FBI har beslagtagit sju domäner som stödde hackningsverktyg som påstås ha använts av kinesiska statsstödda angripare för att kompromettera organisationer världen över. Insatsen mot Flax Typhoon riktades mot infrastrukturen bakom MicroScan och FishHub, två plattformar kopplade till sårbarhetsskanning, nätverksintrång och datastöld.
Amerikanska myndigheter kopplar plattformarna till det Kinabaserade företaget Integrity Technology Group, som enligt myndigheterna har kontrakt med den kinesiska staten. Utredarna kopplade verktygen till operationer som drabbat kritisk infrastruktur och andra organisationer i USA och utomlands.
MicroScan hjälpte angripare att identifiera sårbara nätverk
Enligt utredarna utvecklade Integrity Tech MicroScan för att hitta säkerhetsbrister på webbplatser och i nätverkstjänster.
Den Python-baserade plattformen innehåller över 1 300 skript för penetrationstestning. Dessa riktar sig mot applikationer som Oracle WebLogic, Apache Struts, WordPress och Jenkins.
FBI uppger att angriparna kombinerade MicroScan med ett nätverk av internetanslutna enheter infekterade med Mirai-skadlig kod för att skanna potentiella offer.
Målen omfattade ett elbolag i South Carolina, flygplatser i Japan och Polen, taiwanesiska energileverantörer och universitet.
Skanning innebär dock inte automatiskt att ett intrång har lyckats. Utredarna bekräftade att två taiwanesiska universitet drabbades av intrång efter MicroScan-aktivitet i augusti 2022 och mars 2023.
Även om myndigheterna också bekräftade intrång som involverade kritisk infrastruktur, avslöjade de inte om de specifikt namngivna flygplatserna eller energibolagen hade drabbats av framgångsrika intrång.
FishHub stödde nätfiske och datastöld
Den andra plattformen, FishHub, stödde riktade nätfiskeattacker och leverans av skadlig kod i nätverk som redan hade komprometterats.
Enligt FBI gav dess skadliga kod obehörig fjärråtkomst, sökte efter utvalda filer och överförde stulen information till servrar som kontrollerades av Integrity Tech.
Utredarna hittade filer och data som tillhörde över 20 organisationer på en server kopplad till FishHub. Dessa organisationer omfattade sex taiwanesiska universitet.
Domänbeslagen omfattade en domän för åtkomst till MicroScan och fem domäner som användes för att leverera skadlig kod.
Samtidigt stödde en sjunde domän SoftEther VPN-programvara som installerats på komprometterade system för att upprätthålla fjärråtkomst. De beslagtagna domänerna visar nu meddelanden från FBI.
Gemensam säkerhetsvarning beskriver fler mål
I samband med insatsen mot Flax Typhoon publicerade FBI, CISA, NSA och internationella partner en gemensam cybersäkerhetsvarning.
Myndigheterna beskrev aktiviteter riktade mot statliga organ, kritisk tillverkningsindustri, sjukvård, teknikföretag, brottsbekämpande myndigheter, utbildningsinstitutioner och religiösa organisationer.
Deras resultat omfattade också offer i Sydostasien, Afrika och Nordamerika.
Aktiviteten överlappar med operationer som spåras under namnen Flax Typhoon, Ethereal Panda och Red Juliett. Myndigheterna betonade dock att inte varje observerad incident nödvändigtvis har en koppling till Integrity Tech.
Äldre sårbarheter ingick fortfarande i angriparnas verktygslåda
Utredarna identifierade åtta sårbarheter som angriparna ofta riktade in sig på:
- CVE-2015-3306: Obehörig filåtkomst i ProFTPD.
- CVE-2015-5477: En överbelastningssårbarhet i ISC BIND.
- CVE-2016-3081: Fjärrkörning av kod i Apache Struts.
- CVE-2021-3199: Obehörig skrivning till filer i ONLYOFFICE DocumentServer.
- CVE-2023-22894: Informationsläckage i Strapi.
- CVE-2014-6278: En sårbarhet för fjärrkörning av kod i GNU Bash kopplad till Shellshock.
- CVE-2019-11510: Godtycklig filläsning i Pulse Secure VPN.
- CVE-2021-22205: Fjärrkörning av kod i GitLab.
Angriparna använde också verktyget EBurst med öppen källkod för lösenordssprutning mot Microsoft Exchange-servrar.
Ytterligare verktyg hjälpte dem att stjäla e-postmeddelanden, samla in Active Directory-inloggningsuppgifter och överföra data från komprometterade miljöer.
Dessutom upptäckte FBI en specialutvecklad webbapplikation som gjorde det möjligt för tredje parter att läsa stulna e-postmeddelanden utan att komma åt de ursprungliga kontona.
Myndigheterna publicerar indikatorer för att identifiera intrång
Den gemensamma säkerhetsvarningen innehåller domäner, IP-adresser, hashvärden för skadlig kod och tekniska detaljer om angriparnas verktyg.
Myndigheterna rekommenderar att organisationer granskar dessa indikatorer, installerar säkerhetsuppdateringar på sårbara system, inaktiverar onödiga tjänster som är exponerade mot internet och inför multifaktorautentisering.
Beslagen följer på en tidigare insats mot infrastruktur som tillskrivits Integrity Tech. I september 2024 slog amerikanska myndigheter till mot ett Mirai-botnät som omfattade över 200 000 komprometterade konsumentenheter.
Separat införde Storbritannien sanktioner mot Integrity Tech under 2025. Europeiska unionen följde efter under 2026 på grund av företagets inblandning i cyberattacker riktade mot Europa och allierade länder.
0 svar till ”FBI beslagtar domäner kopplade till Flax Typhoons hackningsverktyg”