Microsoft triệt phá dịch vụ ‘ký mã độc’ tiếp tay cho hàng loạt vụ tấn công ransomware

Microsoft mới đây đã thông báo về việc triệt phá thành công một mạng lưới Malware-Signing-as-a-Service (MSaaS). Dịch vụ này đã lợi dụng hệ thống Artifact Signing của Microsoft để ký xác thực cho các mã độc, giúp chúng vượt qua các rào cản bảo mật và thực hiện hàng loạt vụ tấn công ransomware trên toàn cầu.

Chiến dịch có tên mã OpFauxSign nhắm trực tiếp vào nhóm tội phạm mạng có tên Fox Tempest, vốn hoạt động từ tháng 5/2025. Theo đại diện từ Đơn vị Tội phạm Kỹ thuật số của Microsoft, hãng đã thu giữ tên miền signspace[.]cloud, vô hiệu hóa hàng trăm máy chủ ảo và chặn quyền truy cập vào mã nguồn của dịch vụ này.

Phương thức hoạt động của Fox Tempest

Fox Tempest đã xây dựng một nền tảng cho phép tội phạm mạng tải lên các tệp tin độc hại để được ký xác thực bằng các chứng chỉ hợp lệ. Với chi phí từ 5.000 đến 9.000 USD, các đối tượng này có thể ngụy trang mã độc dưới danh nghĩa các phần mềm phổ biến như Microsoft Teams, AnyDesk, PuTTY hay Cisco Webex. Các chứng chỉ này thường chỉ có hiệu lực trong 72 giờ để tránh bị phát hiện.

Microsoft cho biết, nhóm này nhiều khả năng đã sử dụng danh tính bị đánh cắp tại Mỹ và Canada để vượt qua quy trình xác thực danh tính khắt khe của hệ thống Artifact Signing. Từ tháng 2/2026, Fox Tempest còn nâng cấp hạ tầng bằng cách cung cấp các máy ảo (VM) được cấu hình sẵn trên nền tảng Cloudzy, giúp khách hàng của chúng thực hiện việc ký mã độc một cách nhanh chóng và bảo mật hơn.

Tác động đến hệ sinh thái tội phạm mạng

Dịch vụ của Fox Tempest đóng vai trò mắt xích quan trọng trong việc phát tán nhiều dòng mã độc nguy hiểm như Rhysida, Oyster, Lumma Stealer và Vidar. Các nhóm tấn công sử dụng dịch vụ này có liên quan đến những dòng ransomware khét tiếng như INC, Qilin, BlackByte và Akira, nhắm vào các lĩnh vực trọng yếu như y tế, giáo dục, chính phủ và tài chính tại nhiều quốc gia.

Việc triệt phá hạ tầng của Fox Tempest là một bước đi chiến lược của Microsoft nhằm làm tăng chi phí và độ khó cho tội phạm mạng. Hãng khẳng định sẽ tiếp tục theo dõi và thực hiện các biện pháp đối phó để ngăn chặn việc lạm dụng các dịch vụ ký mã hợp pháp trong tương lai.

Nguồn tham khảo: The Hacker News