FBI har beslaglagt sju domener som støttet hackingsverktøy som angivelig ble brukt av kinesiske statsstøttede angripere til å kompromittere organisasjoner over hele verden. Aksjonen mot Flax Typhoon rettet seg mot infrastrukturen bak MicroScan og FishHub, to plattformer knyttet til sårbarhetsskanning, nettverksinnbrudd og datatyveri.
Amerikanske myndigheter knytter plattformene til det Kina-baserte selskapet Integrity Technology Group, som de opplyser har kontrakter med kinesiske myndigheter. Etterforskerne knyttet verktøyene til operasjoner som rammet kritisk infrastruktur og andre organisasjoner i USA og utlandet.
MicroScan hjalp angripere med å identifisere sårbare nettverk
Ifølge etterforskerne utviklet Integrity Tech MicroScan for å finne sikkerhetssvakheter på nettsteder og i nettverkstjenester.
Den Python-baserte plattformen inneholder mer enn 1 300 skript for penetrasjonstesting. Disse retter seg mot applikasjoner som Oracle WebLogic, Apache Struts, WordPress og Jenkins.
FBI opplyser at angriperne kombinerte MicroScan med et nettverk av internett-tilkoblede enheter infisert med Mirai-skadevare for å skanne potensielle ofre.
Målene omfattet et kraftselskap i South Carolina, flyplasser i Japan og Polen, taiwanske energileverandører og universiteter.
Skanning betyr imidlertid ikke automatisk at et innbrudd har lykkes. Etterforskerne bekreftet at to taiwanske universiteter ble utsatt for innbrudd etter MicroScan-aktivitet i august 2022 og mars 2023.
Selv om myndighetene også bekreftet innbrudd som involverte kritisk infrastruktur, opplyste de ikke om de spesifikt nevnte flyplassene eller energiselskapene hadde blitt utsatt for vellykkede innbrudd.
FishHub støttet phishing og datatyveri
Den andre plattformen, FishHub, støttet målrettede phishingangrep og levering av skadevare i nettverk som allerede var kompromittert.
Ifølge FBI ga skadevaren uautorisert fjerntilgang, søkte etter utvalgte filer og overførte stjålet informasjon til servere kontrollert av Integrity Tech.
Etterforskerne fant filer og data som tilhørte mer enn 20 organisasjoner, på en server knyttet til FishHub. Disse organisasjonene omfattet seks taiwanske universiteter.
Domenebeslagene omfattet ett domene for tilgang til MicroScan og fem domener som ble brukt til å levere skadevare.
Samtidig støttet et sjuende domene SoftEther VPN-programvare som var installert på kompromitterte systemer for å opprettholde fjerntilgang. De beslaglagte domenene viser nå meldinger fra FBI.
Felles sikkerhetsvarsel beskriver et bredere utvalg av mål
I forbindelse med aksjonen mot Flax Typhoon publiserte FBI, CISA, NSA og internasjonale partnere et felles cybersikkerhetsvarsel.
Myndighetene beskrev aktivitet rettet mot offentlige organer, kritisk produksjonsindustri, helsevesen, teknologiselskaper, politimyndigheter, utdanningsinstitusjoner og religiøse organisasjoner.
Funnene deres omfattet også ofre i Sørøst-Asia, Afrika og Nord-Amerika.
Aktiviteten overlapper med operasjoner som spores under navnene Flax Typhoon, Ethereal Panda og Red Juliett. Myndighetene understreket imidlertid at ikke alle observerte hendelser nødvendigvis har en forbindelse til Integrity Tech.
Eldre sårbarheter var fortsatt en del av angripernes verktøykasse
Etterforskerne identifiserte åtte sårbarheter som angriperne ofte rettet seg mot:
- CVE-2015-3306: Uautorisert filtilgang i ProFTPD.
- CVE-2015-5477: En tjenestenektsårbarhet i ISC BIND.
- CVE-2016-3081: Ekstern kjøring av kode i Apache Struts.
- CVE-2021-3199: Uautorisert skriving til filer i ONLYOFFICE DocumentServer.
- CVE-2023-22894: Informasjonslekkasje i Strapi.
- CVE-2014-6278: En sårbarhet for ekstern kjøring av kode i GNU Bash knyttet til Shellshock.
- CVE-2019-11510: Vilkårlig fillesing i Pulse Secure VPN.
- CVE-2021-22205: Ekstern kjøring av kode i GitLab.
Angriperne brukte også åpen kildekode-verktøyet EBurst til passordspraying mot Microsoft Exchange-servere.
Ytterligere verktøy hjalp dem med å stjele e-poster, samle inn Active Directory-påloggingsopplysninger og overføre data fra kompromitterte miljøer.
Videre oppdaget FBI en spesialutviklet webapplikasjon som gjorde det mulig for tredjeparter å lese stjålne e-poster uten å få tilgang til de opprinnelige kontoene.
Myndighetene publiserer indikatorer for å identifisere innbrudd
Det felles sikkerhetsvarselet inneholder domener, IP-adresser, skadevarehasher og tekniske detaljer om angripernes verktøy.
Myndighetene anbefaler å gjennomgå disse indikatorene, sikkerhetsoppdatere sårbare systemer, deaktivere unødvendige tjenester som er eksponert mot internett, og håndheve flerfaktorautentisering.
Beslagene følger en tidligere aksjon mot infrastruktur som ble tilskrevet Integrity Tech. I september 2024 slo amerikanske myndigheter til mot et Mirai-botnett som omfattet mer enn 200 000 kompromitterte forbrukerenheter.
Separat innførte Storbritannia sanksjoner mot Integrity Tech i 2025. EU fulgte etter i 2026 på grunn av selskapets involvering i cyberangrep rettet mot Europa og allierte land.
0 responses to “FBI beslaglegger domener knyttet til Flax Typhoons hackingsverktøy”