Introduzione
L'operazione Fox Tempest, scoperta da Microsoft, ha permesso agli attaccanti di firmare payload di malware con certificati digitali rubati o ottenuti fraudolentemente, bypassando così le difese di sicurezza delle applicazioni e degli endpoint. Secondo SecurityWeek, questa operazione ha reso possibile la distribuzione di ransomware sotto le sembianze di software legittimo.
La violazione
La violazione non è stata causata da una falla nella rilevazione, ma da una falla nella gestione della fiducia dei certificati. Secondo il rapporto di CrowdStrike del 2026, il 42% delle vulnerabilità sfruttate nel 2025 era stato sfruttato prima della divulgazione pubblica. Tuttavia, in questo caso, la violazione non è stata zero-day, ma zero-trust: le firme di trust sono state sfruttate su larga scala.
La risposta
La risposta a questa violazione consiste nell'implementare misure di sicurezza più robuste, come ad esempio:
- l'attivazione della registrazione della trasparenza dei certificati e del controllo di revoca in tempo reale per tutte le politiche di esecuzione del codice
- la limitazione dell'esecuzione del codice solo ai binari firmati con chiavi controllate dall'organizzazione
- l'integrazione della rilevazione di emissione di certificati errati nei playbook SOAR con quarantena automatica
Conclusione
La violazione di Fox Tempest è un esempio di come la fiducia nei certificati digitali possa essere sfruttata dagli attaccanti. È fondamentale implementare misure di sicurezza più robuste per prevenire violazioni simili in futuro.