Microsoft का Fox Tempest पर बड़ा एक्शन: रैनसमवेयर को वैध दिखाने वाली साइनिंग सर्विस का पर्दाफाश

आधुनिक साइबर अपराध तेजी से एक संगठित उद्योग का रूप ले चुका है। कई हमलावर अब खुद सारे टूल नहीं बनाते, बल्कि विशेष सेवाएँ खरीदते हैं—जैसे रैनसमवेयर‑as‑a‑service, एक्सेस ब्रोकर्स या मालवेयर होस्टिंग। इसी कड़ी में Microsoft ने मई 2026 में एक ऐसे नेटवर्क को निशाना बनाया जो मालवेयर को वैध सॉफ्टवेयर जैसा दिखाने की सेवा बेच रहा था। इस नेटवर्क का नाम था Fox Tempest।

Microsoft के अनुसार यह समूह “malware‑signing‑as‑a‑service” (MSaaS) प्लेटफॉर्म चलाता था। इसका काम था मालवेयर को डिजिटल सिग्नेचर देकर उसे भरोसेमंद सॉफ्टवेयर जैसा दिखाना, ताकि सुरक्षा चेतावनियाँ कम हों और सिस्टम उसे आसानी से चला लें।

Fox Tempest क्या करता था

Fox Tempest एक वित्तीय लाभ पर आधारित साइबर अपराधी समूह था। यह खुद हर हमला नहीं करता था, बल्कि ऐसी सेवाएँ बेचता था जिनका उपयोग अन्य अपराधी अपने हमलों में कर सकते थे। Microsoft ने इसे रैनसमवेयर सप्लाई चेन का “upstream enabler” बताया—यानी ऐसा खिलाड़ी जो हमलों को संभव बनाने वाली बुनियादी सेवाएँ देता है।

जांच में पाया गया कि यह समूह Microsoft Artifact Signing नाम की वैध क्लाउड सेवा का दुरुपयोग कर रहा था। यह सेवा सामान्यतः डेवलपर्स को अपने सॉफ्टवेयर पर डिजिटल सिग्नेचर लगाने के लिए दी जाती है ताकि उपयोगकर्ता यह सत्यापित कर सकें कि सॉफ्टवेयर असली है और उसमें छेड़छाड़ नहीं हुई।

Fox Tempest ने इसी प्रणाली का गलत उपयोग करके कम समय के लिए वैध दिखने वाले कोड‑साइनिंग सर्टिफिकेट बनाए और उन्हें मालवेयर फाइलों पर लगा दिया। इससे मालवेयर कई सुरक्षा प्रणालियों को धोखा दे सकता था।

Microsoft के अनुसार समूह ने 1,000 से अधिक सर्टिफिकेट बनाए और इस गतिविधि को चलाने के लिए सैकड़ों Azure टेनेंट और सब्सक्रिप्शन का उपयोग किया।

signspace[.]cloud कैसे काम करता था

Fox Tempest के पूरे ऑपरेशन का केंद्र था signspace[.]cloud नाम का प्लेटफॉर्म। यह मूलतः एक भुगतान आधारित सेवा थी जहाँ साइबर अपराधी अपना मालवेयर अपलोड करते और बदले में डिजिटल सिग्नेचर लगा हुआ संस्करण प्राप्त करते थे।

इसकी प्रक्रिया कुछ इस तरह काम करती थी:

• हमलावर मालवेयर फाइल प्लेटफॉर्म पर अपलोड करते थे।
• सेवा Artifact Signing के दुरुपयोग से कोड‑साइनिंग सर्टिफिकेट बनाती थी।
• वही सर्टिफिकेट मालवेयर पर लगा दिया जाता था और साइन किया हुआ संस्करण वापस दिया जाता था।

डिजिटल सिग्नेचर होने के कारण ये फाइलें सुरक्षा सिस्टम को भरोसेमंद सॉफ्टवेयर जैसी लग सकती थीं, जिससे चेतावनियाँ कम होती थीं और डिटेक्शन मुश्किल हो जाता था।

कुछ रिपोर्टों के अनुसार ये सर्टिफिकेट बहुत कम समय के लिए वैध रहते थे—कभी‑कभी लगभग 72 घंटे। इससे सुरक्षा टीमों को उन्हें पहचानकर रद्द करने का समय कम मिल पाता था, जबकि हमलावर उसी समय में मालवेयर फैला देते थे।

किन रैनसमवेयर समूहों ने इसका इस्तेमाल किया

Microsoft और अन्य सुरक्षा रिपोर्टों ने Fox Tempest की सेवा को कई साइबर अपराधी समूहों से जोड़ा है।

बताए गए ग्राहकों में शामिल हैं:

• Rhysida ransomware ऑपरेटर
• Vanilla Tempest
• Storm‑0501
• Microsoft द्वारा ट्रैक किए जा रहे अन्य साइबरक्राइम समूह

रिपोर्टों में यह भी कहा गया है कि यह सेवा Oyster, Lumma Stealer और Vidar जैसे मालवेयर परिवारों से जुड़े हमलों में उपयोग की गई थी, हालांकि हर टूल के साथ इसका तकनीकी संबंध पूरी तरह सार्वजनिक नहीं है।

Microsoft ने ऑपरेशन को कैसे रोका

Fox Tempest को रोकने के लिए Microsoft ने कई स्तरों पर कार्रवाई की—कानूनी, तकनीकी और जांच संबंधी।

कानूनी कार्रवाई
Microsoft ने यूएस डिस्ट्रिक्ट कोर्ट, साउदर्न डिस्ट्रिक्ट ऑफ न्यूयॉर्क में एक सिविल केस दायर किया, जिसके तहत इस नेटवर्क के खिलाफ कानूनी कार्रवाई संभव हुई।

इन्फ्रास्ट्रक्चर जब्ती और वेबसाइट बंद
कंपनी ने होस्टिंग प्रदाताओं और अधिकारियों के साथ मिलकर समूह की वेबसाइट और अन्य सेवाओं को जब्त किया और संचालन से जुड़े सर्वरों को बंद कराया।

सर्टिफिकेट रद्द करना
Microsoft ने ऑपरेशन से जुड़े 1,000 से अधिक फर्जी कोड‑साइनिंग सर्टिफिकेट रद्द कर दिए।

Azure वातावरण निष्क्रिय करना
जांच में पाए गए सैकड़ों Azure टेनेंट, वर्चुअल मशीन और सब्सक्रिप्शन को भी बंद कर दिया गया।

गुप्त जांच और इंटेलिजेंस
Microsoft की Digital Crimes Unit (DCU) ने अंडरकवर तरीके अपनाकर समूह के इन्फ्रास्ट्रक्चर और ऑपरेटरों का पता लगाया और फिर समन्वित कार्रवाई की।

इन कदमों ने उस तकनीकी ढांचे को तोड़ दिया जिसके सहारे यह मालवेयर‑साइनिंग सेवा चल रही थी।

साइबर सुरक्षा के लिए यह मामला क्यों महत्वपूर्ण है

1. साइबरक्राइम अब “सेवा उद्योग” बन चुका है

आज कई साइबर अपराधी एक‑दूसरे को विशेष सेवाएँ बेचते हैं। उदाहरण के लिए:

• ransomware‑as‑a‑service
• initial access brokers
• malware hosting
• और अब malware signing services

Fox Tempest इसका उदाहरण है—इसने सिर्फ एक सेवा बेची, लेकिन वही सेवा बड़े पैमाने के रैनसमवेयर हमलों में महत्वपूर्ण भूमिका निभा सकती थी।

2. कोड साइनिंग पर भरोसा कमजोर पड़ सकता है

डिजिटल सिग्नेचर सॉफ्टवेयर सुरक्षा का एक मूलभूत तंत्र है। यह उपयोगकर्ताओं और ऑपरेटिंग सिस्टम को यह भरोसा देता है कि सॉफ्टवेयर असली है और उसमें छेड़छाड़ नहीं हुई।

लेकिन जब अपराधी फर्जी सर्टिफिकेट बना लेते हैं, तो मालवेयर भी वैध सॉफ्टवेयर जैसा दिखाई देने लगता है। इससे:

• सुरक्षा चेतावनियाँ कम हो सकती हैं
• मालवेयर आसानी से चल सकता है
• और प्रतिष्ठा‑आधारित सुरक्षा प्रणालियों को धोखा मिल सकता है

बड़ी सीख

Fox Tempest के खिलाफ कार्रवाई यह दिखाती है कि आधुनिक साइबर सुरक्षा केवल अंतिम हमलावरों को पकड़ने तक सीमित नहीं रह सकती। कई बार अपराधी पारिस्थितिकी तंत्र की सेवाओं—जैसे साइनिंग प्लेटफॉर्म या होस्टिंग नेटवर्क—को निशाना बनाना अधिक प्रभावी होता है।

ऐसी सेवाओं को बंद करने से एक साथ कई हमलों की क्षमता कमजोर पड़ सकती है। फिर भी यह मामला यह भी याद दिलाता है कि भरोसा बनाने के लिए बनाई गई तकनीकें—जैसे डिजिटल सिग्नेचर—भी गलत हाथों में पड़ने पर गंभीर खतरा बन सकती हैं।