داخل عملية إسقاط Fox Tempest: خدمة كانت تمنح البرمجيات الخبيثة توقيعًا “موثوقًا”

بدأت العملية عبر استغلال خدمة Microsoft Artifact Signing، وهي خدمة سحابية شرعية يستخدمها المطورون لتوقيع البرامج رقميًا حتى يتمكن نظام التشغيل من التحقق من أن البرنامج أصلي ولم يتم التلاعب به.

بدلًا من توقيع تطبيقات حقيقية، استغلت Fox Tempest الخدمة لإصدار شهادات توقيع قصيرة العمر لملفات خبيثة، ما جعل تلك الملفات تبدو كأنها برامج موثوقة في Windows وبعض أدوات الأمن.

وتقول مايكروسوفت إن المجموعة أنشأت أكثر من 1000 شهادة توقيع مزيفة وشغلت مئات حسابات Azure والبنى السحابية لدعم نشاطها.

كيف كانت تعمل منصة signspace[.]cloud؟

في قلب العملية كانت منصة تسمى signspace[.]cloud، والتي عملت كخدمة مدفوعة يمكن لمجرمي الإنترنت استخدامها بسهولة.

الآلية الأساسية كانت كالتالي:

• يرفع المهاجم ملفًا خبيثًا إلى المنصة.
• تستخدم الخدمة وصولًا احتياليًا إلى نظام Artifact Signing لإصدار شهادة توقيع رقمية.
• يُعاد الملف للمهاجم بعد أن يصبح موقعًا رقميًا وكأنه برنامج شرعي.

وبما أن الملف يحمل توقيعًا مرتبطًا بسلسلة شهادات موثوقة، فقد يتمكن من تجاوز بعض فحوصات الأمان أو تقليل تحذيرات النظام للمستخدمين.

بعض التقارير تشير إلى أن الشهادات كانت قصيرة العمر للغاية – أحيانًا نحو 72 ساعة فقط. هذه المدة القصيرة تقلل فرصة اكتشافها وإلغائها، لكنها تمنح المهاجمين وقتًا كافيًا لنشر البرمجيات الموقعة في حملات نشطة.

مجموعات الفدية المرتبطة بالخدمة

ربطت تحليلات مايكروسوفت وتقارير أمنية متعددة خدمة Fox Tempest بعدة مجموعات إجرامية.

من بين الجهات التي يُعتقد أنها استخدمت الخدمة:

• مشغلو فدية Rhysida
• مجموعة Vanilla Tempest
• مجموعة Storm‑0501
• جهات أخرى تتبعها فرق استخبارات التهديدات لدى مايكروسوفت

كما ارتبطت البنية التحتية للخدمة بانتشار عدة عائلات من البرمجيات الخبيثة مثل:

• Oyster
• Lumma Stealer
• Vidar

لكن التقارير المتاحة لا توضح بشكل كامل العلاقة التقنية الدقيقة بين خدمة التوقيع وكل أداة من هذه الأدوات.

كيف عطّلت مايكروسوفت العملية؟

التحرك ضد Fox Tempest لم يكن تقنيًا فقط، بل جمع بين إجراءات قانونية واستخباراتية وتقنية.

أبرز الخطوات التي أعلنتها مايكروسوفت:

1. دعوى مدنية في الولايات المتحدة
رفعت الشركة قضية في محكمة المقاطعة الفيدرالية للمنطقة الجنوبية من نيويورك واستصدرت أمرًا قضائيًا لاستهداف البنية التحتية للعملية.

2. مصادرة وتعطيل البنية التحتية
بالتعاون مع مزودي الاستضافة والسلطات القانونية، تمت مصادرة موقع الخدمة وإغلاق الخوادم والأنظمة التي كانت تدير عملية التوقيع.

3. إلغاء الشهادات المزيفة
ألغت مايكروسوفت أكثر من 1000 شهادة توقيع رقمية احتيالية استخدمت في توقيع البرمجيات الخبيثة.

4. تعطيل البيئات السحابية المرتبطة
تم تحديد وإيقاف مئات حسابات Azure والآلات الافتراضية التي كانت تشكل البنية الخلفية للخدمة.

5. تحقيقات استخباراتية وتسلل سري
ذكرت الشركة أن وحدة الجرائم الرقمية لديها استخدمت تقنيات تحقيق مختلفة، بما في ذلك التفاعل السري مع المشغلين، لتحديد البنية التحتية للمجموعة قبل تنفيذ عملية التعطيل.

لماذا تعتبر هذه القضية مهمة؟

تكشف قضية Fox Tempest اتجاهين رئيسيين في عالم الجرائم الإلكترونية.

اقتصاد الخدمات في الجريمة السيبرانية

لم يعد المهاجمون بحاجة إلى تطوير كل الأدوات بأنفسهم. يمكنهم ببساطة شراء خدمات متخصصة مثل:

• ransomware‑as‑a‑service
• وسطاء الوصول الأولي إلى الشبكات
• استضافة البنية التحتية للهجمات
• وخدمات توقيع البرمجيات الخبيثة

في هذا النموذج يمكن لجهة مثل Fox Tempest أن تبيع قدرة واحدة فقط — وهي التوقيع الموثوق — لكنها تظل عنصرًا حاسمًا في هجمات الفدية واسعة النطاق.

تقويض الثقة في التوقيع الرقمي

يعتمد أمن البرمجيات الحديثة بشكل كبير على التوقيع الرقمي الذي يثبت أن البرنامج أصلي ولم يتم التلاعب به.

عندما يحصل المهاجمون على شهادات مزيفة أو يستغلون أنظمة التوقيع، يمكن للبرمجيات الخبيثة أن تبدو مثل تطبيقات شرعية، ما يؤدي إلى:

• تقليل تحذيرات النظام للمستخدمين
• زيادة احتمال تشغيل الملفات الضارة
• تجاوز بعض آليات الدفاع المبنية على سمعة البرامج

لهذا السبب يُعد إساءة استخدام التوقيع الرقمي من أخطر التقنيات في الهجمات الحديثة لأنها تستهدف طبقة الثقة الأساسية في منظومة البرمجيات.

الدرس الأكبر للأمن السيبراني

إحدى الرسائل الرئيسية من هذه القضية هي أن مكافحة الجريمة السيبرانية لم تعد تركز فقط على مطوري برامج الفدية أنفسهم.

بل أصبح من الضروري أيضًا استهداف مزودي الخدمات داخل النظام الإجرامي — مثل منصات التوقيع أو البنية التحتية — لأن تعطيل هذه الخدمات يمكن أن يؤثر في عدة مجموعات إجرامية في وقت واحد.

لكن الحادثة تذكّر أيضًا بتحدٍ دائم: حتى الأدوات التي صُممت لبناء الثقة في البرمجيات يمكن أن تتحول إلى أدوات للهجوم إذا نجح المهاجمون في استغلالها.