微軟如何瓦解 Fox Tempest 惡意程式簽章服務

網路犯罪正在快速「產業化」。許多駭客組織不再自己打造所有工具，而是像企業供應鏈一樣，專門提供某一種服務給其他攻擊者使用。

2026 年 5 月，微軟揭露並瓦解了一個名為 Fox Tempest 的網路犯罪行動。該組織經營所謂的 「惡意程式簽章即服務」（malware‑signing‑as‑a‑service，MSaaS），幫助其他犯罪團體把惡意程式偽裝成「已驗證的合法軟體」。

這種服務讓勒索軟體與資料竊取工具更容易通過安全檢查，成為近年網路犯罪供應鏈中的重要環節。

Fox Tempest 在做什麼

微軟表示，Fox Tempest 是一個以獲利為目的的威脅組織，其角色並不一定直接發動攻擊，而是為其他駭客提供關鍵基礎設施。

換句話說，它更像是勒索軟體產業中的「上游服務商」。

該組織主要濫用 Microsoft Artifact Signing——這原本是一項合法的雲端服務，讓開發者能為程式加上數位簽章，以證明軟體來源可信且未被竄改。

Fox Tempest 則利用該機制為惡意檔案生成 短期有效的程式簽章證書，讓惡意軟體在 Windows 或安全系統中看起來像是可信程式。

微軟指出，該組織共建立了 超過 1,000 個簽章證書，並運作 數百個 Azure 租戶與訂閱帳戶來支撐整個服務平台。

signspace[.]cloud：地下簽章平台

Fox Tempest 的核心服務是一個名為 signspace[.]cloud 的網站平台。

它運作方式類似線上代工服務：攻擊者上傳惡意程式，平台回傳一個「已簽章」的版本。

流程大致如下：

• 攻擊者將惡意程式二進位檔上傳到平台
• 系統濫用 Artifact Signing 取得簽章證書
• 平台將帶有合法數位簽章的惡意檔案回傳

因為檔案帶有完整的憑證信任鏈，它們在系統與部分防護工具中會被視為可信軟體，從而 降低警告提示並提高成功執行的機率。

有些報導指出，這些證書的有效時間非常短——有時只有 約 72 小時。這讓攻擊者有足夠時間散播惡意程式，同時縮短防禦方發現並撤銷憑證的時間窗口。

哪些勒索軟體集團使用這項服務

微軟與安全研究指出，多個網路犯罪組織使用過 Fox Tempest 的簽章服務。

其中包括：

• Rhysida 勒索軟體集團
• Vanilla Tempest
• Storm‑0501
• 以及其他由微軟追蹤的犯罪組織

這些攻擊活動涉及多種惡意程式，例如 Oyster、Lumma Stealer 與 Vidar 等。

雖然公開資料尚未完整揭露每一種工具與 Fox Tempest 基礎設施之間的具體整合方式，但可以確定的是，該簽章服務讓惡意程式更容易在攻擊鏈中被投放與執行。

微軟如何瓦解 Fox Tempest

微軟對該組織採取了結合法律與技術手段的行動。

1. 提起民事訴訟
微軟在 美國紐約南區聯邦地方法院提出訴訟並公開案件，鎖定 Fox Tempest 的網路犯罪服務。

2. 查封並關閉基礎設施
在法院命令與合作夥伴協助下，微軟查封該組織網站、關閉相關服務並拆除支援平台運作的系統。

3. 撤銷大量憑證
微軟撤銷 超過 1,000 個透過該服務生成的程式簽章證書。

4. 封鎖雲端帳戶
研究人員同時停用了 數百個 Azure 租戶與虛擬機，這些資源被用來支撐平台後端運作。

5. 情報與臥底調查
微軟數位犯罪部門（Digital Crimes Unit）還透過調查與臥底方式追蹤基礎設施與營運者，最終完成整體打擊行動。

為什麼這個案例重要

Fox Tempest 的事件揭示了兩個關鍵的網路安全趨勢。

1. 網路犯罪正在「服務化」

現代攻擊者越來越依賴專門供應商，例如：

• 勒索軟體即服務（RaaS）
• 初始存取仲介（Initial Access Brokers）
• 惡意基礎設施租用
• 惡意程式簽章服務

Fox Tempest 的角色正是提供其中一個關鍵能力——可信簽章。即使不親自入侵受害者系統，它仍能在勒索軟體生態中扮演重要角色。

2. 程式簽章信任機制被濫用

數位簽章是現代軟體安全的核心機制之一，用來確保程式來源可信且未被修改。

一旦攻擊者取得或生成偽造憑證，惡意軟體就可能在多數安全檢查中看起來像合法程式，進而：

• 減少系統警告
• 提高使用者執行機率
• 繞過依賴信譽評分的防護機制

這等於是直接攻擊整個軟體信任體系。

更大的安全啟示

Fox Tempest 被瓦解說明一件事：打擊網路犯罪不再只靠追捕勒索軟體團伙。

安全機構與科技公司也開始鎖定 犯罪生態系中的服務提供者。一旦某個上游平台被拆除，就可能同時影響多個攻擊組織的行動能力。

不過這起事件也提醒業界：即使是為了建立信任而設計的安全機制，一旦被攻擊者取得或濫用，也可能反過來成為攻擊工具。