ไมโครซอฟต์ปิดบริการลายเซ็นดิจิทัลที่ออกใบรับรองเถื่อนให้กับมัลแวร์

ไมโครซอฟต์ปิดบริการลายเซ็นดิจิทัลที่ออกใบรับรองเถื่อนให้กับมัลแวร์

หลังพบพัวพันกลุ่มแรนซัมแวร์

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการที่ทางไมโครซอฟท์ได้ทำการปราบปรามกลุ่มแฮกเกอร์ที่มีชื่อว่า Fox Tempest เนื่องจากกลุ่มแฮกเกอร์ดังกล่าวได้นำเอาระบบโครงสร้างพื้นฐาน (Infrastructure) สำหรับการเซ็นรับรองซอฟต์แวร์ Artifact Signing System ซึ่งเป็นระบบของทางไมโครซอฟท์ ไปให้บริการในการเซ็นรับรองมัลแวร์และแรนซัมแวร์ (Ransomware หรือ มัลแวร์สำหรับการเรียกค่าไถ่) ในรูปแบบ Malware-Signing-as-a-Service (MSaaS) ผ่านทางเว็บไซต์ signspace[.]cloud ซึ่งในปฏิบัติการปราบปรามครั้งนี้ ทางไมโครซอฟท์ได้ทำการปิด เครื่องจำลอง (Virutal Machine) ที่ใช้ในปฏิบัติการของแฮกเกอร์กลุ่มนี้เป็นจำนวนมาก รวมทั้งบล็อกการเข้าถึงโฮสต์เว็บไซต์ (Hosting) ของแฮกเกอร์กลุ่มดังกล่าวเป็นที่เรียบร้อยแล้ว

ซึ่งบริการรับเซ็นมัลแวร์ของ Fox Tempest จะเป็นการใช้งานระบบ Artifact Signing System (เดิมชื่อ Azure Trusted Signing) ซึ่งแต่เดิมนั้นถูกสร้างมาเพื่อให้นักพัฒนา (Developer) สามารถพัฒนาและแจกจ่ายซอฟต์แวร์ได้ง่ายมากยิ่งขึ้น โดยกลไกนี้สามารถสร้างใบรับรองชั่วคราวที่มีอายุสั้น ใช้งานได้เพียง 72 ชั่วโมง มาใช้งานในการเซ็นมัลแวร์ เพื่อให้ตัวมัลแวร์มีความน่าเชื่อถือสามารถติดตั้งได้บนเครื่องของเหยื่อ ซึ่งการบริการนั้นก็ไม่มีอะไรยุ่งยาก เพียงแค่ให้แฮกเกอร์ที่ใช้บริการอัปโหลดไฟล์มัลแวร์ขึ้นไปยังเว็บไซต์ เพียงเท่านี้แฮกเกอร์ที่ใช้บริการก็สามารถใช้งานไฟล์มัลแวร์ เอาไปสวมรอยเป็นซอฟต์แวร์ชื่อดัง เช่น AnyDesk, Microsoft Teams, PuTTY, และ Cisco Webex ด้วยค่าบริการประมาณ 5,000 ดอลลาร์สหรัฐ (163,800 บาท) ถึง 9,000 ดอลลาร์สหรัฐ (294,772.50 บาท)

ทางทีมปราบปรามอาชญากรรมไซเบอร์ของทางไมโครซอฟท์ Digital Crimes Unit ได้เผยว่า กิจกรรมเถื่อนของแฮกเกอร์กลุ่มดังกล่าวนั้น มีความพัวพันกับการแพร่กระจายของมัลแวร์มากมายหลายตัว เช่น มัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ (Infostealer) อย่าง Oyster, Lumma Stealer, และ Vidar Stealer, แรนซัมแวร์อีกมากมายหลายตัว เช่น INC, Qilin, BlackByte, และ Akira ซึ่งมีความเกี่ยวข้องกับการโจมตีอุตสาหกรรมมากมายอย่าง ไม่ว่าจะเป็น การศึกษา, การเงิน, องค์กรรัฐ และด้านสุขภาพ ในหลากประเทศ เช่น ฝรั่งเศส, อินเดีย, จีน และ สหรัฐอเมริกา ล่าสุดยังพบว่ามีความเกี่ยวข้องกับแรนซัมแวร์ Rhysida ของกลุ่ม Vanilla Tempest อีกด้วย