Microsoft stoppt Malware-Signing-Dienst von Fox Tempest

Microsoft hat einen Dienst zerschlagen, der Kriminellen half, Malware mit echten Zertifikaten zu signieren. Dahinter steckt die Gruppe Fox Tempest.

Was war der Malware-Signing-Dienst?

Microsoft hat am Dienstag bekannt gegeben, dass es einen sogenannten Malware-Signing-as-a-Service (MSaaS)-Betrieb gestört hat, der das firmeneigene Artifact-Signing-System zweckentfremdete, um schädlichen Code zu signieren und Ransomware sowie andere Angriffe durchzuführen. Laut Microsoft wurden dadurch tausende Rechner und Netzwerke weltweit kompromittiert.

Der Technologieriese führt die Aktivitäten auf einen Bedrohungsakteur namens Fox Tempest zurück, der den MSaaS-Dienst angeboten haben soll. Die Angreifer nutzten offenbar legitime Code-Signing-Zertifikate, um ihre Schadsoftware als vertrauenswürdig erscheinen zu lassen – ein klassischer Fall von vertrauensbasierter Täuschung.

Wie funktionierte der Angriff?

Die Täter missbrauchten das Microsoft Artifact Signing, ein Tool, das eigentlich Entwicklern hilft, ihre Software sicher zu signieren. Stattdessen signierten sie damit Malware, die dann von Antivirenprogrammen und Sicherheitssystemen als harmlos eingestuft wurde. Das ist ein Problem, mit dem du als Sicherheitsverantwortlicher rechnen musst: Selbst vertrauenswürdige Signaturen garantieren keine Sicherheit.

Microsoft hat die betroffenen Zertifikate widerrufen und Maßnahmen ergriffen, um das System zu härten. Allerdings bleibt die Frage: Wie sicher ist dein eigener Signierungsprozess? Ein einzelner kompromittierter Account kann ausreichen, um eine ganze Organisation zu gefährden.

Fox Tempest: Wer steckt dahinter?

Fox Tempest ist ein relativ neuer Name in der Bedrohungslandschaft. Microsoft beschreibt die Gruppe als einen Erpresserbande, die ihre Dienste gegen Geld anbietet. Solche „Kriminalitäts-as-a-Service“-Modelle senken die Einstiegshürde für Cyberangriffe erheblich. Du musst nicht einmal selbst programmieren können – du mietest einfach die Infrastruktur.

Der MSaaS-Dienst war laut Microsoft seit mindestens einem Jahr aktiv und wurde in mehreren Ländern nachgewiesen. Die genaue Anzahl der Opfer ist noch unklar, aber Microsoft spricht von „tausenden Maschinen“. Besonders betroffen waren Unternehmen in den USA, Europa und Asien.

Was bedeutet das für Unternehmen?

Diese Enthüllung zeigt, dass traditionelle Sicherheitsmechanismen wie Code-Signing allein nicht ausreichen. Du solltest mehrstufige Prüfungen einführen: Jede signierte Software sollte zusätzlich auf ihr Verhalten analysiert werden. Zudem ist es wichtig, Zertifikate regelmäßig zu rotieren und den Zugriff streng zu kontrollieren.

Microsoft empfiehlt, die Microsoft-Sicherheitstools zu nutzen und verdächtige Aktivitäten zu melden. Ein weiterer Schritt: Überprüfe deine eigenen Signierprozesse – vielleicht schlummert dort eine Schwachstelle, die du noch nicht siehst.

Eine interessante Frage ist, warum Microsoft nicht früher eingegriffen hat. Der Konzern betont, dass die Untersuchung komplex war und die Störung erst jetzt möglich wurde. Aber die Daten erzählen eine andere Geschichte: Der Dienst lief monatelang ungestört. Das ist ein klares Zeichen, dass selbst die Großen im Bereich Cybersicherheit nicht immun sind gegen Verzögerungen.

Wie kannst du dich schützen?

Hier sind vier konkrete Maßnahmen, die du sofort umsetzen kannst:

• Überwache Zertifikate: Setze Tools ein, die ungewöhnliche Signierungsaktivitäten erkennen.
• Schule deine Mitarbeiter: Viele Angriffe beginnen mit Phishing – trainiere dein Team, verdächtige E-Mails zu erkennen.
• Nutze Application Control: Erlaube nur signierte Software aus vertrauenswürdigen Quellen.
• Halte Systeme aktuell: Patches sind oft der einfachste Schutz – aber nur, wenn du sie auch installierst.

Wenn du mehr über die technischen Details erfahren willst, lies den offiziellen Blogbeitrag von Microsoft: Microsoft Security Blog.

Der Fall Fox Tempest zeigt: Cyberkriminalität wird immer professioneller. Aber mit den richtigen Vorsichtsmaßnahmen kannst du dich schützen. Bleib wachsam.