US-Justizministerium und FBI beschlagnahmen 7 Hacking-Tool-Domains des chinesischen Regierungsdienstleisters „Integrity Tech“ – Rund 20 taiwanesische Universitäten als Opfer bestätigt
Das US-Justizministerium und das Federal Bureau of Investigation (FBI) haben die Zugangswege zu zwei Hacking-Tools gekappt, die von dem in China ansässigen Regierungsdienstleister „Integrity Technology Group“ (im Folgenden Integrity Tech) betrieben wurden. Sieben Internet-Domains wurden beschlagnahmt. Am selben Tag veröffentlichten die National Security Agency (NSA), das FBI, die Cybersecurity and Infrastructure Security Agency (CISA) sowie Partnerbehörden befreundeter Staaten eine gemeinsame Cybersicherheitswarnung (CSA), in der die Taktiken der mit diesem Unternehmen verbundenen Hacker dargelegt werden.
Diese Maßnahme stellt keine Bekanntgabe von Anklagen gegen Einzelpersonen dar. Grundlage für die Domain-Beschlagnahme sind Gerichtsdokumente, die beim Bundesbezirksgericht für den westlichen Bezirk von Pennsylvania veröffentlicht wurden; das Justizministerium bezeichnete den Inhalt dieser Dokumente nicht als feststehende Tatsachen, sondern als Vorwürfe („as alleged“). In einer Pressemitteilung vom 8. Oktober 2026 nach US-Ostküstenzeit (9. Oktober nach koreanischer Zeit) erklärte das Justizministerium: „Durch gerichtlich genehmigte Beschlagnahmen wurde böswilligen Cyber-Akteuren der Zugriff auf zwei Hacking-Tools namens ‚Microscan‘ und ‚FishHub‘ verwehrt.“ Das Ministerium erläuterte, dass diese Tools dazu verwendet worden seien, „kritische Infrastruktursysteme in den USA und im Ausland zu scannen und in einigen Fällen zu kompromittieren“. Das Justizministerium hielt fest, dass Integrity Tech „in einem Vertragsverhältnis mit der Regierung der Volksrepublik China steht“.
Die FBI Cyber Division erklärte auf ihrem offiziellen X-Konto: „Das FBI und das Justizministerium haben Hacking-Tools neutralisiert, die von der Cyber-Bedrohungsgruppe ‚Flax Typhoon‘ genutzt wurden.“ Zudem hieß es: „Es wurden mehrere Domains beschlagnahmt und der Zugriff auf Plattformen blockiert, die verwendet wurden, um kritische US-Infrastrukturen zu scannen und teilweise zu infiltrieren.“
https://x.com/FBICyberDiv/status/2108256413084422599
Was ändert sich
Diese Maßnahme ist von Bedeutung, da die US-Regierung Chinas Hacking-Aktivitäten nicht nur auf Ebene staatlicher Hacker, sondern auf Ebene von privaten Vertragsunternehmen der Regierung verfolgt und deren Infrastruktur lahmlegt. Ein Präzedenzfall datiert vom September 2024. Damals gab das Justizministerium bekannt, ein von Integrity Tech betriebenes Mirai-Malware-Botnetz mit gerichtlicher Genehmigung zerschlagen zu haben. Das Justizministerium erklärte damals, dieses Botnetz habe aus „mehr als 200.000 Endverbrauchergeräten in den USA und weltweit“ bestanden. Bei der aktuellen Beschlagnahme handelt es sich nach Angaben des Justizministeriums um die „zweite öffentliche technische Unterbrechung“ der Hacking-Infrastruktur von Integrity Tech.
Was taten die beiden Tools
Den vom Justizministerium offengelegten Gerichtsdokumenten zufolge baute und nutzte Integrity Tech Botnetze aus Geräten des Internets der Dinge (IoT), die mit einer Mirai-Variante infiziert waren.
- Microscan: Ein von Integrity Tech entwickeltes Tool zur Aufklärung und zum Scannen von Schwachstellen. Laut Justizministerium nutzten „Kunden“ des Unternehmens das Werkzeug, um Schwachstellen aufzuspüren, die später ausgenutzt werden sollten. Zu den vom Ministerium genannten Scan-Zielen gehörten ein US-Stromversorger in South Carolina, multinationale Nichtregierungsorganisationen (NGOs), Flughäfen in Japan und Polen, Infrastrukturunternehmen aus den Bereichen Erdgas und Strom in Taiwan sowie zwei taiwanesische Universitäten. Integrity Tech griff über eine der beschlagnahmten Domains, c0cc[.]cc, auf Microscan zu.
- FishHub: Ein Werkzeug für gezieltes Phishing (Spear-Phishing). Dem Justizministerium zufolge ermöglichte es nach dem ersten Eindringen das Herunterladen weiterer Schadsoftware, die einen unbefugten Fernzugriff eröffnete oder bestimmte Dateien lokalisierte und an von Integrity Tech kontrollierte Server übertrug. Zu den vom Ministerium genannten bestätigten Opfern gehören „rund 20 taiwanesische Universitäten“. Fünf der beschlagnahmten Domains (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) wurden für die Verbreitung dieser Schadsoftware genutzt.
In der Pressemitteilung der US-Staatsanwaltschaft für den westlichen Bezirk von Pennsylvania hieß es, die verbleibende Domain sei mit unautorisierter Fernverwaltungssoftware verknüpft gewesen, die Opfernnetzwerke mit Integrity-Tech-Servern verband.
Die FBI-Außenstelle San Diego teilte auf ihrem X-Konto mit, dass sie diese Ermittlungen geleitet habe.
https://x.com/FBISanDiego/status/2108252514365653376
NSA-Warnung: „Breites Spektrum betroffener Sektoren“
Die NSA teilte am selben Tag in einer Pressemitteilung mit, dass die gemeinsame Warnmeldung den Titel „Mit der chinesischen Regierung verbundene Cyber-Bedrohungsakteure kombinieren automatisierte und manuelle Hacking-Tools zum Diebstahl sensibler Daten“ trage. Die NSA zitierte aus der Warnmeldung, wonach Integrity Tech es „mit der chinesischen Regierung verbundenen Bedrohungsakteuren ermöglichte, die Netzwerke US-amerikanischer und ausländischer Organisationen in zahlreichen Sektoren – darunter staatliche Dienste und Einrichtungen, kritische Fertigung, Gesundheits- und öffentliches Gesundheitswesen sowie Informationstechnologie – zu kompromittieren“. Nach Angaben der NSA gehörten zu den Zielen auch US-Strafverfolgungsbehörden, Bildungseinrichtungen, religiöse Organisationen sowie Organisationen in Südostasien, Afrika und Nordamerika.
Das offizielle Konto von NSA Cyber postete ebenfalls: „Integrity Tech ermöglichte es mit der chinesischen Regierung verbundenen Bedrohungsakteuren, die Netzwerke weltweiter Organisationen auszunutzen und kritische Daten zu entwenden.“ Auch die CISA gab auf ihrem X-Konto bekannt, die Warnung gemeinsam mit dem FBI herausgegeben zu haben.
https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869
Hinsichtlich der Benennungen erklärte die NSA, dass ein Teil dieser Aktivitäten mit Taktiken übereinstimme, die in der Branche als „Flax Typhoon“, „Storm-0919“, „Ethereal Panda“ oder „RedJuliette“ bekannt sind. Dabei handelt es sich um Bezeichnungen privater Sicherheitsunternehmen, wobei die US-Regierung den Geltungsbereich auf „einige (some)“ einschränkte.
Aussagen von Offiziellen
John Eisenberg, Assistant Attorney General für nationale Sicherheit beim US-Justizministerium, erklärte: „Die Vereinigten Staaten werden nicht zulassen, dass China oder seine Stellvertreter im Cyberraum ungestraft gegen US-Interessen vorgehen.“ Die National Security Division des Justizministeriums veröffentlichte diese Erklärung ebenfalls auf ihrem offiziellen X-Konto.
Troy Rivetti, US-Bundesanwalt für den westlichen Bezirk von Pennsylvania, sagte: „Diese Beschlagnahme ist die zweite Zerschlagung einer Großoperation von Integrity Tech innerhalb von zwei Jahren.“ Brett Leatherman, stellvertretender Direktor der FBI Cyber Division, betonte: „China verlässt sich auf Vertragsunternehmen und Hilfsdienstleister, um Reichweite und Ausmaß seiner böswilligen Cyberaktivitäten auszuweiten. Indem wir solche Helfershelfer aufdecken und ausschalten, erschweren wir es China, US-Netzwerke und -Infrastrukturen ins Visier zu nehmen.“
Der vom gemeinsamen Hinweis AA26-281A dargelegte Angriffsablauf
Die am selben Tag veröffentlichte gemeinsame Cybersicherheitswarnung trägt die offizielle Kennung AA26-281A. Sie wurde gemeinschaftlich herausgegeben von FBI, CISA, NSA sowie dem britischen National Cyber Security Centre (NCSC-UK), dem Australian Cyber Security Centre des Australian Signals Directorate (ASD ACSC), dem Canadian Centre for Cyber Security, der National Police Agency und dem National Cybersecurity Center Japans, dem National Cyber Security Centre Neuseelands und dem Centro Criptológico Nacional/Centro Nacional de Inteligencia (CNI) Spaniens. Die Warnmeldung nennt als Ausgangspunkt der Analyse technische Beweise, die das FBI im Rahmen mehrerer Ermittlungen gegen Integrity Tech gesichert und beobachtet hat. Während die Domain-Beschlagnahme des Justizministeriums eine strafrechtliche und gerichtliche Maßnahme darstellt, fungiert dieser Leitfaden als technisches Dokument, das Indikatoren für eine Kompromittierung (IoCs) und Taktiken aus denselben Ermittlungen an Verteidiger weitergibt.
Die in der Warnmeldung beschriebene Aufklärungsphase ist detaillierter als in der Pressemitteilung des Justizministeriums. Darin wird ausgeführt, dass die Angreifer öffentlich zugängliche Scan-Tools wie BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe und wpscan einsetzten, um Schwachstellen in Netzwerken und Webanwendungen aufzuspüren. Zu den vorrangig untersuchten Ports zählten Port 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) und 1080 (SOCKS). Zu Microscan heißt es, das Tool sei etwa seit 2017 im Einsatz gewesen und habe innerhalb einer Python-basierten Webanwendung über 1.300 Penetrationstest-Skripte enthalten, um spezifische Schwachstellen zu identifizieren. Zu den von den Skripten anvisierten Diensten gehörten OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins und Apache Struts.
Auch die Methoden für den Erstzugang und die Persistenz werden Schritt für Schritt erläutert. Laut Warnmeldung sicherte das FBI Payloads, mit denen die Angreifer über Cross-Site-Scripting-Angriffe (XSS) mittels JavaScript und HTML Eingabefelder für Benutzername und Kennwort einblendeten, um Anmeldedaten zu entwenden. Ein weiteres Tool, EBurst, führte Password-Spraying und Kennwort-Raten gegen Microsoft Exchange Server durch und nutzte dabei zehn Schnittstellen als Angriffsvektoren, darunter das Exchange Control Panel (ECP), Exchange Web Services (EWS), das Offline-Adressbuch (OAB) und Outlook Web Access (OWA). Nach der Infiltration wurde legitime SoftEther-VPN-Software auf kompromittierte Geräte heruntergeladen und so konfiguriert, dass sie beim Systemstart automatisch erneut eine Verbindung aufbaute; um einer Erkennung zu entgehen, wurden die Dateien unter gängigen Windows-Ausführungsnamen wie conhost.exe oder dllhost.exe getarnt.
Für die Phase der Datensammlung beschreibt die Warnmeldung, dass eine Datei namens DC.exe das Active Directory (AD)-Replikationsverfahren DCSync ausführte, um Kontoberechtigungen, Gruppenmitgliedschaften und Vertrauensstellungen zu kopieren. Das PHP-Skript Curlc4.txt griff auf die Microsoft-EWS-API zu, um E-Mails, Kalender und Kontakte abzugreifen, komprimierte diese oder verschlüsselte sie mit RC4 bzw. AES-128-CBC und lud sie anschließend auf Remote-Server hoch. Ein Befehlszeilenwerkzeug namens office-cli wurde verwendet, um wiederholt auf Outlook-365-Konten zuzugreifen und E-Mails bestimmter Zeiträume zu extrahieren. Zu den bestätigten Fällen von E-Mail-Datendiebstahl zählten Regierungsorganisationen, Strafverfolgungsbehörden, Gesundheitssysteme und religiöse Institutionen in Südostasien; in einigen Fällen war der Zugriff auf die exfiltrierten Daten ausschließlich auf IP-Adressen aus dem chinesischen Xiamen beschränkt. Diese detaillierten Methoden ergänzen die Beschreibung von „FishHub“ in der Pressemitteilung des Justizministeriums, doch sollte das bestätigte Ausmaß von rund 20 betroffenen taiwanesischen Universitäten nicht auf sämtliche in der Warnmeldung genannten Fälle übertragen werden.
Empfohlene Sofortmaßnahmen für Netzwerkverteidiger
Die Abwehrempfehlungen der Meldung erschöpfen sich nicht in allgemeinen Warnhinweisen. Die Autorenorganisationen empfehlen, ungenutzte Dienste und Ports abzuschalten und die von Anmeldeseiten und Bannern preisgegebenen Informationen bei externen Anfragen auf ein Minimum zu reduzieren. Zudem wird hervorgehoben, durch Validierung von Webanwendungs-Eingaben das Einschleusen von XSS-Payloads zu unterbinden und für sämtliche Dienste eine Multi-Faktor-Authentifizierung (MFA) durchzusetzen – insbesondere für Webmail-, VPN- und Kernsystemzugänge. Es wird angewiesen, Standardpasswörter durch starke Kennwörter zu ersetzen, Konten mit Administratorrechten einzuschränken und zu auditieren, das Prinzip der geringsten Berechtigungen (Least Privilege) anzuwenden sowie Download- und Domain-Reputationsprüfungen im Browser samt Protective DNS zu aktivieren.
Im Abschnitt zu Patches werden acht Schwachstellen tabellarisch aufgeführt, bei denen eine erfolgreiche Ausnutzung nachgewiesen wurde: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 und CVE-2023-22894. Die Warnmeldung merkt an, dass einige davon neu in den CISA-Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen wurden. Zur Erkennung wird geraten, Anzeichen für den unbefugten Einsatz von „Living-off-the-Land“-Techniken (Missbrauch legitimer Systemwerkzeuge), unerwartete AD-Replikationen, unübliche Scan- und Upload-Aktivitäten sowie Anmeldungen außerhalb der Geschäftszeiten und physikalisch unmögliche gleichzeitige Zugriffe zu überwachen. Als Wiederherstellungsplan wird vorgeschlagen, Kopien sensibler Daten und Server an physisch getrennten, gesicherten Standorten mehrfach vorzuhalten und Offline-Backups passwortgeschützt zu sichern.
Für den Fall eines Kompromittierungsverdachts beschreibt das Dokument eine feste Reihenfolge: Bestätigt infizierte Hosts isolieren oder offline schalten, Protokolle und Artefakte sichern, um Vorgehensweise, Infektionsumfang und Zeitrahmen der Angreifer zu ermitteln, den Vorfall gemäß nationalen Vorgaben melden und schließlich Ausleitungsmaßnahmen umsetzen, um das Netzwerk zu härten. Als Meldestellen für US-Organisationen wurden das Internet Crime Complaint Center (IC3) des FBI, die zuständigen FBI-Außenstellen und das CISA 24/7 Operations Center (contact@cisa.dhs.gov, 1-844-Say-CISA) benannt. Die Kontaktadresse der NSA für Cybersicherheitsberichte lautet CybersecurityReports@nsa.gov. Behörden aus Südkorea werden in dieser Warnmeldung nicht als direkte Meldestellen aufgeführt.
Unterschied zwischen der Botnetz-Zerschlagung 2024 und der aktuellen Beschlagnahme
Am 18. September 2024 gab das Justizministerium bekannt, in einer gerichtlich autorisierten Operation ein Botnetz aus über 200.000 Endverbrauchergeräten in den USA und weltweit zerschlagen zu haben. Damals handelte es sich bei den infizierten Geräten um Router für Klein- und Heimbüros (SOHO), IP-Kameras, digitale Videorekorder (DVR) und netzgebundene Speichergeräte (NAS). Das Ministerium führte aus, Integrity Tech habe die kompromittierten Geräte über eine Online-Anwendung namens „KRLab“ gesteuert und über ein integriertes Werkzeug namens „vulnerability-arsenal“ ein Menü schädlicher Befehle bereitgestellt. Die gerichtlich genehmigte Operation übernahm die Infrastruktur der Hacker und sandte über diese Befehle zur Deaktivierung der Schadsoftware an die infizierten Geräte. Das Justizministerium gab an, dass während der Operation ein DDoS-Störangriff auf die Wiederherstellungsinfrastruktur des FBI unternommen worden sei, dieser jedoch fehlschlug.
Die aktuelle Maßnahme im Jahr 2026 knüpft daran an, setzt jedoch auf ein enger gefasstes Vorgehen: 2024 stand im Mittelpunkt, Befehle direkt an die infizierten Verbrauchergeräte zu senden, um die Verbindung zum Botnetz zu kappen; das FBI hatte zuvor getestet, dass die Befehle die reguläre Funktionalität der Geräte nicht beeinträchtigten und keine Inhaltsdaten erfassten, und kündigte an, Eigentümer in den USA über deren Internetdienstanbieter zu benachrichtigen. Im Jahr 2026 konzentrierte man sich stattdessen auf die Beschlagnahme von sieben Zugangsdomains für die Tools – eine Domain für den Zugriff auf Microscan, fünf mit FishHub verknüpfte Domains und eine für Fernverwaltungsverbindungen. Die Anklageführung obliegt dem stellvertretenden US-Bundesanwalt Brendan McKenna von der Staatsanwaltschaft für den westlichen Bezirk von Pennsylvania sowie dem Prozessanwalt Zach Singer-Emery von der National Security Cyber Section der National Security Division des Justizministeriums; laut Ministerium leisteten der stellvertretende US-Bundesanwalt Thomas Sullivan aus dem Bezirk Maryland und die Nationale Polizeibehörde Japans erhebliche Unterstützung. Auch Mark Remily, Special Agent in Charge der FBI-Außenstelle San Diego, erklärte: „Gemeinsam mit unseren Partnern aus der Strafverfolgung werden wir alle Ermittlungsbefugnisse ausschöpfen“ – eine Stellungnahme des Leiters der örtlichen Außenstelle, die neben den weiter oben zitierten Aussagen von Bundesanwalt Rivetti und dem stellvertretenden Direktor Leatherman in den Mitteilungen veröffentlicht wurde.
China, Taiwan und Südkorea
In den Veröffentlichungen des Justizministeriums und der NSA finden sich keine Stellungnahmen der chinesischen Regierung oder von Integrity Tech. Die von beiden Behörden vorgelegten Unterlagen enthalten keine Positionierung der Gegenseite. In der vom Justizministerium veröffentlichten Liste der Angriffsziele und Opfer sind keine südkoreanischen Institutionen aufgeführt. Allerdings wurde die Nationale Polizeibehörde Japans in der Pressemitteilung des Justizministeriums als Behörde gewürdigt, die „erhebliche Unterstützung“ bei den Ermittlungen geleistet hat, und japanische Flughäfen zählten zu den Scan-Zielen.
Nächste Schritte
Das Justizministerium hat die eidesstattliche Erklärung (Affidavit) des FBI und den Beschlagnahmebeschluss veröffentlicht. Die Ermittlungen werden von den FBI-Außenstellen San Diego und Baltimore sowie der FBI Cyber Division geführt, während die Anklagevertretung bei der US-Staatsanwaltschaft für den westlichen Bezirk von Pennsylvania und der National Security Cyber Section des Justizministeriums liegt. In dieser Mitteilung gab das Justizministerium keine Anklagen gegen Einzelpersonen bekannt. Netzwerkadministratoren können interne Überprüfungen anhand der Kompromittierungsindikatoren (IoCs) aus der gemeinsamen Warnmeldung durchführen.
Quellen
- Pressemitteilung des US-Justizministeriums (Office of Public Affairs), 8. Oktober 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- Pressemitteilung der US-Staatsanwaltschaft für den westlichen Bezirk von Pennsylvania, 8. Oktober 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
- Pressemitteilung der National Security Agency (NSA), 8. Oktober 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
- Gemeinsame Cybersicherheitswarnung AA26-281A von CISA, FBI, NSA u. a., 8. Oktober 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- Pressemitteilung des US-Justizministeriums (Office of Public Affairs), 18. September 2024 (Zerschlagung des Integrity-Tech-Botnetzes): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
- Alle im Text zitierten X-Beiträge stammen von den offiziellen Konten von Regierungsbehörden.