जांच में पाया गया कि यह समूह Microsoft Artifact Signing नाम की वैध क्लाउड सेवा का दुरुपयोग कर रहा था। यह सेवा सामान्यतः डेवलपर्स को अपने सॉफ्टवेयर पर डिजिटल सिग्नेचर लगाने के लिए दी जाती है ताकि उपयोगकर्ता यह सत्यापित कर सकें कि सॉफ्टवेयर असली है और उसमें छेड़छाड़ नहीं हुई।
Fox Tempest ने इसी प्रणाली का गलत उपयोग करके कम समय के लिए वैध दिखने वाले कोड‑साइनिंग सर्टिफिकेट बनाए और उन्हें मालवेयर फाइलों पर लगा दिया। इससे मालवेयर कई सुरक्षा प्रणालियों को धोखा दे सकता था।
Microsoft के अनुसार समूह ने 1,000 से अधिक सर्टिफिकेट बनाए और इस गतिविधि को चलाने के लिए सैकड़ों Azure टेनेंट और सब्सक्रिप्शन का उपयोग किया।
Fox Tempest के पूरे ऑपरेशन का केंद्र था signspace[.]cloud नाम का प्लेटफॉर्म। यह मूलतः एक भुगतान आधारित सेवा थी जहाँ साइबर अपराधी अपना मालवेयर अपलोड करते और बदले में डिजिटल सिग्नेचर लगा हुआ संस्करण प्राप्त करते थे।
इसकी प्रक्रिया कुछ इस तरह काम करती थी:
डिजिटल सिग्नेचर होने के कारण ये फाइलें सुरक्षा सिस्टम को भरोसेमंद सॉफ्टवेयर जैसी लग सकती थीं, जिससे चेतावनियाँ कम होती थीं और डिटेक्शन मुश्किल हो जाता था।
कुछ रिपोर्टों के अनुसार ये सर्टिफिकेट बहुत कम समय के लिए वैध रहते थे—कभी‑कभी लगभग 72 घंटे। इससे सुरक्षा टीमों को उन्हें पहचानकर रद्द करने का समय कम मिल पाता था, जबकि हमलावर उसी समय में मालवेयर फैला देते थे।
Microsoft और अन्य सुरक्षा रिपोर्टों ने Fox Tempest की सेवा को कई साइबर अपराधी समूहों से जोड़ा है।
बताए गए ग्राहकों में शामिल हैं:
रिपोर्टों में यह भी कहा गया है कि यह सेवा Oyster, Lumma Stealer और Vidar जैसे मालवेयर परिवारों से जुड़े हमलों में उपयोग की गई थी, हालांकि हर टूल के साथ इसका तकनीकी संबंध पूरी तरह सार्वजनिक नहीं है।
Fox Tempest को रोकने के लिए Microsoft ने कई स्तरों पर कार्रवाई की—कानूनी, तकनीकी और जांच संबंधी।
कानूनी कार्रवाई
Microsoft ने यूएस डिस्ट्रिक्ट कोर्ट, साउदर्न डिस्ट्रिक्ट ऑफ न्यूयॉर्क में एक सिविल केस दायर किया, जिसके तहत इस नेटवर्क के खिलाफ कानूनी कार्रवाई संभव हुई।
इन्फ्रास्ट्रक्चर जब्ती और वेबसाइट बंद
कंपनी ने होस्टिंग प्रदाताओं और अधिकारियों के साथ मिलकर समूह की वेबसाइट और अन्य सेवाओं को जब्त किया और संचालन से जुड़े सर्वरों को बंद कराया।
सर्टिफिकेट रद्द करना
Microsoft ने ऑपरेशन से जुड़े 1,000 से अधिक फर्जी कोड‑साइनिंग सर्टिफिकेट रद्द कर दिए।
Azure वातावरण निष्क्रिय करना
जांच में पाए गए सैकड़ों Azure टेनेंट, वर्चुअल मशीन और सब्सक्रिप्शन को भी बंद कर दिया गया।
गुप्त जांच और इंटेलिजेंस
Microsoft की Digital Crimes Unit (DCU) ने अंडरकवर तरीके अपनाकर समूह के इन्फ्रास्ट्रक्चर और ऑपरेटरों का पता लगाया और फिर समन्वित कार्रवाई की।
इन कदमों ने उस तकनीकी ढांचे को तोड़ दिया जिसके सहारे यह मालवेयर‑साइनिंग सेवा चल रही थी।
आज कई साइबर अपराधी एक‑दूसरे को विशेष सेवाएँ बेचते हैं। उदाहरण के लिए:
Fox Tempest इसका उदाहरण है—इसने सिर्फ एक सेवा बेची, लेकिन वही सेवा बड़े पैमाने के रैनसमवेयर हमलों में महत्वपूर्ण भूमिका निभा सकती थी।
डिजिटल सिग्नेचर सॉफ्टवेयर सुरक्षा का एक मूलभूत तंत्र है। यह उपयोगकर्ताओं और ऑपरेटिंग सिस्टम को यह भरोसा देता है कि सॉफ्टवेयर असली है और उसमें छेड़छाड़ नहीं हुई।
लेकिन जब अपराधी फर्जी सर्टिफिकेट बना लेते हैं, तो मालवेयर भी वैध सॉफ्टवेयर जैसा दिखाई देने लगता है। इससे:
Fox Tempest के खिलाफ कार्रवाई यह दिखाती है कि आधुनिक साइबर सुरक्षा केवल अंतिम हमलावरों को पकड़ने तक सीमित नहीं रह सकती। कई बार अपराधी पारिस्थितिकी तंत्र की सेवाओं—जैसे साइनिंग प्लेटफॉर्म या होस्टिंग नेटवर्क—को निशाना बनाना अधिक प्रभावी होता है।
ऐसी सेवाओं को बंद करने से एक साथ कई हमलों की क्षमता कमजोर पड़ सकती है। फिर भी यह मामला यह भी याद दिलाता है कि भरोसा बनाने के लिए बनाई गई तकनीकें—जैसे डिजिटल सिग्नेचर—भी गलत हाथों में पड़ने पर गंभीर खतरा बन सकती हैं।
Comments
0 comments