Amerikaans ministerie van Justitie en FBI nemen 7 domeinen van hackingtools van Chinese overheidscontractant 'Integrity Tech' in beslag; circa 20 Taiwanese universiteiten bevestigd als slachtoffer

Het Amerikaanse ministerie van Justitie en het Federal Bureau of Investigation (FBI) hebben de toegangswegen afgesneden tot twee soorten hackingtools die werden beheerd door de in China gevestigde onderneming 'Integrity Technology Group' (hierna 'Integrity Tech'), die contracten heeft met de Chinese overheid. Er zijn zeven internetdomeinen in beslag genomen. Op dezelfde dag hebben de National Security Agency (NSA), de FBI, het Cybersecurity and Infrastructure Security Agency (CISA) en instanties van bondgenoten een gezamenlijk cybersecurity-advies (CSA) uitgebracht waarin de methoden van aan dit bedrijf gelieerde hackers worden uiteengezet.

Deze maatregel betreft geen aankondiging van strafrechtelijke vervolging tegen individuele personen. De grondslag voor de inbeslagname van de domeinen bestaat uit gerechtelijke documenten die openbaar zijn gemaakt bij de federale arrondissementsrechtbank voor het westelijke district van Pennsylvania, waarbij het ministerie van Justitie de inhoud van die documenten niet als vaststaande feiten maar als 'beschuldigingen (as alleged)' formuleerde. Het ministerie van Justitie verklaarde in een persbericht op 8 oktober 2026 Eastern Time in de Verenigde Staten (9 oktober Koreaanse tijd) dat het "via een door de rechtbank goedgekeurde inbeslagname kwaadwillende cyberactoren de toegang heeft ontzegd tot twee hackingtools genaamd 'Microscan' en 'FishHub'". Het ministerie van Justitie lichtte toe dat deze tools "werden gebruikt voor het scannen en in sommige gevallen hacken van vitale infrastructuursystemen in de Verenigde Staten en het buitenland". Het ministerie van Justitie vermeldde dat Integrity Tech "contracten heeft met de regering van de Volksrepubliek China".

De cyberdivisie van de FBI verklaarde op haar officiële X-account dat "de FBI en het ministerie van Justitie hackingtools hebben geneutraliseerd die werden gebruikt door de cyberdreigingsgroep 'Flax Typhoon'", en dat zij "verschillende domeinen in beslag hebben genomen en de toegang hebben geblokkeerd tot een platform dat werd gebruikt voor het scannen en in sommige gevallen binnendringen van Amerikaanse vitale infrastructuur".

https://x.com/FBICyberDiv/status/2108256413084422599

Wat er verandert

De betekenis van deze stap ligt in het feit dat de Amerikaanse regering Chinese hacking niet alleen op het niveau van 'staatshackers' opspoort en afsluit van apparatuur, maar ook op het niveau van particuliere ondernemingen die contracten met de overheid hebben gesloten. Het precedent dateert van september 2024. Het ministerie van Justitie maakte destijds bekend dat het met gerechtelijke goedkeuring een door Integrity Tech beheerd Mirai-malwarebotnet had ontmanteld. Het ministerie van Justitie verklaarde dat dit botnet bestond uit "meer dan 200.000 consumentenapparaten in de Verenigde Staten en over de hele wereld". Deze inbeslagname is volgens het ministerie van Justitie de "tweede openbare technische ontmanteling" van de hackinginfrastructuur van Integrity Tech.

Wat de twee tools deden

Volgens de door het ministerie van Justitie vrijgegeven gerechtelijke stukken bouwde en gebruikte Integrity Tech een botnet met Internet of Things (IoT)-apparaten die besmet waren met een Mirai-variant.

• Microscan: Een door Integrity Tech ontwikkeld verkennings- en kwetsbaarheidsscanningsinstrument. Het ministerie van Justitie verklaarde dat 'klanten' van dit bedrijf het gebruikten om kwetsbaarheden op te sporen die later konden worden uitgebuit. Onder de door het ministerie van Justitie bekendgemaakte scandoelen bevonden zich een Amerikaans elektriciteitsbedrijf in South Carolina, een multinationale niet-gouvernementele organisatie (ngo), luchthavens in Japan en Polen, infrastructuurbedrijven in de aardgas- en elektriciteitssector in Taiwan en twee Taiwanese universiteiten. Integrity Tech verschafte zich toegang tot Microscan via c0cc[.]cc, een van de in beslag genomen domeinen.
• FishHub: Een instrument voor gerichte phishing (spearphishing). Volgens het ministerie van Justitie zorgde het na de initiële binnendringing voor het downloaden van aanvullende malware, die ongeautoriseerde toegang op afstand mogelijk maakte of specifieke bestanden opzocht en doorstuurde naar een door Integrity Tech beheerde server. Tot de door het ministerie van Justitie genoemde bevestigde slachtoffers behoren "ongeveer 20 Taiwanese universiteiten". Vijf van de in beslag genomen domeinen (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com en linkedinns[.]net) werden gebruikt voor de verspreiding van deze malware.

In het persbericht van het federale parket van het westelijke district van Pennsylvania werd vermeld dat het resterende domein gekoppeld was aan ongeautoriseerde beheersoftware op afstand die slachtoffernetwerken verbond met de servers van Integrity Tech.

Het FBI-kantoor in San Diego maakte via zijn X-account bekend dat het het voortouw had genomen in dit onderzoek.

https://x.com/FBISanDiego/status/2108252514365653376

NSA-advies: "Breed scala aan getroffen sectoren"

De NSA meldde op dezelfde dag in een persbericht dat het gezamenlijke advies de titel draagt: 'Aan de Chinese overheid gelieerde cyberdreigingsactoren combineren geautomatiseerde en handmatige hackingtools om gevoelige gegevens te stelen'. Citerend uit het advies legde de NSA uit dat Integrity Tech "aan de Chinese overheid gelieerde dreigingsactoren in staat heeft gesteld om netwerken van Amerikaanse en buitenlandse organisaties in diverse sectoren te misbruiken, waaronder overheidsdiensten en -faciliteiten, vitale productie, gezondheidszorg en volksgezondheid, en informatietechnologie". Doelwitten omvatten volgens de NSA tevens Amerikaanse wetshandhavingsinstanties, onderwijsinstellingen en religieuze organisaties, evenals organisaties in Zuidoost-Azië, Afrika en Noord-Amerika.

Het officiële account NSA Cyber plaatste eveneens het bericht dat "Integrity Tech aan de Chinese overheid gelieerde dreigingsactoren in staat heeft gesteld netwerken van organisaties wereldwijd te misbruiken en vitale gegevens te ontvreemden". CISA maakte via haar X-account eveneens bekend het advies samen met de FBI te hebben uitgevaardigd.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

Wat betreft de benamingen stelde de NSA dat een deel van de werkwijzen overeenkomt met wat in de sector bekendstaat als 'Flax Typhoon', 'Storm-0919', 'Ethereal Panda' en 'Red Juliet'. Dit zijn namen die door de private beveiligingssector zijn toegekend, en de Amerikaanse overheid beperkte de reikwijdte ervan tot "sommige (some)".

Verklaringen van functionarissen

John Eisenberg, assistent-procureur-generaal voor Nationale Veiligheid bij het ministerie van Justitie, zei: "De Verenigde Staten zullen niet toestaan dat China of diens handlangers in cyberspace ongestraft handelen tegen de belangen van de VS." De divisie Nationale Veiligheid van het ministerie van Justitie plaatste deze verklaring eveneens op haar officiële X-account.

Troy Rivetti, federaal hoofdofficier van justitie voor het westelijke district van Pennsylvania, zei: "Deze inbeslagname is de tweede keer in twee jaar tijd dat een grootschalige operatie van Integrity Tech is geneutraliseerd." Brett Leatherman, adjunct-directeur van de cyberdivisie van de FBI, stelde: "China vertrouwt op contractanten en ondersteunende bedrijven om het bereik en de omvang van zijn kwaadwillende cyberactiviteiten te vergroten. Door dergelijke facilitators te ontmaskeren en te neutraliseren, maken we het voor China moeilijker om Amerikaanse netwerken en infrastructuur als doelwit te kiezen."

Aanvalsvolgorde zoals uiteengezet in gezamenlijk advies AA26-281A

Het officiële identificatienummer van het op dezelfde dag openbaar gemaakte gezamenlijke cybersecurity-advies is AA26-281A. De opstellende instanties vormen een internationaal partnerschap bestaande uit de FBI, CISA en NSA, aangevuld met het Britse National Cyber Security Centre (NCSC-UK), het Australian Cyber Security Centre van het Australian Signals Directorate (ASD ACSC), het Canadian Centre for Cyber Security, het Japanse Nationale Politieagentschap en het Nationaal Cyberbeveiligingsbureau, het Nieuw-Zeelandse National Cyber Security Centre en het Spaanse Nationaal Inlichtingencentrum (CNI). Het advies vermeldt dat het uitgangspunt van de analyse gevormd wordt door technisch bewijsmateriaal dat door de FBI is verkregen en waargenomen tijdens meerdere onderzoeken naar Integrity Tech. Terwijl de domeininbeslagname door het ministerie van Justitie een strafrechtelijke en gerechtelijke maatregel is, vormt dit advies een technisch document waarin indicatoren van compromittering (IoC's) en werkwijzen uit datzelfde onderzoek worden verspreid onder verdedigers.

De in het advies beschreven verkenningsfase is specifieker dan het persbericht van het ministerie van Justitie. Er staat in vermeld dat aanvallers openbare scantools gebruikten zoals BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe en wpscan om kwetsbaarheden in netwerken en webapplicaties op te sporen. De poorten die hoofdzakelijk werden onderzocht zijn poort 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) en 1080 (SOCKS). Over Microscan vermeldt het advies dat het sinds omstreeks 2017 in gebruik was en dat de op Python gebaseerde webapplicatie meer dan 1.300 penetratietestscripts bevatte om specifieke kwetsbaarheden te detecteren. Onder de door de scripts geviseerde diensten bevonden zich OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins en Apache Struts.

Ook de initiële binnendringing en persistentiemethoden worden stapsgewijs beschreven. Het advies meldt dat de FBI een payload heeft veiliggesteld waarmee de aanvallers, via een cross-site scripting (XSS)-aanval met JavaScript en HTML, gebruikersnaam- en wachtwoordinvoervelden toonden om inloggegevens te stelen. Van een ander instrument, EBurst, werd vastgesteld dat het wachtwoordspray- en wachtwoordraadacties uitvoerde op Microsoft Exchange-servers, waarbij tien interfaces als aanvalspad werden benut, waaronder het Exchange Control Panel (ECP), Exchange Web Services (EWS), het Offline Address Book (OAB) en Outlook Web Access (OWA). Na binnendringing werd volgens de analyse van het advies een installatiebestand van de reguliere VPN-software SoftEther gedownload op het apparaat van het slachtoffer, ingesteld om bij het opstarten automatisch opnieuw verbinding te maken, en hernoemd naar gebruikelijke namen van uitvoerbare Windows-bestanden zoals conhost.exe of dllhost.exe om detectie te omzeilen.

In de fase van gegevensverzameling legt het advies uit dat een bestand genaamd DC.exe de Active Directory (AD)-replicatietechniek DCSync uitvoerde om accountgegevens, groepssamenstellingen en vertrouwensrelaties te kopiëren. Een PHP-script genaamd Curlc4.txt legde verbinding met de Microsoft EWS API om inhoud zoals e-mails, agenda's en contactpersonen op te halen, waarna deze gegevens gecomprimeerd of met RC4 dan wel AES-128-CBC versleuteld naar een externe server werden geüpload. Een commandoregeltool genaamd office-cli werd gebruikt om herhaaldelijk toegang te krijgen tot Outlook 365-accounts en e-mails over specifieke perioden te ontvreemden. Het advies vermeldt tevens dat bevestigde gevallen van e-maildiefstal overheidsorganisaties, wetshandhavingsinstanties, zorgsystemen en religieuze instellingen in Zuidoost-Azië omvatten, en dat in sommige gevallen de toegang tot de geëxtraheerde gegevens uitsluitend beperkt was tot een IP-adres afkomstig uit Xiamen, China. Deze gedetailleerde werkwijze vormt een aanvulling op de toelichting van het ministerie van Justitie over 'FishHub', maar de bevestigde omvang van circa 20 Taiwanese universiteiten als slachtoffer mag niet worden veralgemeend naar alle casussen in het advies.

Zaken die verdedigers wordt geadviseerd onmiddellijk te controleren

De verdedigingsrichtlijnen van het advies beperken zich niet tot algemene waarschuwingen. De opstellende instanties adviseren niet-gebruikte diensten en poorten uit te schakelen en de informatie die inlogpagina's en banners vrijgeven aan externe verzoeken tot een minimum te beperken. Ook worden maatregelen aanbevolen om XSS-payloadinjecties te voorkomen via invoervalidatie in webapplicaties, en om meervoudige verificatie (MFA) toe te passen op alle diensten, met name voor webmail, VPN en accounts met toegang tot vitale systemen. Richtlijnen om standaardwachtwoorden te wijzigen in sterke wachtwoorden, beheerdersaccounts te beperken en te auditeren, het principe van minimale bevoegdheden toe te passen, en download- en domeinreputatiecontroles evenals beschermende DNS in de browser in te schakelen, worden eveneens vermeld.

Bij de te patchen onderdelen werden in een tabel acht kwetsbaarheden opgenomen waarvan daadwerkelijk succesvolle uitbuiting is bevestigd: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 en CVE-2023-22894. Het advies geeft aan dat een deel hiervan recent is toegevoegd aan de lijst met bekende uitgebuitte kwetsbaarheden ('Known Exploited Vulnerabilities' of KEV) van CISA. Aan de detectiezijde wordt aanbevolen te monitoren op tekenen van ongeautoriseerd gebruik van 'living-off-the-land'-technieken (waarbij misbruik wordt gemaakt van reguliere systeemtools), onverwachte AD-replicatie, abnormaal scan- en uploadverkeer, inlogactiviteiten buiten werktijd en fysiek onmogelijke gelijktijdige aanmeldingen. Als herstelplan zijn maatregelen opgenomen om meerdere kopieën van gevoelige gegevens en servers op te slaan op fysiek gescheiden en beveiligde locaties, en offline back-upkopieën te beveiligen met een wachtwoord.

Het advies beschrijft ook de stappen die moeten worden ondernomen bij een vermoeden van inbreuk. De procedure bestaat uit het isoleren of offline halen van bevestigd geïnfecteerde hosts, het verzamelen van logs en artefacten om de methoden van de aanvaller, de omvang van de besmetting en de tijdlijn van activiteiten vast te stellen, het melden conform de nationale richtlijnen, en het toepassen van mitigerende en uitdrijvingsmaatregelen om het netwerk te versterken. Als meldpunten voor Amerikaanse organisaties werden het FBI Internet Crime Complaint Center (IC3), het bevoegde FBI-veldkantoor en het 24-uurs operatiecentrum van CISA (contact@cisa.dhs.gov, 1-844-Say-CISA) aangewezen. Het contactadres voor vragen over NSA-cybersecurityrichtlijnen is CybersecurityReports@nsa.gov. Zuid-Koreaanse instellingen worden in dit advies niet genoemd als directe meldinstantie.

Verschil tussen de botnet-ontmanteling van 2024 en deze inbeslagname

Op 18 september 2024 maakte het ministerie van Justitie bekend dat het via een door de rechtbank goedgekeurde operatie een botnet van meer dan 200.000 consumentenapparaten in de Verenigde Staten en wereldwijd had ontmanteld. De geïnfecteerde apparaten waren destijds routers voor kleine kantoren en thuiskantoren (SOHO), IP-camera's, digitale videorecorders (DVR) en netwerkopslagapparaten (NAS). Het ministerie van Justitie verklaarde dat Integrity Tech de geïnfecteerde apparaten aanstuurde via een online applicatie onder de merknaam 'KRLab', en daarbinnen een menu met kwaadaardige commando's aanbood met een tool genaamd 'vulnerability-arsenal'. De gerechtelijk goedgekeurde operatie bestond uit het overnemen van de hackersinfrastructuur en het via die infrastructuur verzenden van een deactiveringscommando naar de malware op de besmette apparaten. Het ministerie meldde tevens dat er tijdens de operatie een poging werd gedaan tot een distributed denial-of-service (DDoS)-verstoring gericht op de herstelinfrastructuur van de FBI, maar dat deze mislukte.

De maatregel van 2026 is daar een vervolg op, maar in plaats van dezelfde methode te hanteren, is het doelwit specifieker afgebakend. In 2024 lag het zwaartepunt bij het rechtstreeks verzenden van commando's naar besmette consumentenapparaten om de botnetverbinding te verbreken; de FBI voerde vooraf tests uit om te garanderen dat het commando de normale functies van de apparaten niet zou schaden en geen inhoudelijke informatie zou verzamelen, en gaf aan de apparaateigenaren in de VS via internetproviders te zullen inlichten. In 2026 lag de focus op het in beslag nemen van zeven toegangswegen tot de tools: één domein voor toegang tot Microscan, vijf aan FishHub gerelateerde domeinen en één domein voor externe beheerverbindingen. De officieren van justitie belast met de vervolging zijn adjunct-federaal aanklager Brendan McKenna van het federale parket van het westelijke district van Pennsylvania en procesadvocaat Jack Singer-Emery van de sectie Nationale Veiligheidscyber van de divisie Nationale Veiligheid van het ministerie van Justitie; het ministerie gaf aan dat adjunct-federaal aanklager Thomas Sullivan van het district Maryland en het Japanse Nationale Politieagentschap aanzienlijke ondersteuning hebben geboden. Speciaal agent Mark Remily van het FBI-kantoor in San Diego gaf eveneens een verklaring af waarin hij stelde "alle onderzoeksbevoegdheden samen met partners in de wetshandhaving te zullen mobiliseren", wat het standpunt van het lokale afdelingshoofd weergeeft zoals opgenomen in het persbericht van het parket en hoofdkantoor, los van de eerder geciteerde verklaringen van federaal hoofdofficier Rivetti en adjunct-directeur Leatherman.

China, Taiwan en Zuid-Korea

In de stukken van het ministerie van Justitie en de NSA is geen reactie van de Chinese regering of Integrity Tech opgenomen. De door beide instanties vrijgegeven documenten bevatten geen standpunt van de tegenpartij. Op de door het ministerie van Justitie openbaar gemaakte lijst van doelwitten en slachtoffers komen geen Zuid-Koreaanse instellingen voor. Wel werd het Japanse Nationale Politieagentschap in het persbericht van het ministerie van Justitie genoemd als een instantie die "aanzienlijke hulp" heeft verleend aan het onderzoek, en waren Japanse luchthavens opgenomen onder de gescande doelwitten.

Volgende stappen

Het ministerie van Justitie heeft de beëdigde verklaring (affidavit) van de FBI en het inbeslagnamemandaat openbaar gemaakt. Het onderzoek wordt geleid door de FBI-kantoren in San Diego en Baltimore en de cyberdivisie van de FBI, terwijl de vervolging wordt behandeld door het federale parket voor het westelijke district van Pennsylvania en de sectie Nationale Veiligheidscyber van de divisie Nationale Veiligheid van het ministerie van Justitie. Het ministerie van Justitie heeft bij deze bekendmaking geen individuele aanklachten gemeld. Netwerkbeheerders kunnen zelf controles uitvoeren door de indicatoren van compromittering (IoC's) uit het gezamenlijke advies te vergelijken.

Bronnen

• Persbericht van het persbureau van het Amerikaanse ministerie van Justitie, 8 oktober 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• Persbericht van het federale parket van het westelijke district van Pennsylvania van het Amerikaanse ministerie van Justitie, 8 oktober 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• Persbericht van de National Security Agency (NSA), 8 oktober 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• Gezamenlijk cybersecurity-advies AA26-281A van onder meer CISA, FBI en NSA, 8 oktober 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• Persbericht van het persbureau van het Amerikaanse ministerie van Justitie, 18 september 2024 (ontmanteling van het botnet van Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• Alle in de tekst geciteerde X-berichten zijn afkomstig van officiële accounts van overheidsinstanties.