Como a Microsoft desmantelou o serviço de assinatura de malware Fox Tempest

O cibercrime moderno funciona cada vez mais como uma economia de serviços. Em vez de cada grupo criar todas as ferramentas necessárias para um ataque, criminosos especializam‑se em vender recursos específicos para outros hackers.

Um exemplo claro surgiu em maio de 2026, quando a Microsoft revelou ter interrompido uma operação chamada Fox Tempest — um serviço que ajudava malware e ransomware a parecer software legítimo por meio de assinaturas digitais falsas.

Segundo a empresa, o grupo operava um modelo conhecido como malware‑signing‑as‑a‑service (MSaaS), no qual criminosos pagavam para receber arquivos maliciosos com certificados digitais válidos anexados.

O que era o Fox Tempest

A Microsoft descreve o Fox Tempest como um ator financeiramente motivado que não precisava executar todos os ataques diretamente. Em vez disso, ele atuava como um fornecedor dentro da cadeia de ransomware, oferecendo infraestrutura que outros criminosos podiam usar em suas campanhas.

O grupo explorava indevidamente o Microsoft Artifact Signing, um serviço legítimo em nuvem criado para que desenvolvedores assinem digitalmente seus programas. A assinatura permite que sistemas operacionais e usuários verifiquem que um software é autêntico e não foi alterado.

O Fox Tempest utilizou esse mecanismo para criar certificados de assinatura de código fraudulentos e de curta duração, que eram anexados a arquivos maliciosos. Assim, o malware passava a parecer confiável para o Windows e para ferramentas de segurança.

De acordo com a Microsoft, a operação chegou a gerar mais de 1.000 certificados e utilizou centenas de tenants e assinaturas do Azure para manter a infraestrutura ativa.

Como funcionava o serviço signspace[.]cloud

No centro da operação estava o site signspace[.]cloud, que funcionava como uma plataforma paga de assinatura de malware.

O fluxo básico do serviço era simples:

• criminosos enviavam arquivos maliciosos para a plataforma
• o sistema gerava um certificado de assinatura explorando o acesso fraudulento ao Artifact Signing
• o malware era devolvido já com uma assinatura digital válida

Como o arquivo aparecia como “assinado” por uma cadeia legítima de certificação, ele tinha mais chances de evitar alertas de segurança e parecer confiável para usuários e sistemas automatizados.

Em alguns casos, os certificados tinham validade extremamente curta — cerca de 72 horas — o que dificultava a detecção e revogação a tempo de impedir campanhas ativas.

Grupos de ransomware ligados ao serviço

Relatórios de segurança indicam que vários grupos de cibercrime usaram o serviço do Fox Tempest.

Entre os clientes associados estão:

• operadores do ransomware Rhysida
• Vanilla Tempest
• Storm‑0501
• outros grupos monitorados pelas equipes de inteligência da Microsoft

A infraestrutura também teria sido usada em campanhas envolvendo famílias de malware como Oyster, Lumma Stealer e Vidar, embora os detalhes completos da integração com cada ferramenta não tenham sido totalmente divulgados.

O que a Microsoft fez para derrubar a operação

A resposta da empresa envolveu ações jurídicas, investigação e medidas técnicas para desmantelar o serviço.

1. Ação judicial
A Microsoft abriu um processo civil no Tribunal Distrital dos EUA para o Distrito Sul de Nova York, posteriormente tornado público, visando diretamente a operação Fox Tempest.

2. Derrubada da infraestrutura
Em cooperação com provedores de hospedagem e autoridades, a empresa apreendeu o site do grupo, bloqueou serviços associados e desativou servidores ligados à operação.

3. Revogação de certificados
Mais de 1.000 certificados de assinatura de código fraudulentos foram revogados, invalidando arquivos assinados pelo serviço.

4. Desativação de ambientes em nuvem
A investigação identificou e derrubou centenas de tenants, máquinas virtuais e assinaturas Azure usados para sustentar a infraestrutura do grupo.

5. Investigação e infiltração
A Digital Crimes Unit (DCU) da Microsoft utilizou técnicas investigativas, incluindo interação disfarçada com os operadores, para mapear a infraestrutura antes da ação de interrupção.

Por que este caso é importante

O episódio evidencia duas tendências importantes no cenário atual de segurança digital.

O cibercrime virou uma economia de serviços

Hoje, muitos ataques são realizados por ecossistemas completos de fornecedores criminosos. Alguns grupos vendem acesso inicial a redes comprometidas, outros hospedam malware — e serviços como o Fox Tempest vendem apenas a capacidade de assinar malware para torná‑lo confiável.

Mesmo sem executar ataques diretamente, esse tipo de serviço pode viabilizar grandes campanhas de ransomware.

O abuso de assinatura digital ameaça a confiança no software

Assinaturas digitais são uma camada central de segurança em sistemas operacionais modernos. Elas existem para garantir que o software vem de um desenvolvedor legítimo e não foi alterado.

Quando criminosos conseguem gerar ou obter certificados fraudulentos, o malware pode:

• reduzir avisos de segurança
• parecer confiável para usuários
• escapar de sistemas de reputação e verificação

Isso torna o abuso de assinatura de código especialmente perigoso, porque ataca diretamente a camada de confiança do ecossistema de software.

A lição mais ampla

A derrubada do Fox Tempest mostra que combater cibercrime hoje não significa apenas perseguir os grupos que executam ransomware.

Cada vez mais, autoridades e empresas de segurança estão mirando os provedores de serviços dentro da cadeia criminosa. Quando um desses pontos é interrompido — como um serviço de assinatura de malware — vários grupos de ataque podem ser afetados ao mesmo tempo.

Ainda assim, o caso também revela um desafio permanente: até mesmo tecnologias criadas para reforçar a segurança podem ser exploradas quando criminosos encontram maneiras de manipulá‑las.