Departament Sprawiedliwości USA i FBI zajęły 7 domen narzędzi hakerskich chińskiego wykonawcy rządowego „Integrity Tech”... Potwierdzono szkody na około 20 tajwańskich uniwersytetach

Departament Sprawiedliwości USA i Federalne Biuro Śledcze (FBI) odcięły dostęp do dwóch narzędzi hakerskich obsługiwanych przez mającą siedzibę w Chinach firmę „Integrity Technology Group” (dalej „Integrity Tech”), będącą wykonawcą chińskiego rządu. Zajęto 7 domen internetowych. Tego samego dnia Agencja Bezpieczeństwa Narodowego (NSA), FBI, Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) oraz agencje państw sojuszniczych wydały wspólny biuletyn cyberbezpieczeństwa (CSA) szczegółowo opisujący metody hakerów powiązanych z tą firmą.

Działanie to nie jest ogłoszeniem zarzutów przeciwko konkretnym osobom. Podstawą zajęcia domen są dokumenty sądowe ujawnione w Sądzie Okręgowym USA dla Zachodniego Okręgu Pensylwanii, przy czym Departament Sprawiedliwości określił treść tych dokumentów jako „zarzuty” (as alleged), a nie ustalone fakty. Departament Sprawiedliwości w komunikacie prasowym z 8 października 2026 r. czasu wschodnioamerykańskiego (9 października czasu koreańskiego) oświadczył: „Dzięki zatwierdzonemu przez sąd zajęciu uniemożliwiono złośliwym podmiotom cybernetycznym dostęp do dwóch narzędzi hakerskich: »Microscan« i »FishHub«”. Departament Sprawiedliwości wyjaśnił, że narzędzia te były „używane do skanowania, a w niektórych przypadkach do włamywania się do systemów infrastruktury krytycznej w Stanach Zjednoczonych i za granicą”. Departament Sprawiedliwości wskazał, że Integrity Tech „posiada umowy z rządem Chińskiej Republiki Ludowej”.

Wydział Cybernetyczny FBI oświadczył na swoim oficjalnym koncie w serwisie X: „FBI i Departament Sprawiedliwości zneutralizowały narzędzia hakerskie używane przez grupę cyberzagrożeń »Flax Typhoon«”, dodając: „Zajęliśmy wiele domen i zablokowaliśmy dostęp do platform używanych do skanowania i w niektórych przypadkach penetracji amerykańskiej infrastruktury krytycznej”.

https://x.com/FBICyberDiv/status/2108256413084422599

Co ulega zmianie

Działanie to jest istotne, ponieważ rząd USA ściga chiński hacking nie tylko na poziomie „hakerów państwowych”, ale również w skali prywatnych firm współpracujących z rządem, odcinając ich infrastrukturę. Precedens miał miejsce we wrześniu 2024 roku. Departament Sprawiedliwości ogłosił wówczas, że za zgodą sądu zneutralizował botnet złośliwego oprogramowania Mirai obsługiwany przez Integrity Tech. Departament Sprawiedliwości poinformował, że botnet ten składał się z „ponad 200 000 urządzeń konsumenckich w Stanach Zjednoczonych i na całym świecie”. Obecne zajęcie stanowi, według Departamentu Sprawiedliwości, „drugą publiczną neutralizację techniczną” infrastruktury hakerskiej Integrity Tech.

Czym zajmowały się oba narzędzia

Według dokumentów sądowych ujawnionych przez Departament Sprawiedliwości, Integrity Tech stworzyło i wykorzystywało botnet złożony z urządzeń Internetu Rzeczy (IoT) zainfekowanych wariantem Mirai.

• Microscan: Narzędzie do rozpoznania i skanowania podatności opracowane przez Integrity Tech. Departament Sprawiedliwości podał, że „klienci” tej firmy wykorzystywali je do wyszukiwania luk w zabezpieczeniach w celu ich późniejszej eksploatacji. Wśród celów skanowania ujawnionych przez Departament Sprawiedliwości znalazły się: amerykańskie przedsiębiorstwo energetyczne w Karolinie Południowej, międzynarodowa organizacja pozarządowa (NGO), lotniska w Japonii i Polsce, przedsiębiorstwa infrastruktury gazowej i elektroenergetycznej na Tajwanie oraz dwa tajwańskie uniwersytety. Integrity Tech łączyło się z Microscan za pośrednictwem jednej z zajętych domen: c0cc[.]cc.
• FishHub: Narzędzie do ukierunkowanego phishingu (spear-phishing). Według Departamentu Sprawiedliwości po początkowej penetracji umożliwiało pobranie dodatkowego złośliwego oprogramowania, które otwierało nieautoryzowany dostęp zdalny lub wyszukiwało określone pliki i przesyłało je na serwer kontrolowany przez Integrity Tech. Wśród potwierdzonych ofiar wskazanych przez Departament Sprawiedliwości znalazło się „około 20 tajwańskich uniwersytetów”. Do dystrybucji tego złośliwego oprogramowania wykorzystano pięć z zajętych domen (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net).

W komunikacie prasowym Prokuratury USA dla Zachodniego Okręgu Pensylwanii podano, że pozostała jedna domena była powiązana z nieautoryzowanym oprogramowaniem do zdalnego zarządzania, które łączyło sieci ofiar z serwerami Integrity Tech.

Biuro terenowe FBI w San Diego ogłosiło na swoim koncie X, że przewodziło temu śledztwu.

https://x.com/FBISanDiego/status/2108252514365653376

Biuletyn NSA: „Szeroki zakres dotkniętych sektorów”

W wydanym tego samego dnia komunikacie prasowym NSA podała, że wspólny biuletyn nosi tytuł: „Powiązane z chińskim rządem podmioty cyberzagrożeń łączą zautomatyzowane i ręczne narzędzia hakerskie w celu kradzieży wrażliwych danych”. Cytując treść biuletynu, NSA wyjaśniła, że Integrity Tech „umożliwiło podmiotom stwarzającym zagrożenie powiązanym z chińskim rządem wykorzystywanie sieci amerykańskich i zagranicznych organizacji w wielu sektorach, w tym usług i obiektów rządowych, produkcji krytycznej, opieki zdrowotnej i zdrowia publicznego oraz technologii informacyjnych”. NSA podała, że wśród celów znalazły się amerykańskie organy ścigania, instytucje edukacyjne i organizacje religijne, a także organizacje w Azji Południowo-Wschodniej, Afryce i Ameryce Północnej.

Oficjalne konto NSA Cyber opublikowało również wpis: „Integrity Tech umożliwiło podmiotom powiązanym z chińskim rządem wykorzystywanie sieci organizacji na całym świecie i kradzież kluczowych danych”. CISA również powiadomiła na swoim koncie X o wydaniu biuletynu wspólnie z FBI.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

W kwestii nazewnictwa NSA stwierdziła, że niektóre z tych metod odpowiadają technikom określanym w branży jako „Flax Typhoon”, „Storm-0919”, „Ethereal Panda” i „RedJuliette”. Są to nazwy nadane przez prywatny sektor bezpieczeństwa, a rząd USA ograniczył ten zakres do określenia „niektóre” (some).

Wypowiedzi przedstawicieli władz

John Eisenberg, asystent prokuratora generalnego ds. bezpieczeństwa narodowego w Departamencie Sprawiedliwości, oświadczył: „Stany Zjednoczone nie pozwolą Chinom ani ich pełnomocnikom bezkarnie działać w cyberprzestrzeni przeciwko interesom USA”. Wydział Bezpieczeństwa Narodowego Departamentu Sprawiedliwości opublikował również tę wypowiedź na swoim oficjalnym koncie X.

Troy Rivetti, prokurator USA dla Zachodniego Okręgu Pensylwanii, powiedział: „To zajęcie stanowi drugą w ciągu dwóch lat neutralizację operacji na dużą skalę prowadzonej przez Integrity Tech”. Brett Leatherman, zastępca dyrektora Wydziału Cybernetycznego FBI, stwierdził: „Chiny polegają na wykonawcach i firmach wspierających, aby zwiększyć zasięg i skalę swojej złośliwej działalności cybernetycznej. Ujawniając i neutralizując tych pomocników, utrudniamy Chinom obieranie za cel amerykańskich sieci i infrastruktury”.

Sekwencja ataków ujawniona we wspólnym biuletynie AA26-281A

Oficjalny numer identyfikacyjny wspólnego biuletynu cyberbezpieczeństwa opublikowanego tego samego dnia to AA26-281A. Został on sporządzony pod wspólnym międzynarodowym szyldem przez FBI, CISA i NSA wraz z brytyjskim Narodowym Centrum Cyberbezpieczeństwa (NCSC-UK), Centrum Cyberbezpieczeństwa Australijskiego Dyrektoriatu Sygnałowego (ASD ACSC), Kanadyjskim Centrum Cyberbezpieczeństwa, Japońską Narodową Agencją Policji oraz Narodowym Centrum Gotowości na Incydenty i Strategii Cyberbezpieczeństwa (NISC), nowozelandzkim Narodowym Centrum Cyberbezpieczeństwa oraz hiszpańskim Narodowym Centrum Wywiadowczym (CNI). W biuletynie zaznaczono, że punktem wyjścia do analizy były dowody techniczne zabezpieczone i zaobserwowane w ramach wielu śledztw FBI dotyczących Integrity Tech. Podczas gdy zajęcie domen przez Departament Sprawiedliwości jest środkiem z zakresu procedur karnych i sądowych, biuletyn ten stanowi dokument techniczny przekazujący obrońcom wskaźniki kompromitacji (IoC) i techniki wynikające z tego samego śledztwa.

Zestawiona w biuletynie faza rozpoznania jest bardziej szczegółowa niż w komunikacie prasowym Departamentu Sprawiedliwości. Wskazano, że napastnicy używali publicznie dostępnych narzędzi skanujących, takich jak BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe czy wpscan, w celu wyszukiwania podatności w sieciach i aplikacjach internetowych. Głównymi badanymi portami były 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) i 1080 (SOCKS). Odnośnie Microscan biuletyn ujawnia, że narzędzie to było używane od około 2017 roku, a aplikacja internetowa oparta na języku Python zawierała ponad 1300 skryptów testów penetracyjnych służących do wyszukiwania konkretnych podatności. Usługi będące celem skryptów obejmowały OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins i Apache Struts.

Szczegółowo, krok po kroku, opisano również początkową penetrację i mechanizmy utrzymania dostępu. W biuletynie stwierdzono, że FBI odzyskało ładunki (payloads) wykorzystujące ataki Cross-Site Scripting (XSS) za pomocą JavaScriptu i HTML-a do wyświetlania pól logowania na nazwę użytkownika i hasło w celu kradzieży danych uwierzytelniających. Inne narzędzie, EBurst, przeprowadzało ataki typu password spraying i odgadywanie haseł przeciwko serwerom Microsoft Exchange, wykorzystując jako wektory ataku dziesięć interfejsów, w tym Exchange Control Panel (ECP), Exchange Web Services (EWS), Offline Address Book (OAB) i Outlook Web Access (OWA). Według analizy biuletynu po wtargnięciu na urządzenie ofiary pobierano instalator legalnego oprogramowania VPN SoftEther i konfigurowano go tak, aby łączył się automatycznie przy uruchomieniu systemu, a w celu uniknięcia wykrycia zmieniano nazwy plików na powszechne nazwy plików wykonywalnych systemu Windows, takie jak conhost.exe lub dllhost.exe.

W fazie zbierania danych plik o nazwie DC.exe wykonywał technikę replikacji Active Directory (AD) DCSync w celu skopiowania poświadczeń kont, członkostwa w grupach i relacji zaufania – wyjaśnia biuletyn. Skrypt PHP Curlc4.txt łączył się z API Microsoft EWS, aby pobierać zawartość taką jak e-maile, kalendarze i kontakty, kompresować je lub szyfrować za pomocą RC4 lub AES-128-CBC, a następnie przesyłać na zdalny serwer. Narzędzie wiersza poleceń office-cli było używane do wielokrotnego łączenia się z kontami Outlook 365 w celu eksfiltracji wiadomości e-mail z określonych przedziałów czasowych. W biuletynie wskazano także, że potwierdzone przypadki kradzieży danych poczty elektronicznej dotyczyły organizacji rządowych, organów ścigania, systemów opieki zdrowotnej i instytucji religijnych w Azji Południowo-Wschodniej, a w niektórych przypadkach dostęp do wykradzionych danych był ograniczony wyłącznie do adresów IP pochodzących z Xiamen w Chinach. Te szczegółowe metody uzupełniają opis narzędzia „FishHub” z komunikatu Departamentu Sprawiedliwości, jednak potwierdzonej skali około 20 tajwańskich uniwersytetów nie należy ekstrapolować na wszystkie przypadki opisane w biuletynie.

Zalecenia do natychmiastowej weryfikacji dla obrońców

Wytyczne obronne zawarte w biuletynie nie ograniczają się do ogólnych ostrzeżeń. Autorzy zalecają wyłączenie nieużywanych usług i portów oraz zminimalizowanie ilości informacji ujawnianych przez strony logowania i banery w odpowiedzi na zapytania zewnętrzne. Wyszczególniono wymóg walidacji danych wejściowych w aplikacjach internetowych w celu zapobiegania wstrzykiwaniu ładunków XSS oraz wdrożenie uwierzytelniania wieloskładnikowego (MFA) we wszystkich usługach, ze szczególnym uwzględnieniem poczty webmail, VPN i kont dostępu do systemów krytycznych. Wskazano także zalecenia dotyczące zmiany domyślnych haseł na silne, ograniczania i audytu kont z uprawnieniami administratora, stosowania zasady najmniejszych uprawnień oraz włączenia weryfikacji reputacji pobieranych plików i domen w przeglądarkach, a także korzystania z chronionego DNS (Protective DNS).

W sekcji dotyczącej poprawek przedstawiono w tabeli osiem podatności, w przypadku których potwierdzono pomyślną eksploatację. Są to: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 oraz CVE-2023-22894. W biuletynie zaznaczono, że część z nich to pozycje nowo dodane do katalogu znanych wykorzystywanych podatności CISA (Known Exploited Vulnerabilities – KEV). W obszarze detekcji zalecono monitorowanie oznak nieautoryzowanego użycia technik „living-off-the-land” wykorzystujących legalne narzędzia systemowe, nieoczekiwanej replikacji AD, nietypowego ruchu skanowania i wysyłania danych, logowań poza godzinami pracy oraz fizycznie niemożliwych jednoczesnych połączeń. W planach odzyskiwania danych zawarto wymóg przechowywania wielu kopii wrażliwych danych i serwerów w fizycznie odseparowanych, bezpiecznych lokalizacjach oraz zabezpieczenia kopii zapasowych offline hasłem.

W biuletynie określono również procedurę w przypadku podejrzenia naruszenia bezpieczeństwa. Obejmuje ona odizolowanie lub odłączenie od sieci hostów, na których potwierdzono infekcję, zebranie logów i artefaktów w celu zidentyfikowania metod napastnika, zakresu infekcji i harmonogramu działań, zgłoszenie incydentu zgodnie z wytycznymi krajowymi oraz wdrożenie środków eliminacyjnych w celu wzmocnienia sieci. Jako kanały zgłoszeniowe dla organizacji w USA wskazano Centrum Zgłaszania Przestępstw Internetowych FBI (IC3), właściwe biuro terenowe FBI oraz całodobowe centrum operacyjne CISA (contact@cisa.dhs.gov, 1-844-Say-CISA). Adres zapytań dotyczących wytycznych cyberbezpieczeństwa NSA to CybersecurityReports@nsa.gov. Instytucje z Korei Południowej nie zostały wymienione jako bezpośredni odbiorcy zgłoszeń w tym biuletynie.

Różnica między neutralizacją botnetu w 2024 roku a obecnym zajęciem

18 września 2024 roku Departament Sprawiedliwości ogłosił, że w ramach operacji zatwierdzonej przez sąd zneutralizował botnet liczący ponad 200 000 urządzeń konsumenckich w USA i na całym świecie. Zainfekowanymi urządzeniami były wówczas routery do małych biur i biur domowych (SOHO), kamery IP, cyfrowe rejestratory wideo (DVR) oraz sieciowe pamięci masowe (NAS). Departament Sprawiedliwości napisał, że Integrity Tech kontrolowało zainfekowane urządzenia za pośrednictwem aplikacji internetowej pod marką „KRLab” i oferowało menu złośliwych poleceń za pomocą narzędzia o nazwie „vulnerability-arsenal”. Operacja zatwierdzona przez sąd polegała na przejęciu infrastruktury hakerów i wysłaniu za jej pośrednictwem poleceń dezaktywujących do złośliwego oprogramowania na zainfekowanych urządzeniach. Departament Sprawiedliwości poinformował, że w trakcie operacji podjęto próbę zakłócenia działań naprawczych FBI za pomocą ataku DDoS (rozproszonej odmowy usługi), lecz zakończyła się ona fiaskiem.

Obecne działania z 2026 roku stanowią kontynuację tamtej operacji, jednak cel został zawężony, a metoda uległa zmianie. W 2024 roku główny nacisk położono na wysyłanie poleceń bezpośrednio do zainfekowanych urządzeń konsumenckich w celu zerwania ich połączenia z botnetem; FBI przeprowadziło wcześniejsze testy, aby upewnić się, że polecenia te nie zakłócą normalnego funkcjonowania urządzeń ani nie będą zbierać treści, oraz zapowiedziało powiadomienie właścicieli urządzeń w USA za pośrednictwem dostawców usług internetowych. W 2026 roku skupiono się natomiast na zajęciu siedmiu ścieżek dostępu do narzędzi: 1 domeny dostępu do Microscan, 5 domen powiązanych z FishHub oraz 1 domeny łączności ze zdalnym zarządzaniem. Oskarżycielami w sprawie są zastępca prokuratora federalnego Brendan McKenna z Prokuratury USA dla Zachodniego Okręgu Pensylwanii oraz prokurator procesowy Jack Singer-Emery z Wydziału Cybernetycznego ds. Bezpieczeństwa Narodowego w Departamencie Sprawiedliwości, a Departament Sprawiedliwości odnotował, że znacznego wsparcia udzielili zastępca prokuratora federalnego Thomas Sullivan z Prokuratury Okręgowej w Marylandzie oraz Japońska Narodowa Agencja Policji. Agent specjalny Mark Remily z biura terenowego FBI w San Diego również wydał oświadczenie, zapowiadając: „Wykorzystamy wszystkie uprawnienia śledcze wspólnie z naszymi partnerami z organów ścigania”, co stanowi stanowisko szefa lokalnego biura terenowego, opublikowane w komunikacie prokuratury i centrali niezależnie od cytowanych wcześniej wypowiedzi prokuratora Rivettiego i zastępcy dyrektora Leathermana.

Chiny, Tajwan i Korea Południowa

Materiały Departamentu Sprawiedliwości i NSA nie zawierają reakcji ze strony chińskiego rządu ani firmy Integrity Tech. W dokumentach opublikowanych przez obie agencje nie uwzględniono stanowiska drugiej strony. Wśród celów i poszkodowanych ujawnionych przez Departament Sprawiedliwości nie ma instytucji z Korei Południowej. W komunikacie Departamentu Sprawiedliwości wymieniono jednak Japońską Narodową Agencję Policji jako instytucję, która udzieliła „znacznej pomocy” w śledztwie, a japońskie lotniska znalazły się wśród celów skanowania.

Kolejne kroki

Departament Sprawiedliwości ujawnił oświadczenie pod przysięgą (affidavit) agenta FBI oraz nakaz zajęcia. Śledztwo prowadzone jest przez biura terenowe FBI w San Diego i Baltimore oraz Wydział Cybernetyczny FBI, a za oskarżenie odpowiadają Prokuratura USA dla Zachodniego Okręgu Pensylwanii oraz Wydział Cybernetyczny ds. Bezpieczeństwa Narodowego w Departamencie Sprawiedliwości. W obecnym komunikacie Departament Sprawiedliwości nie ogłosił zarzutów wobec konkretnych osób. Administratorzy sieci mogą przeprowadzić wewnętrzne kontrole, weryfikując wskaźniki kompromitacji (IoC) zawarte we wspólnym biuletynie.

Źródła

• Komunikat prasowy Biura Spraw Publicznych Departamentu Sprawiedliwości USA, 8 października 2026 r.: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• Komunikat prasowy Prokuratury USA dla Zachodniego Okręgu Pensylwanii, 8 października 2026 r.: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• Komunikat prasowy Agencji Bezpieczeństwa Narodowego USA, 8 października 2026 r.: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• Wspólny biuletyn cyberbezpieczeństwa CISA, FBI, NSA i partnerów AA26-281A, 8 października 2026 r.: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• Komunikat prasowy Biura Spraw Publicznych Departamentu Sprawiedliwości USA, 18 września 2024 r. (neutralizacja botnetu Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• Wszystkie wpisy w serwisie X cytowane w tekście pochodzą z oficjalnych kont instytucji rządowych.