FBI beschlagnahmt Domains im Zusammenhang mit den Hacking-Tools von Flax Typhoon

Das FBI hat sieben Domains beschlagnahmt, die Hacking-Tools unterstützten, die mutmaßlich von chinesischen staatlich unterstützten Angreifern eingesetzt wurden, um Organisationen weltweit zu kompromittieren. Die Operation gegen Flax Typhoon richtete sich gegen die Infrastruktur hinter MicroScan und FishHub, zwei Plattformen, die mit Schwachstellenscans, Netzwerkeinbrüchen und Datendiebstahl in Verbindung stehen.

US-Behörden schreiben die Plattformen dem in China ansässigen Unternehmen Integrity Technology Group zu, das ihren Angaben zufolge Verträge mit der chinesischen Regierung unterhält. Die Ermittler brachten die Tools mit Operationen in Verbindung, die kritische Infrastrukturen und andere Organisationen in den USA und im Ausland betrafen.

MicroScan half Angreifern, anfällige Netzwerke zu identifizieren

Nach Angaben der Ermittler entwickelte Integrity Tech MicroScan, um Sicherheitslücken in Websites und Netzwerkdiensten aufzuspüren.

Die Python-basierte Plattform enthält mehr als 1.300 Skripte für Penetrationstests. Diese richten sich gegen Anwendungen wie Oracle WebLogic, Apache Struts, WordPress und Jenkins.

Laut FBI kombinierten die Angreifer MicroScan mit einem Netzwerk internetfähiger Geräte, die mit der Schadsoftware Mirai infiziert waren, um potenzielle Opfer zu scannen.

Zu den Zielen gehörten ein Energieversorgungsunternehmen in South Carolina, Flughäfen in Japan und Polen, taiwanische Energieversorger und Universitäten.

Ein Scan bedeutet jedoch nicht automatisch, dass ein erfolgreicher Einbruch stattgefunden hat. Die Ermittler bestätigten, dass zwei taiwanische Universitäten nach MicroScan-Aktivitäten im August 2022 und März 2023 von Sicherheitsverletzungen betroffen waren.

Obwohl die Behörden auch Einbrüche in kritische Infrastrukturen bestätigten, teilten sie nicht mit, ob die ausdrücklich genannten Flughäfen oder Energieunternehmen erfolgreich kompromittiert wurden.

FishHub unterstützte Phishing und Datendiebstahl

Die zweite Plattform, FishHub, unterstützte gezielte Phishing-Angriffe und die Verbreitung von Schadsoftware innerhalb bereits kompromittierter Netzwerke.

Nach Angaben des FBI ermöglichte die Schadsoftware unbefugten Fernzugriff, suchte nach ausgewählten Dateien und übertrug gestohlene Informationen an Server, die von Integrity Tech kontrolliert wurden.

Die Ermittler fanden auf einem mit FishHub verbundenen Server Dateien und Daten von mehr als 20 Organisationen. Dazu gehörten sechs taiwanische Universitäten.

Die Domain-Beschlagnahmungen umfassten eine Domain für den Zugriff auf MicroScan sowie fünf Domains, die zur Verbreitung von Schadsoftware genutzt wurden.

Eine siebte Domain unterstützte unterdessen die VPN-Software SoftEther, die auf kompromittierten Systemen installiert worden war, um den Fernzugriff aufrechtzuerhalten. Die beschlagnahmten Domains zeigen inzwischen Hinweise des FBI an.

Gemeinsame Sicherheitswarnung beschreibt ein breiteres Spektrum an Zielen

Parallel zur Operation gegen Flax Typhoon veröffentlichten das FBI, CISA, NSA und internationale Partner eine gemeinsame Cybersicherheitswarnung.

Die Behörden beschrieben Aktivitäten, die sich gegen Regierungsstellen, kritische Fertigungsindustrien, das Gesundheitswesen, Technologieunternehmen, Strafverfolgungsbehörden, Bildungseinrichtungen und religiöse Organisationen richteten.

Ihre Erkenntnisse umfassten außerdem Opfer in Südostasien, Afrika und Nordamerika.

Die Aktivitäten überschneiden sich mit Operationen, die unter den Namen Flax Typhoon, Ethereal Panda und Red Juliett verfolgt werden. Die Behörden betonten jedoch, dass nicht jeder beobachtete Vorfall zwangsläufig mit Integrity Tech in Verbindung steht.

Ältere Schwachstellen blieben Teil des Angriffswerkzeugkastens

Die Ermittler identifizierten acht Schwachstellen, auf die es die Angreifer häufig abgesehen hatten:

• CVE-2015-3306: Unbefugter Dateizugriff in ProFTPD.
• CVE-2015-5477: Eine Denial-of-Service-Schwachstelle in ISC BIND.
• CVE-2016-3081: Remote-Code-Ausführung in Apache Struts.
• CVE-2021-3199: Unbefugtes Schreiben von Dateien in ONLYOFFICE DocumentServer.
• CVE-2023-22894: Offenlegung von Informationen in Strapi.
• CVE-2014-6278: Eine mit Shellshock verbundene Schwachstelle zur Remote-Code-Ausführung in GNU Bash.
• CVE-2019-11510: Beliebiges Auslesen von Dateien in Pulse Secure VPN.
• CVE-2021-22205: Remote-Code-Ausführung in GitLab.

Die Angreifer nutzten außerdem das Open-Source-Tool EBurst für Password-Spraying-Angriffe auf Microsoft-Exchange-Server.

Weitere Tools halfen ihnen dabei, E-Mails zu stehlen, Active-Directory-Zugangsdaten zu sammeln und Daten aus kompromittierten Umgebungen zu übertragen.

Darüber hinaus entdeckte das FBI eine speziell entwickelte Webanwendung, mit der Dritte gestohlene E-Mails durchsuchen konnten, ohne auf die ursprünglichen Konten zugreifen zu müssen.

Behörden veröffentlichen Indikatoren zur Erkennung von Einbrüchen

Die gemeinsame Sicherheitswarnung enthält Domains, IP-Adressen, Malware-Hashes und technische Einzelheiten zu den Tools der Angreifer.

Die Behörden empfehlen, diese Indikatoren zu überprüfen, Sicherheitsupdates für anfällige Systeme einzuspielen, unnötige über das Internet erreichbare Dienste zu deaktivieren und Multifaktor-Authentifizierung durchzusetzen.

Die Beschlagnahmungen folgen auf eine frühere Operation gegen Infrastruktur, die Integrity Tech zugeschrieben wurde. Im September 2024 zerschlugen US-Behörden ein Mirai-Botnetz, das mehr als 200.000 kompromittierte Verbrauchergeräte umfasste.

Unabhängig davon verhängte das Vereinigte Königreich 2025 Sanktionen gegen Integrity Tech. Die Europäische Union folgte 2026 aufgrund der Beteiligung des Unternehmens an Cyberangriffen gegen Europa und verbündete Länder.