Bagaimana Microsoft Menghentikan Layanan Penandatangan Malware Fox Tempest

Operasi ini memanfaatkan Microsoft Artifact Signing, layanan cloud yang sebenarnya dirancang untuk membantu pengembang menandatangani aplikasi sehingga pengguna dapat memastikan software tersebut asli dan tidak dimodifikasi.

Namun dalam kasus ini, layanan tersebut disalahgunakan untuk membuat sertifikat penandatangan kode sementara bagi file berbahaya, sehingga malware terlihat seperti aplikasi resmi yang dipercaya sistem keamanan.

Menurut Microsoft, Fox Tempest berhasil membuat lebih dari 1.000 sertifikat serta menjalankan ratusan tenant dan langganan Azure untuk mendukung operasi tersebut.

Cara Kerja Layanan signspace[.]cloud

Pusat operasi Fox Tempest adalah platform bernama signspace[.]cloud, yang berfungsi seperti layanan berbayar bagi pelaku kejahatan siber.

Skemanya relatif sederhana:

• Penyerang mengunggah file malware ke layanan tersebut.
• Sistem menggunakan akses yang diperoleh secara curang ke Artifact Signing untuk membuat sertifikat penandatangan.
• File malware dikembalikan kepada pelanggan dalam kondisi sudah ditandatangani secara digital.

Karena file tersebut memiliki rantai sertifikat yang tampak sah, malware bisa melewati beberapa pemeriksaan keamanan dan terlihat lebih dapat dipercaya bagi pengguna maupun sistem otomatis.

Beberapa laporan menyebut sertifikat tersebut hanya berlaku sangat singkat—sekitar 72 jam—yang memberi waktu cukup bagi penyerang untuk menyebarkan malware sebelum sertifikat terdeteksi dan dicabut.

Kelompok Ransomware yang Menggunakan Layanan Ini

Investigasi Microsoft mengaitkan layanan Fox Tempest dengan sejumlah kelompok ransomware dan distributor malware.

Beberapa pelanggan yang disebut dalam laporan keamanan meliputi:

• operator ransomware Rhysida
• kelompok Vanilla Tempest
• aktor ancaman Storm‑0501
• beberapa kelompok kriminal lain yang dipantau tim keamanan Microsoft

Layanan ini juga dilaporkan terkait dengan distribusi berbagai keluarga malware, termasuk Oyster, Lumma Stealer, dan Vidar, meskipun detail interaksi teknisnya tidak sepenuhnya dipublikasikan.

Langkah Microsoft Menghentikan Operasi

Microsoft menggunakan kombinasi langkah hukum, investigasi intelijen, dan tindakan teknis untuk menghentikan layanan tersebut.

1. Gugatan perdata
Microsoft mengajukan dan kemudian membuka dokumen gugatan di U.S. District Court for the Southern District of New York yang menargetkan operasi Fox Tempest.

2. Penyitaan dan penutupan infrastruktur
Bersama penyedia hosting dan otoritas terkait, Microsoft menyita situs web operasi tersebut serta membongkar infrastruktur server yang mendukung layanan penandatangan malware.

3. Pencabutan sertifikat massal
Perusahaan mencabut lebih dari 1.000 sertifikat penandatangan kode palsu yang dihasilkan oleh layanan tersebut.

4. Penonaktifan lingkungan cloud
Microsoft juga mengidentifikasi dan menonaktifkan ratusan tenant Azure, mesin virtual, dan langganan yang digunakan untuk menjalankan sistem backend layanan itu.

5. Investigasi dan penyamaran
Unit Digital Crimes Unit (DCU) Microsoft melakukan investigasi mendalam, termasuk interaksi penyamaran dengan operator layanan untuk memetakan infrastruktur dan aktivitas mereka sebelum operasi penindakan dilakukan.

Langkah‑langkah ini secara efektif menghancurkan platform yang memungkinkan layanan penandatangan malware tersebut berjalan.

Mengapa Kasus Ini Penting

Kasus Fox Tempest menyoroti dua tren besar dalam dunia keamanan siber.

1. Kejahatan siber berubah menjadi ekonomi layanan

Banyak penyerang kini tidak membuat semua alat sendiri. Mereka membeli layanan khusus seperti:

• ransomware‑as‑a‑service
• broker akses awal ke jaringan korban
• hosting infrastruktur malware
• hingga layanan penandatangan malware

Fox Tempest menunjukkan bahwa sebuah kelompok bisa hanya menjual satu kemampuan—sertifikat yang tampak terpercaya—namun tetap memainkan peran penting dalam serangan ransomware skala besar.

2. Penyalahgunaan code signing merusak kepercayaan pada software

Tanda tangan digital merupakan mekanisme keamanan penting yang membantu sistem operasi memastikan bahwa perangkat lunak benar‑benar berasal dari pengembang yang sah dan belum diubah.

Jika penyerang memperoleh atau membuat sertifikat palsu, malware bisa terlihat hampir sama dengan aplikasi resmi. Dampaknya antara lain:

• mengurangi peringatan keamanan
• meningkatkan kemungkinan malware dijalankan pengguna
• melewati sistem pertahanan berbasis reputasi

Dengan kata lain, penyalahgunaan code signing menyerang lapisan kepercayaan paling dasar dalam ekosistem perangkat lunak.

Pelajaran yang Lebih Luas

Pembongkaran Fox Tempest menunjukkan bahwa melawan kejahatan siber tidak cukup hanya menangkap operator ransomware.

Sering kali lebih efektif menargetkan penyedia layanan di balik ekosistem kriminal tersebut—seperti layanan penandatangan malware, penyedia infrastruktur, atau broker akses.

Dengan menghentikan satu layanan yang dipakai banyak kelompok sekaligus, penegak keamanan dapat memutus bagian penting dari rantai pasokan kejahatan siber.

Namun kasus ini juga menjadi pengingat bahwa bahkan teknologi yang dirancang untuk meningkatkan keamanan—seperti penandatanganan kode—dapat disalahgunakan ketika penyerang menemukan cara untuk mengeksploitasinya.