Fox Temper expose la fragilité de la signature numérique dans le cloud

La divulgation par Microsoft du fonctionnement de "malware-signing-as-a-service" connu comme Fox Temper remplace au centre la vulnérabilité la plus critique de l'écosystème logiciel moderne: confiance centralisée dans les certificats et les services signés. Microsoft prétend avoir identifié et désarticulé un réseau qui exploitait son service signé en nuage (Artifact Signing) pour émettre des certificats temporaires qui permettaient aux logiciels malveillants et Ransomware de passer comme des logiciels légitimes à Windows et d'autres défenses.

Qu'un acteur criminel ait pu générer plus de mille certificats et monter des centaines de locataires et d'abonnements à Azure explore un échec modèle plutôt qu'un échec technique isolé: les agresseurs combinent le vol d'identité, l'infrastructure nuageuse et les marchés clandestins pour transformer la réputation d'un fournisseur en arme. Microsoft a pris des mesures techniques et juridiques - y compris la révocation massive des certificats et la saisie de l'espace de signes [.] domaine cloud - et a intenté une action en justice pour appuyer cette action ( texte de l'affaire).

Du point de vue opérationnel, la tactique à utiliser certificats de courte durée (72 heures) est intelligent pour les attaquants car il réduit la fenêtre dans laquelle les mécanismes traditionnels de réputation et d'analyse peuvent marquer et bloquer les binaires malveillants. Dans le même temps, signer des installateurs avec des noms et des éditeurs qui imitent les applications légitimes (Teams, AnyDesk, PuTTY, Webex) facilite le remplacement et la livraison de chargeurs qui finissent par déployer des ransomwares tels que les familles Rhysida ou les voleurs.

Cela soulève une question essentielle sur les services de signature en nuage: comment équilibrer l'agilité des développeurs avec les contrôles d'identité et de détection qui empêchent les abus? Microsoft documente une partie de ses recherches sur son blog de sécurité, où il explique le cas et les mesures prises ( Analyse Microsoft). Mais la solution ne peut être laissée au seul fournisseur: les organisations, les fabricants de logiciels et les opérateurs d'infrastructure doivent ajuster leurs contrôles.

Pour les équipes de sécurité et les gestionnaires, la première recommandation pratique est de supposer que la signature numérique à elle seule n'est pas une garantie absolue. Vérifiez activement les applications signées qui sont exécutées dans votre environnement, contrastez la télémétrie des signatures avec les sources de réputation et marquez tout binaire signé avec des certificats éphémères ou émis par de nouveaux comptes ou avec des signes d'identité volée. Renforcer les politiques d'intégrité et d'exécution du code (par exemple, Windows Defender Application Control ou solutions EDR / NGAV avec contrôle d'exécution de signature) et définir des alertes spécifiques pour les exécutables signés par des émetteurs inhabituels.

Les responsables des logiciels et des services signés devraient revoir et resserrer leurs processus de KYC (connaissez votre détenteur) et de vérification de l'identité, introduire la détection de modèles abusifs (p. ex., émissions massiques provenant de nouveaux comptes, utilisation d'un mandataire tiers ou de MV) et appliquer des limites et des contrôles additionnels lorsque des ordres de certificats de courte durée pour les binaires à risque élevé sont détectés. Le secteur a également besoin de meilleurs canaux d'échange de signaux de fraude pour accélérer les blocages et chevauchements coordonnés.

Pour les utilisateurs du système et les administrateurs, il convient de renforcer les pratiques de base : télécharger les logiciels uniquement à partir de sources officielles, vérifier les détails de l'émetteur et de la signature lorsqu'ils sont installés exécutables, et méfier les installateurs de messagerie ou de courrier non sollicités. Dans les environnements d'entreprise, segmentation du réseau, vérification des procédures de sauvegarde et d'intervention en cas d'incident qui envisagent la possibilité de binaires signés frauduleusement.

Enfin, il y a une dimension réglementaire et de conception qui mérite l'attention : les services qui facilitent la confiance du public devraient intégrer mécanismes anti-abus autochtones en tant que réputation du demandeur, veto automatique pour les signes de fraude et exigences renforcées pour les certificats de haute confiance ou de courte durée. L'expérience avec Fox Temper montre que les profits sont élevés et que les criminels investissent dans la professionnalisation des opérations qui offrent « la signature comme service » sur les marchés clandestins.

Cette crise est un appel à l'action collective : les fournisseurs comme Microsoft peuvent et doivent améliorer les contrôles et la transparence, mais les organisations doivent adapter les processus et les outils pour ne pas dépendre exclusivement de l'indicateur « X signé ». Pour plus de contexte sur le service cloud concerné et ses caractéristiques, voir la page officielle Artifant / Trusted Signing d'Azure ( Signature d'objets d'azur), et examiner les détails de l'affaire et les éléments de preuve présentés par Microsoft dans la documentation juridique ( les documents de procédure).