Microsoft ha revocado más de 200 certificados digitales falsos que estaban siendo utilizados por un grupo de ciberdelincuentes para firmar software malicioso y hacerlo pasar por aplicaciones legítimas.
Estos archivos, alojados en dominios que imitaban a la web oficial de la herramienta de videollamadas -como teams-download[.]buzz o teams-install[.]run-, se presentaban como versiones auténticas, pero en realidad contenían código malicioso.
Al grupo responsable de la operación se le conoce como Vanilla Tempest, el cual también ha sido identificado con los nombres Vice Spider o Vice Society, un actor de amenazas vinculado a distintas campañas de ransomware.
Cómo operaban
Los delincuentes empleaban los certificados fraudulentos para dar apariencia de fiabilidad a sus archivos y engañar a los usuarios.
Una vez descargado el falso instalador, se activaba un programa espía (backdoor) llamado Oyster que permitía el acceso remoto al sistema. Posteriormente, los atacantes desplegaban el ransomware Rhysida, capaz de cifrar los datos del equipo y exigir un rescate económico para su liberación.
Microsoft ha revocado todos los certificados afectados y ha actualizado sus herramientas de seguridad, como Microsoft Defender, para detectar y bloquear tanto los instaladores falsos como los programas maliciosos asociados.
Desde el gigante tecnológico han destacado la importancia de descargar siempre software desde sitios oficiales y verificar que las firmas digitales sean válidas, puesto que los cibermalos cada vez perfeccionan más sus métodos de engaño.
Deja una respuesta