Dipartimento di Giustizia USA e FBI sequestrano 7 domini di strumenti di hacking dell'appaltatore del governo cinese "Integrity Tech"... Circa 20 università di Taiwan colpite
Il Dipartimento di Giustizia degli Stati Uniti e il Federal Bureau of Investigation (FBI) hanno interrotto le vie d'accesso a due strumenti di hacking gestiti da "Integrity Technology Group (di seguito Integrity Tech)", una società con sede in Cina sotto contratto con il governo cinese. I domini Internet sequestrati sono sette. Lo stesso giorno, la National Security Agency (NSA), l'FBI, la Cybersecurity and Infrastructure Security Agency (CISA) e le agenzie dei paesi alleati hanno emesso un avviso congiunto di sicurezza informatica (CSA) che descrive le tecniche degli hacker collegati a questa società.
Questa misura non costituisce l'annuncio di incriminazioni contro singoli individui. Il fondamento per il sequestro dei domini risiede nei documenti giudiziari resi pubblici presso la Corte Distrettuale Federale per il Distretto Occidentale della Pennsylvania, e il Dipartimento di Giustizia ha qualificato i contenuti di tali documenti come "presunti (as alleged)" piuttosto che come fatti accertati. In un comunicato stampa dell'8 ottobre 2026 (fuso orario orientale degli Stati Uniti, 9 ottobre ora coreana), il Dipartimento di Giustizia ha dichiarato: "Attraverso un sequestro autorizzato dal tribunale, abbiamo impedito a malintenzionati informatici di accedere a due strumenti di hacking denominati 'Microscan' e 'FishHub'". Il Dipartimento di Giustizia ha spiegato che questi strumenti sono stati utilizzati per "scansionare e, in alcuni casi, compromettere sistemi di infrastrutture critiche negli Stati Uniti e all'estero". Il Dipartimento di Giustizia ha inoltre precisato che Integrity Tech "ha stipulato contratti con il governo della Repubblica Popolare Cinese".
La Divisione Cyber dell'FBI ha dichiarato sul proprio account ufficiale X: "L'FBI e il Dipartimento di Giustizia hanno neutralizzato gli strumenti di hacking utilizzati dal gruppo di minaccia informatica 'Flax Typhoon'", aggiungendo di aver "sequestrato diversi domini e bloccato l'accesso a piattaforme utilizzate per scansionare e in parte penetrare infrastrutture critiche statunitensi".
https://x.com/FBICyberDiv/status/2108256413084422599
Cosa cambia
La rilevanza di questa misura risiede nel fatto che il governo degli Stati Uniti non sta tracciando l'attività di hacking cinese solo a livello di "hacker statali", ma colpisce e disconnette le infrastrutture a livello di aziende private appaltatrici del governo. Il precedente risale a settembre 2024. All'epoca, il Dipartimento di Giustizia annunciò di aver neutralizzato, con autorizzazione del tribunale, una botnet basata sul malware Mirai gestita da Integrity Tech. Il Dipartimento di Giustizia precisò che la botnet era composta da "oltre 200.000 dispositivi di consumo negli Stati Uniti e in tutto il mondo". Il sequestro attuale rappresenta, secondo quanto dichiarato dal Dipartimento di Giustizia, la "seconda neutralizzazione tecnica pubblica" dell'infrastruttura di hacking di Integrity Tech.
Cosa facevano i due strumenti
Secondo i documenti giudiziari resi pubblici dal Dipartimento di Giustizia, Integrity Tech ha creato e utilizzato botnet composte da dispositivi Internet of Things (IoT) infettati da varianti di Mirai.
- Microscan: strumento di ricognizione e scansione delle vulnerabilità sviluppato da Integrity Tech. Il Dipartimento di Giustizia ha dichiarato che i "clienti" della società lo utilizzavano per individuare vulnerabilità da sfruttare successivamente. Tra i bersagli scansionati resi noti dal Dipartimento di Giustizia figurano una compagnia elettrica statunitense nella Carolina del Sud, un'organizzazione non governativa (ONG) multinazionale, aeroporti in Giappone e Polonia, aziende infrastrutturali nei settori del gas naturale e dell'energia elettrica a Taiwan e due università taiwanesi. Integrity Tech accedeva a Microscan tramite uno dei domini sequestrati, c0cc[.]cc.
- FishHub: strumento di spear phishing (phishing mirato). Secondo il Dipartimento di Giustizia, dopo l'infiltrazione iniziale consentiva il download di malware aggiuntivo, il quale apriva accessi remoti non autorizzati o individuava specifici file inviandoli ai server di controllo di Integrity Tech. Tra le vittime confermate dal Dipartimento di Giustizia figurano "circa 20 università di Taiwan". Cinque dei domini sequestrati (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) venivano utilizzati per distribuire questo malware.
Il comunicato stampa della Procura federale per il Distretto Occidentale della Pennsylvania ha dichiarato che il restante dominio era collegato a un software di gestione remota non autorizzato che connetteva le reti delle vittime ai server di Integrity Tech.
L'ufficio dell'FBI di San Diego ha annunciato sul proprio account X di aver guidato le indagini.
https://x.com/FBISanDiego/status/2108252514365653376
Avviso della NSA: "Settori colpiti ad ampio raggio"
La NSA ha dichiarato in un comunicato stampa diffuso lo stesso giorno che l'avviso congiunto si intitola «Attori di minacce informatiche legati al governo cinese combinano strumenti di hacking automatizzati e manuali per sottrarre dati sensibili». Citando l'avviso, la NSA ha spiegato che Integrity Tech "ha consentito ad attori di minaccia legati al governo cinese di compromettere le reti di organizzazioni statunitensi ed estere in molteplici settori, tra cui servizi e strutture governative, manifattura critica, sanità e salute pubblica, e tecnologie dell'informazione". Tra i bersagli figuravano anche agenzie di contrasto statunitensi, istituti educativi, organizzazioni religiose, nonché organizzazioni nel Sud-est asiatico, in Africa e nel Nord America, ha affermato la NSA.
L'account ufficiale di NSA Cyber ha inoltre pubblicato: "Integrity Tech ha consentito ad attori di minaccia collegati al governo cinese di sfruttare le reti di organizzazioni in tutto il mondo ed esfiltrare dati critici". Anche la CISA ha annunciato sul proprio account X di aver emesso l'avviso insieme all'FBI.
https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869
Riguardo alle denominazioni, la NSA ha affermato che alcune di queste corrispondono a tecniche note nel settore come 'Flax Typhoon', 'Storm 919', 'Ethereal Panda' e 'Red Juliet'. Questi sono nomi assegnati dal settore privato della sicurezza, e il governo degli Stati Uniti ha limitato l'ambito specificando "alcuni (some)".
Le dichiarazioni delle autorità
John Eisenberg, assistente del procuratore generale per la sicurezza nazionale del Dipartimento di Giustizia, ha dichiarato: "Gli Stati Uniti non permetteranno alla Cina o ai suoi delegati di operare nello spazio cibernetico contro gli interessi statunitensi impunemente". Anche la Divisione per la Sicurezza Nazionale del Dipartimento di Giustizia ha pubblicato questa dichiarazione sul proprio account ufficiale X.
Troy Rivetti, procuratore degli Stati Uniti per il Distretto Occidentale della Pennsylvania, ha affermato: "Questo sequestro segna la seconda neutralizzazione di un'operazione su vasta scala di Integrity Tech in due anni". Brett Leatherman, vicedirettore della Divisione Cyber dell'FBI, ha dichiarato: "La Cina si affida ad appaltatori e fornitori di supporto per ampliare la portata e la scala delle sue attività informatiche malevole", aggiungendo: "Smascherando e neutralizzando questi facilitatori, rendiamo più difficile per la Cina prendere di mira le reti e le infrastrutture statunitensi".
La sequenza degli attacchi delineata nell'avviso congiunto AA26-281A
L'identificatore ufficiale dell'avviso congiunto di sicurezza informatica rilasciato lo stesso giorno è AA26-281A. È stato redatto congiuntamente a livello internazionale da FBI, CISA e NSA, insieme al National Cyber Security Centre del Regno Unito (NCSC-UK), all'Australian Cyber Security Centre dell'Australian Signals Directorate (ASD ACSC), al Canadian Centre for Cyber Security, all'Agenzia Nazionale di Polizia del Giappone e all'Ufficio Nazionale per la Sicurezza Cibernetica giapponese, al National Cyber Security Centre della Nuova Zelanda e al Centro Nacional de Inteligencia (CNI) della Spagna. L'avviso specifica che il punto di partenza dell'analisi risiede nelle prove tecniche raccolte e osservate in molteplici indagini dell'FBI correlate a Integrity Tech. Mentre il sequestro dei domini da parte del Dipartimento di Giustizia rappresenta un provvedimento sul versante giudiziario e penale, questo avviso funge da documento tecnico che distribuisce ai difensori gli indicatori di compromissione e le metodologie emerse dalle stesse indagini.
La fase di ricognizione dettagliata nell'avviso è più specifica rispetto a quella descritta nel comunicato del Dipartimento di Giustizia. Si legge che gli aggressori hanno utilizzato strumenti di scansione pubblici come BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe e wpscan per ricercare vulnerabilità in reti e applicazioni web. Le porte principalmente controllate sono state la 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) e 1080 (SOCKS). Riguardo a Microscan, l'avviso rivela che era in uso all'incirca dal 2017 e conteneva più di 1.300 script di penetration test all'interno di un'applicazione web basata su Python per individuare vulnerabilità specifiche. I servizi presi di mira dagli script includevano OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins e Apache Struts.
Vengono inoltre descritti punto per punto i metodi di accesso iniziale e di persistenza. L'avviso indica che l'FBI ha recuperato payload con cui gli aggressori eseguivano attacchi Cross-Site Scripting (XSS) tramite JavaScript e HTML per far comparire campi di inserimento di nome utente e password e sottrarre credenziali. Un altro strumento, EBurst, eseguiva attacchi di password spraying e password guessing contro i server Microsoft Exchange, utilizzando dieci interfacce come vettori di attacco, tra cui l'Exchange Control Panel (ECP), l'Exchange Web Services (EWS), la Rubrica Fuori Rete (OAB) e Outlook Web Access (OWA). Secondo l'analisi dell'avviso, una volta penetrati, gli aggressori scaricavano sui dispositivi delle vittime il file di installazione del software VPN legittimo SoftEther, configurandolo per la riconnessione automatica all'avvio e rinominando il file con nomi comuni di eseguibili Windows come conhost.exe o dllhost.exe per eludere il rilevamento.
Nella fase di raccolta dati, l'avviso spiega che un file denominato DC.exe ha eseguito la tecnica di replica DCSync di Active Directory (AD) per copiare credenziali di account, composizione dei gruppi e informazioni sulle relazioni di attendibilità. Lo script PHP Curlc4.txt era strutturato per accedere all'API Microsoft EWS, estrarre contenuti quali email, calendari e contatti, comprimerli o cifrarli con RC4 o AES-128-CBC e caricarli su un server remoto. Uno strumento da riga di comando chiamato office-cli è stato utilizzato per accedere ripetutamente agli account Outlook 365 ed esfiltrare email relative a specifici periodi. L'avviso riporta inoltre che tra i casi confermati di furto di dati email figuravano organizzazioni governative, forze dell'ordine, sistemi sanitari e istituzioni religiose nel Sud-est asiatico, e in alcuni casi l'accesso ai dati esfiltrati era limitato esclusivamente a indirizzi IP provenienti da Xiamen, in Cina. Queste tecniche dettagliate integrano la descrizione di 'FishHub' fornita nel comunicato del Dipartimento di Giustizia, ma la portata dei danni accertati che riguarda circa 20 università di Taiwan non deve essere generalizzata a tutti i casi citati nell'avviso.
Voci raccomandate per una verifica immediata da parte dei difensori
Le linee guida difensive dell'avviso non si limitano a esortazioni generiche. Le agenzie raccomandano di disattivare servizi e porte non utilizzati e di ridurre al minimo le informazioni che le pagine di accesso e i banner espongono alle richieste esterne. Viene inoltre prescritto di prevenire l'iniezione di payload XSS tramite la validazione degli input delle applicazioni web e di applicare l'autenticazione a più fattori (MFA) a tutti i servizi, in particolare alla webmail, alle VPN e agli account con accesso ai sistemi critici. Sono incluse anche istruzioni per sostituire le password predefinite con password robuste, limitare e verificare gli account con privilegi amministrativi applicando il principio del privilegio minimo, nonché abilitare i controlli di reputazione dei download e dei domini nei browser e il DNS protetto.
Nella sezione dedicata al patching, otto vulnerabilità confermate per essere state sfruttate con successo sono presentate in una tabella: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 e CVE-2023-22894. L'avviso evidenzia che alcune di esse sono state aggiunte di recente al catalogo delle vulnerabilità note e sfruttate (KEV) della CISA. Sul fronte del rilevamento, si richiede di monitorare i segnali di uso non autorizzato di tecniche 'living-off-the-land' che sfruttano strumenti di sistema legittimi, repliche impreviste di AD, traffico anomalo di scansione e upload, accessi al di fuori dell'orario lavorativo e accessi simultanei fisicamente impossibili. Come piano di ripristino, si prescrive di conservare copie multiple di dati sensibili e server in luoghi fisicamente separati e protetti, proteggendo con password le copie di backup offline.
L'avviso descrive anche la sequenza di azioni in caso di sospetta violazione. La procedura prevede di isolare o portare offline gli host confermati come infetti, raccogliere log e artefatti per identificare le metodologie dell'aggressore, l'ampiezza dell'infezione e la cronologia delle attività, segnalare l'incidente secondo le direttive del rispettivo paese e applicare contromisure di rimozione per rafforzare la rete. Per le organizzazioni statunitensi, i canali di segnalazione indicati sono l'Internet Crime Complaint Center (IC3) dell'FBI, l'ufficio locale dell'FBI competente e il centro operativo attivo 24 ore su 24 della CISA (contact@cisa.dhs.gov, 1-844-Say-CISA). L'indirizzo di contatto per informazioni sulla sicurezza informatica della NSA è CybersecurityReports@nsa.gov. Le istituzioni sudcoreane non sono indicate come destinatari diretti per le segnalazioni in questo avviso.
Differenze tra la neutralizzazione della botnet del 2024 e l'attuale sequestro
Il 18 settembre 2024, il Dipartimento di Giustizia annunciò che un'operazione autorizzata dal tribunale aveva neutralizzato una botnet di oltre 200.000 dispositivi di consumo negli Stati Uniti e in tutto il mondo. I dispositivi infetti dell'epoca comprendevano router per piccoli uffici/uffici domestici (SOHO), telecamere IP, videoregistratori digitali (DVR) e dispositivi di archiviazione collegati alla rete (NAS). Il Dipartimento di Giustizia riportò che Integrity Tech controllava i dispositivi infetti tramite un'applicazione online a marchio 'KRLab', fornendo un menu di comandi malevoli attraverso uno strumento chiamato 'vulnerability-arsenal' (arsenale di vulnerabilità). L'operazione autorizzata dal tribunale consisteva nel prendere il controllo dell'infrastruttura degli hacker e inviare, tramite essa, comandi di disattivazione al malware sui dispositivi infetti; durante l'operazione si verificò un tentativo di interruzione tramite attacco DDoS (Distributed Denial of Service) contro l'infrastruttura di ripristino dell'FBI, ma fallì, secondo quanto riferito dal Dipartimento di Giustizia.
Questa misura del 2026 ne rappresenta il seguito, ma più che utilizzare lo stesso metodo ha ristretto il proprio obiettivo. Nel 2024 il fulcro consisteva nell'inviare comandi direttamente ai dispositivi di consumo infetti per disconnettere i collegamenti con la botnet; l'FBI aveva condotto test preventivi per garantire che i comandi non compromettessero le normali funzionalità dei dispositivi né raccogliessero contenuti informativi, annunciando che avrebbe notificato i proprietari dei dispositivi negli Stati Uniti tramite i fornitori di servizi Internet. Nel 2026 l'attenzione si è concentrata sul sequestro di sette canali di accesso agli strumenti: un dominio di accesso a Microscan, cinque domini legati a FishHub e un dominio per la connessione di gestione remota. I pubblici ministeri incaricati del procedimento sono l'assistente procuratore degli Stati Uniti Brendan McKenna della Procura del Distretto Occidentale della Pennsylvania e il procuratore Jack Singer-Emery della Sezione Nazionale Cyber della Divisione per la Sicurezza Nazionale del Dipartimento di Giustizia, con un significativo supporto fornito dall'assistente procuratore Thomas Sullivan della Procura del Maryland e dall'Agenzia Nazionale di Polizia del Giappone, secondo quanto specificato dal Dipartimento di Giustizia. Anche l'agente speciale a capo dell'ufficio FBI di San Diego, Mark Remily, ha dichiarato che "impiegheremo tutti i poteri investigativi insieme ai nostri partner delle forze dell'ordine", una posizione del responsabile dell'ufficio sul campo comparsa nei comunicati della Procura e della sede centrale, distinta dalle dichiarazioni del procuratore Rivetti e del vicedirettore Leatherman citate in precedenza.
Cina, Taiwan e Corea del Sud
Nei documenti del Dipartimento di Giustizia e della NSA non compaiono reazioni da parte del governo cinese o di Integrity Tech. I materiali diffusi dalle due agenzie non contengono la posizione della controparte. Nessuna istituzione sudcoreana è inclusa nell'elenco dei bersagli o delle vittime reso noto dal Dipartimento di Giustizia. Tuttavia, l'Agenzia Nazionale di Polizia del Giappone è menzionata nel comunicato del Dipartimento di Giustizia come ente che ha fornito un "aiuto significativo" alle indagini, e gli aeroporti giapponesi figurano tra gli obiettivi scansionati.
I prossimi passi
Il Dipartimento di Giustizia ha reso pubblici l'affidavit dell'FBI e il mandato di sequestro. Le indagini sono condotte dagli uffici FBI di San Diego e Baltimora e dalla Divisione Cyber dell'FBI, mentre l'azione penale è affidata alla Procura del Distretto Occidentale della Pennsylvania e alla Sezione Nazionale Cyber della Divisione per la Sicurezza Nazionale del Dipartimento di Giustizia. In questo annuncio il Dipartimento di Giustizia non ha reso note imputazioni a carico di singoli individui. Gli amministratori di rete possono effettuare verifiche interne confrontando i propri sistemi con gli indicatori di compromissione (IoC) dell'avviso congiunto.
Fonti
- Comunicato stampa dell'Ufficio per gli Affari Pubblici del Dipartimento di Giustizia USA, 8 ottobre 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- Comunicato stampa della Procura federale per il Distretto Occidentale della Pennsylvania, Dipartimento di Giustizia USA, 8 ottobre 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
- Comunicato stampa della National Security Agency USA, 8 ottobre 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
- Avviso congiunto di sicurezza informatica AA26-281A di CISA, FBI, NSA e altri, 8 ottobre 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- Comunicato stampa dell'Ufficio per gli Affari Pubblici del Dipartimento di Giustizia USA, 18 settembre 2024 (neutralizzazione della botnet di Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
- Tutti i post di X citati nel testo provengono da account ufficiali di agenzie governative.