FBI har beslaglagt syv domæner, der understøttede hackingværktøjer, som angiveligt blev brugt af kinesiske statsstøttede angribere til at kompromittere organisationer verden over. Indsatsen mod Flax Typhoon var rettet mod infrastrukturen bag MicroScan og FishHub, to platforme knyttet til sårbarhedsscanning, netværksindtrængen og datatyveri.
Amerikanske myndigheder tilskriver platformene den Kina-baserede virksomhed Integrity Technology Group, som ifølge myndighederne har kontrakter med den kinesiske regering. Efterforskerne kædede værktøjerne sammen med operationer, der berørte kritisk infrastruktur og andre organisationer i USA og udlandet.
MicroScan hjalp angribere med at identificere sårbare netværk
Ifølge efterforskerne udviklede Integrity Tech MicroScan til at finde sikkerhedssvagheder på hjemmesider og i netværkstjenester.
Den Python-baserede platform indeholder mere end 1.300 scripts til penetrationstest. Disse er rettet mod applikationer som Oracle WebLogic, Apache Struts, WordPress og Jenkins.
FBI oplyser, at angriberne kombinerede MicroScan med et netværk af internetforbundne enheder inficeret med Mirai-malware for at scanne potentielle ofre.
Målene omfattede et elselskab i South Carolina, lufthavne i Japan og Polen, taiwanske energileverandører og universiteter.
Scanning betyder dog ikke automatisk, at en indtrængen er lykkedes. Efterforskerne bekræftede, at to taiwanske universiteter blev udsat for indbrud efter MicroScan-aktivitet i august 2022 og marts 2023.
Selvom myndighederne også bekræftede indtrængen, der involverede kritisk infrastruktur, oplyste de ikke, om de specifikt nævnte lufthavne eller energiselskaber havde været udsat for vellykkede indbrud.
FishHub understøttede phishing og datatyveri
Den anden platform, FishHub, understøttede målrettede phishingangreb og levering af malware i netværk, der allerede var kompromitteret.
Ifølge FBI gav dens malware uautoriseret fjernadgang, søgte efter udvalgte filer og overførte stjålne oplysninger til servere kontrolleret af Integrity Tech.
Efterforskerne fandt filer og data tilhørende mere end 20 organisationer på en server forbundet med FishHub. Disse organisationer omfattede seks taiwanske universiteter.
Domænebeslaglæggelserne omfattede ét domæne til adgang til MicroScan og fem domæner, der blev brugt til at levere malware.
Samtidig understøttede et syvende domæne SoftEther VPN-software, som var installeret på kompromitterede systemer for at opretholde fjernadgang. De beslaglagte domæner viser nu meddelelser fra FBI.
Fælles sikkerhedsadvarsel beskriver en bredere gruppe af mål
I forbindelse med indsatsen mod Flax Typhoon offentliggjorde FBI, CISA, NSA og internationale partnere en fælles cybersikkerhedsadvarsel.
Myndighederne beskrev aktiviteter rettet mod offentlige myndigheder, kritisk fremstillingsindustri, sundhedsvæsenet, teknologivirksomheder, retshåndhævende myndigheder, uddannelsesinstitutioner og religiøse organisationer.
Deres resultater omfattede også ofre i Sydøstasien, Afrika og Nordamerika.
Aktiviteten overlapper med operationer, der spores under navnene Flax Typhoon, Ethereal Panda og Red Juliett. Myndighederne understregede dog, at ikke alle observerede hændelser nødvendigvis har forbindelse til Integrity Tech.
Ældre sårbarheder var stadig en del af angribernes værktøjskasse
Efterforskerne identificerede otte sårbarheder, som angriberne ofte rettede sig mod:
- CVE-2015-3306: Uautoriseret filadgang i ProFTPD.
- CVE-2015-5477: En denial-of-service-sårbarhed i ISC BIND.
- CVE-2016-3081: Fjernudførelse af kode i Apache Struts.
- CVE-2021-3199: Uautoriseret skrivning til filer i ONLYOFFICE DocumentServer.
- CVE-2023-22894: Informationslækage i Strapi.
- CVE-2014-6278: En sårbarhed for fjernudførelse af kode i GNU Bash forbundet med Shellshock.
- CVE-2019-11510: Vilkårlig fillæsning i Pulse Secure VPN.
- CVE-2021-22205: Fjernudførelse af kode i GitLab.
Angriberne brugte også open source-værktøjet EBurst til password spraying mod Microsoft Exchange-servere.
Yderligere værktøjer hjalp dem med at stjæle e-mails, indsamle Active Directory-loginoplysninger og overføre data fra kompromitterede miljøer.
Derudover opdagede FBI en specialudviklet webapplikation, der gjorde det muligt for tredjeparter at gennemse stjålne e-mails uden at få adgang til de oprindelige konti.
Myndighederne offentliggør indikatorer til at identificere indtrængen
Den fælles sikkerhedsadvarsel indeholder domæner, IP-adresser, malwarehashes og tekniske detaljer om angribernes værktøjer.
Myndighederne anbefaler at gennemgå disse indikatorer, sikkerhedsopdatere sårbare systemer, deaktivere unødvendige tjenester, der er eksponeret mod internettet, og håndhæve multifaktorgodkendelse.
Beslaglæggelserne følger en tidligere indsats mod infrastruktur, der blev tilskrevet Integrity Tech. I september 2024 forstyrrede amerikanske myndigheder et Mirai-botnet, der omfattede mere end 200.000 kompromitterede forbrugerenheder.
Separat indførte Storbritannien sanktioner mod Integrity Tech i 2025. EU fulgte efter i 2026 på grund af virksomhedens involvering i cyberangreb rettet mod Europa og allierede lande.
0 svar til “FBI beslaglægger domæner knyttet til Flax Typhoons hackingværktøjer”