Microsoft Threat Intelligence zakłócił aktywną kampanię ransomware Rhysida, w której atakujący wykorzystali certyfikaty Azure Trusted Signing do dystrybucji złośliwego oprogramowania podszywającego się pod legalne instalatory Microsoft Teams.
Co się stało
Zgodnie z komunikatem Microsoftu grupa Vanilla Tempest (znana też jako Vice Society) używała fałszywych plików binarnych Teams — takich jak MSTeamsSetup.exe — umieszczonych na domenach takich jak:
teams-download[.]buzzteams-install[.]runteams-download[.]top
Ofiary były oszukiwane za pomocą SEO poisoning, które kierowało je na te witryny. Po pobraniu pliki instalowały backdoora „Oyster” zamiast Microsoft Teams.
Oyster umożliwiał następnie atakującym dostarczenie ransomware Rhysida w sieciach ofiar.
Jak nadużyto certyfikatów
Aby uniknąć wykrycia, atakujący cyfrowo podpisywali złośliwe oprogramowanie za pomocą ponad 200 certyfikatów podpisywania kodu, w tym części wydanych przez usługę Azure Trusted Signing firmy Microsoft.
- Certyfikaty sprawiały, że złośliwe pliki binarne wyglądały na autentyczne i zaufane.
- Pozwalało to omijać narzędzia ochrony stacji końcowych, które oznaczają niepodpisane oprogramowanie.
Microsoft unieważnił od tego czasu wszystkie ponad 200 certyfikatów i wyłączył powiązane konta.
Inne wymienione urzędy certyfikacji — SSL.com, DigiCert i GlobalSign — potwierdziły, że badają możliwe nadużycia.
Kto za tym stoi
Kampanię przypisuje się grupie Vanilla Tempest, znanej z ataków na sektor ochrony zdrowia i edukacji.
- Wcześniej wdrażane rodziny ransomware: BlackCat, Rhysida
- Aktywna co najmniej od 2022 roku, koncentruje się na wieloetapowych włamaniach i długotrwałej obecności w systemach.
Eksperci ds. bezpieczeństwa ostrzegają, że nadużywanie legalnej infrastruktury certyfikatów stanowi rosnące zagrożenie dla bezpieczeństwa łańcucha dostaw, sprawiając, że złośliwe oprogramowanie jest niemal nie do odróżnienia od autentycznych aplikacji.
Reakcja Microsoftu
Microsoft:
- Unieważnił certyfikaty wydane przez Azure, użyte w atakach
- Skoordynował działania wewnętrzne w celu wzmocnienia weryfikacji w Trusted Signing
- Wysłał alerty do poszkodowanych klientów i partnerów w dziedzinie bezpieczeństwa
Szerszy kontekst
Choć Azure Trusted Signing ma pomagać legalnym programistom w bezpiecznym podpisywaniu oprogramowania, ten incydent podkreśla ryzyko podwójnego zastosowania infrastruktur zaufania.
Bez ciągłej weryfikacji i analityki behawioralnej nawet zaufane certyfikaty mogą zostać zamienione w narzędzia oszustwa.
Perspektywa Alcaeus Services
Ten przypadek pokazuje, że samo zaufanie może zostać wykorzystane.
W Alcaeus Services pomagamy organizacjom wzmacniać bezpieczeństwo łańcucha dostaw i podpisywania kodu, wdrażając:
- Monitorowanie certyfikatów i procesy ich unieważniania
- Audyty podpisywania aplikacji
- Potoki weryfikacji oprogramowania w modelu zero trust
