Microsoft met fin à l’opération illégale de signature de code utilisée par les criminels de ransomware pour masquer leurs logiciels malveillants

Microsoft a saisi des sites Web et supprimé des centaines de machines virtuelles exécutant un service de cybercriminalité qui aurait vendu des certificats de signature de code à des gangs de ransomwares, faisant ainsi passer leurs logiciels malveillants pour des logiciels légitimes – et permettant aux criminels d’infecter des milliers de machines aux États-Unis, dont au moins 12 détenues et exploitées par le géant Windows.

L’opération de signature en tant que service de logiciels malveillants appelée Fox Tempest existe depuis mai 2025 et abuse du service de signature de code Artifact Signing de Microsoft. Ce service permet aux développeurs de signer numériquement leurs applications logicielles, signalant ainsi au système d’exploitation Windows et à l’utilisateur final que le logiciel est authentique et n’a pas été falsifié.

Depuis mai 2025, l’équipe de Fox Tempest – appelée John Doe 1 et 2 dans des documents judiciaires dévoilés mardi – a utilisé de fausses identités et usurpé l’identité de véritables organisations, leur permettant de créer plus de 580 comptes Microsoft frauduleux.

Ils ont ensuite utilisé ces comptes pour abuser du service Artifact Signing de Microsoft et obtenir de véritables informations d’identification de signature de code, puis ont vendu les certificats de signature de code à d’autres criminels pour des milliers de dollars.

Selon Microsoft, les clients de Fox Tempest comprenaient un groupe de ransomwares que Redmond suit sous le nom de Vanilla Tempest (alias Vice Spider, Vice Society, Rhysida), qui aurait utilisé les certificats pour signer numériquement les logiciels malveillants et les faire paraître légitimes à Windows et aux utilisateurs.

Cela a également permis aux lanceurs de ransomwares « de déployer plus facilement le malware sur les ordinateurs de victimes sans méfiance sans leur consentement », selon les documents judiciaires (PDF). Les logiciels malveillants comprenaient la porte dérobée Windows Oyster, les voleurs d’informations Lumma et Vidar et le ransomware Rhysida.

Vanilla Tempest « a accédé illégalement aux ordinateurs et aux appareils des victimes, a exfiltré et volé les informations personnelles et confidentielles des victimes, a déployé des ransomwares conçus pour crypter les fichiers et les systèmes des victimes, et a extorqué les victimes en exigeant un paiement en échange du rétablissement de l’accès à leurs données ou de la suppression de celles-ci », poursuit la plainte civile, ajoutant que l’activité criminelle reste en cours.

Dans un article de blog ultérieur, Steven Masada, avocat de la Microsoft Digital Crimes Unit, a déclaré que l’enquête de la société technologique « liait en outre Fox Tempest à diverses autres filiales et familles de ransomwares, notamment INC, Qilin, Akira et d’autres ».

Entre février et mars, la Digital Crimes Unit (DCU), en collaboration avec « une source coopérante », a acheté et testé anonymement le service de signature de code de John Doe 2, alias SamCodeSign.

« Ces achats tests ont permis aux enquêteurs de la DCU d’observer de première main comment les accusés de Fox Tempest exploitent le service, les informations fournies à l’acheteur et les instructions données par SamCodeSign pour se connecter au service et signer le logiciel de test créé par Microsoft », indiquent les documents judiciaires. « De plus, les achats tests ont permis à la DCU d’identifier les portefeuilles de crypto-monnaie utilisés par les accusés de Fox Tempest. »

Lors du premier achat test, la source a rempli un formulaire Google lui demandant de sélectionner la rapidité avec laquelle elle avait besoin des certificats. Le standard coûte 5 000 $, tandis que le prioritaire coûte 7 500 $ et le accéléré coûte 9 500 $.

SamCodeSign a ensuite envoyé un message direct à la source et a demandé que le paiement de 7 500 $ soit envoyé sur un portefeuille Bitcoin, selon des captures d’écran (traduites du russe) dans les documents judiciaires.

Une fois la source payée, SamCodeSign a envoyé des instructions sur la façon d’accéder à la machine virtuelle et de terminer le processus de signature de code.

« Microsoft a identifié des milliers de machines client, dont plus d’une douzaine de machines détenues et exploitées par Microsoft, aux États-Unis, qui ont été affectées par des logiciels malveillants signés avec des certificats provenant des locataires créés par les défendeurs de Fox Tempest », indique la plainte. ®