Если честно, я бы не удивился, увидев тарифный план «Enterprise». #FoxTempest #ransomware #codesigning #Microsoft #кибербезопасность