近期，一场针对网络犯罪生态上游节点的打击行动取得了阶段性胜利。微软数字犯罪部门（DCU）联合安全机构Resecurity，成功捣毁了名为“Fox Tempest”的地下组织。该组织长期运营着一种恶意软件签名即服务（MSaaS）平台，通过非法获取代码签名证书，让原本恶意的软件披上“受信任”的外壳，从而绕过安全机制的检测。
拆解Fox Tempest的“伪装术”
从我们的应急响应经验来看，攻击者为了提高木马或勒索病毒的免杀率，早已不再局限于单纯的免杀编码，而是转向了更具欺骗性的“身份伪造”。Fox Tempest的核心业务正是利用微软工件签名（Artifact Signing）机制的漏洞，获取并滥用代码签名证书。
当恶意软件拥有了合法的数字签名，它在终端设备上被识别为“已验证发布者”的概率大幅提升。这不仅能有效降低用户对弹窗警告的警惕性，还能让许多基于信誉机制的安全软件对其“网开一面”。这正是该组织能够成为Vanilla Tempest、Rhysida、Akira等多个知名勒索组织上游供应商的核心原因。
深入攻击链分析
Fox Tempest的运作模式展示了网络犯罪高度专业化、模块化的趋势。他们并不直接参与勒索攻击，而是充当“数字洗白商”的角色：
首先，他们通过各种手段获取合法代码签名证书，并将其封装为服务。其次，下游的勒索病毒团伙将编写好的恶意样本上传至该组织的平台（如被查封的signspace[.]cloud）。最后，平台自动为这些样本打上伪造的数字签名，使其看起来如同正规商业软件。
这一环节是很多企业容易忽视的盲点。很多安全意识培训过于强调防范钓鱼邮件或不安全链接，却往往忽略了“数字签名”本身也可能成为攻击者的武器。
联合打击的行业启示
在此次行动中，微软查封了相关基础设施，下线了数百台虚拟机，并吊销了超过1000个被滥用的代码签名证书。这种从源头切断犯罪链条的策略，对于遏制勒索病毒的泛滥具有深远意义。
类似攻击近年来明显增加，且呈现出极其鲜明的“商业化”特征。这种分工明确的犯罪生态，使得即使是技术能力一般的攻击者，也能通过购买这些“黑产服务”发动高质量的攻击。
Solar安全建议与经验分享
针对此类利用合法证书进行的恶意行为，我们向企业安全团队提出以下建议：
首先，完善终端安全策略。不要仅依赖数字签名来判断文件信任度，应结合行为分析、沙箱检测及威胁情报进行综合判定。
其次，强化对异常流量的监控。即使恶意软件拥有合法签名，其在执行后的网络通信、进程注入、加密行为往往具有显著特征。我们需要关注的是“运行后的行为”而非“文件的身份”。
最后，保持对威胁情报的持续关注。像Fox Tempest这样为多个勒索组织提供服务的节点，其基础设施的变更往往预示着新一轮攻击浪潮的到来。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com