En mai 2026, l’unité de lutte contre la cybercriminalité de Microsoft, en collaboration avec des partenaires du secteur, a démantelé l’infrastructure de Fox Tempest. Ce groupe opérait une plateforme de « Malware Signing as a Service » (MSaaS).
Plutôt que d’attaquer directement les victimes, Fox Tempest fournissait une infrastructure clé en main à d’autres cybercriminels. Le service exploitait la technologie de signature d’artefacts de Microsoft pour générer des certificats éphémères (valables 72 heures). Cela permettait de donner une apparence légitime aux logiciels malveillants et de contourner les contrôles de sécurité.
L’ampleur du réseau et les acteurs liés
Pour soutenir son activité, Fox Tempest avait configuré des centaines de locataires et d’abonnements Azure, probablement en utilisant des identités volées pour franchir les étapes de vérification. La plateforme comprenait des portails clients et administrateurs, liés à un dépôt GitHub nommé code-signing-service.
Depuis septembre 2025, les chercheurs de Microsoft Threat Intelligence ont lié ce service à de nombreux réseaux criminels d’envergure :
- Diffuseurs de malwares : Utilisation de logiciels signés pour des campagnes de publicités malveillantes (malvertising) et de référencement abusif (SEO poisoning) diffusant Oyster, Lumma Stealer ou Vidar.
- Opérateurs et affiliés de ransomwares : Soutien direct à des groupes majeurs tels que Vanilla Tempest, Storm-0501, Storm-2561, Storm-0249, ainsi qu’aux réseaux derrière les rançongiciels Rhysida, INC, Qilin et Akira.
« Compte tenu de l’envergure de son offre MSaaS, Microsoft estime que Fox Tempest dispose de ressources importantes et gère la création d’infrastructures, les relations clients et les transactions financières. »
Ces complicités ont généré des millions de dollars de profits et alimenté des cyberattaques mondiales touchant des secteurs critiques (santé, éducation, finance, gouvernements), notamment aux États-Unis, en France, en Inde et en Chine.
Plus de détail sur le site : securityaffairs.com
