Departamento de Justiça dos EUA e FBI apreendem 7 domínios de ferramentas de hacking da 'Integrity Tech', contratada do governo chinês; cerca de 20 universidades taiwanesas são confirmadas como vítimas
O Departamento de Justiça dos EUA e o Federal Bureau of Investigation (FBI) cortaram as vias de acesso a duas ferramentas de hacking operadas pela 'Integrity Technology Group' (doravante Integrity Tech), uma empresa sediada na China e contratada pelo governo chinês. Foram apreendidos sete domínios de internet. No mesmo dia, a Agência de Segurança Nacional (NSA), o FBI, a Cybersecurity and Infrastructure Security Agency (CISA) e agências de nações aliadas emitiram um comunicado conjunto de cibersegurança (CSA) detalhando as táticas dos hackers ligados a essa empresa.
A medida não constitui o anúncio de acusações formais contra indivíduos. A base para a apreensão dos domínios reside em documentos judiciais tornados públicos no Tribunal Distrital Federal do Distrito Ocidental da Pensilvânia, e o Departamento de Justiça descreveu o teor desses documentos não como fatos consumados, mas como "alegações (as alleged)". Em comunicado à imprensa divulgado em 8 de outubro de 2026, no horário da costa leste dos EUA (9 de outubro no fuso horário da Coreia do Sul), o Departamento de Justiça declarou que "por meio de apreensões autorizadas pela justiça, impediu que atores cibernéticos maliciosos tivessem acesso a duas ferramentas de hacking denominadas 'Microscan' e 'FishHub'". O Departamento de Justiça explicou que essas ferramentas "foram utilizadas para escanear e, em alguns casos, invadir sistemas de infraestrutura crítica nos Estados Unidos e no exterior". O Departamento de Justiça observou ainda que a Integrity Tech "mantém contratos com o governo da República Popular da China".
A Divisão Cibernética do FBI declarou em sua conta oficial no X que "o FBI e o Departamento de Justiça neutralizaram ferramentas de hacking utilizadas pelo grupo de ameaças cibernéticas 'Flax Typhoon'", acrescentando que "apreenderam múltiplos domínios e bloquearam o acesso a plataformas usadas para escanear e, em alguns casos, infiltrar infraestruturas críticas dos Estados Unidos".
https://x.com/FBICyberDiv/status/2108256413084422599
O que muda
A relevância desta ação reside no fato de o governo dos Estados Unidos estar rastreando e desmantelando equipamentos de hacking chineses não apenas a nível de "hackers estatais", mas também ao nível de empresas privadas contratadas pelo governo. O precedente ocorreu em setembro de 2024, quando o Departamento de Justiça anunciou a neutralização autorizada judicialmente de uma botnet de malware Mirai operada pela Integrity Tech. Na época, o Departamento de Justiça informou que a referida botnet consistia em "mais de 200.000 dispositivos de consumo nos Estados Unidos e em todo o mundo". Esta nova apreensão representa a "segunda neutralização técnica pública" contra a infraestrutura de hacking da Integrity Tech revelada pelo Departamento de Justiça.
O que faziam as duas ferramentas
De acordo com os documentos judiciais divulgados pelo Departamento de Justiça, a Integrity Tech criou e utilizou uma botnet composta por dispositivos da Internet das Coisas (IoT) infectados com variantes do Mirai.
- Microscan: Uma ferramenta de reconhecimento e varredura de vulnerabilidades desenvolvida pela Integrity Tech. O Departamento de Justiça informou que os "clientes" da empresa a utilizavam para identificar vulnerabilidades destinadas a exploração posterior. Entre os alvos escaneados revelados pelo Departamento de Justiça estão uma concessionária de energia elétrica dos EUA na Carolina do Sul, uma organização não governamental (ONG) multinacional, aeroportos no Japão e na Polônia, empresas de infraestrutura de gás natural e energia elétrica em Taiwan, além de duas universidades taiwanesas. A Integrity Tech acessava o Microscan por meio de um dos domínios apreendidos, c0cc[.]cc.
- FishHub: Uma ferramenta de phishing direcionado (spear phishing). Segundo o Departamento de Justiça, após a invasão inicial, ela possibilitava o download de malwares adicionais que abriam acesso remoto não autorizado ou localizavam arquivos específicos e os enviavam aos servidores de comando e controle da Integrity Tech. Entre as vítimas confirmadas identificadas pelo Departamento de Justiça estão "aproximadamente 20 universidades de Taiwan". Cinco dos domínios apreendidos (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) foram empregados na distribuição desse malware.
O comunicado da Procuradoria Federal do Distrito Ocidental da Pensilvânia afirmou que o domínio restante estava vinculado a um software de gerenciamento remoto não autorizado que conectava as redes das vítimas aos servidores da Integrity Tech.
O escritório do FBI em San Diego anunciou em sua conta no X que liderou a investigação.
https://x.com/FBISanDiego/status/2108252514365653376
Comunicado da NSA: "Amplo escopo de setores afetados"
A NSA informou em comunicado divulgado no mesmo dia que o título da recomendação conjunta é "Atores de Ameaça Cibernética Vinculados ao Governo Chinês Combinam Ferramentas de Hacking Automatizadas e Manuais para Roubar Dados Sensíveis". Citando o conteúdo do comunicado, a NSA explicou que a Integrity Tech "permitiu que atores de ameaça vinculados ao governo chinês explorassem redes de organizações norte-americanas e estrangeiras em múltiplos setores, incluindo serviços e instalações governamentais, manufatura crítica, saúde e saúde pública, e tecnologia da informação". A NSA apontou que os alvos também incluíram órgãos de aplicação da lei, instituições educacionais e entidades religiosas dos Estados Unidos, bem como organizações no Sudeste Asiático, África e América do Norte.
A conta oficial da NSA Cyber também publicou que "a Integrity Tech capacitou atores de ameaça vinculados ao governo chinês a explorar redes de organizações em escala global e a extrair dados essenciais". A CISA igualmente anunciou em sua conta no X a publicação do comunicado em conjunto com o FBI.
https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869
Em relação às designações, a NSA declarou que algumas dessas atividades coincidem com técnicas atribuídas no setor aos grupos conhecidos como 'Flax Typhoon', 'Storm 919', 'Ethereal Panda' e 'Red Juliet'. Esses nomes foram cunhados pelo setor privado de segurança cibernética, tendo o governo norte-americano delimitado o escopo ao qualificar como apenas "algumas (some)".
Declarações de autoridades
John Eisenberg, Procurador-Geral Adjunto de Segurança Nacional do Departamento de Justiça, declarou: "Os Estados Unidos não permitirão que a China ou seus intermediários operem no ciberespaço contra os interesses norte-americanos com impunidade". A Divisão de Segurança Nacional do Departamento de Justiça também publicou essa declaração em sua conta oficial no X.
Troy Rivetti, Procurador Federal do Distrito Ocidental da Pensilvânia, declarou: "Esta apreensão marca a segunda vez em dois anos que neutralizamos uma grande operação da Integrity Tech". Brett Leatherman, Diretor-Assistente da Divisão Cibernética do FBI, afirmou: "A China recorre a prestadores de serviços e empresas de suporte para expandir o alcance e a escala de suas atividades cibernéticas maliciosas. Ao expor e neutralizar esses facilitadores, tornamos mais difícil para a China atingir redes e infraestruturas norte-americanas".
Sequência de ataques revelada no comunicado conjunto AA26-281A
O comunicado conjunto de cibersegurança divulgado no mesmo dia possui o identificador oficial AA26-281A. As entidades signatárias compõem uma autoria internacional conjunta: além de FBI, CISA e NSA, constam o National Cyber Security Centre do Reino Unido (NCSC-UK), o Australian Cyber Security Centre da Australian Signals Directorate (ASD ACSC), o Canadian Centre for Cyber Security, a Agência Nacional de Polícia e o Gabinete Nacional de Cibersegurança do Japão, o National Cyber Security Centre da Nova Zelândia e o Centro Nacional de Inteligência da Espanha (CNI). O comunicado observa que o ponto de partida da análise reside em evidências técnicas obtidas e observadas em múltiplas investigações do FBI relacionadas à Integrity Tech. Enquanto a apreensão de domínios pelo Departamento de Justiça representa uma medida de âmbito penal e judicial, este comunicado constitui um documento técnico que distribui indicadores de comprometimento e táticas extraídas dessas mesmas investigações aos responsáveis pela defesa de redes.
A fase de reconhecimento detalhada no comunicado é mais específica do que o comunicado à imprensa do Departamento de Justiça. Registra-se que os invasores empregam ferramentas públicas de varredura como BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe e wpscan para identificar vulnerabilidades em redes e aplicações web. As portas visadas com mais frequência são a 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) e 1080 (SOCKS). Quanto ao Microscan, o documento relata que ele vinha sendo usado desde por volta de 2017 e que a aplicação web baseada em Python continha mais de 1.300 scripts de testes de intrusão destinados a localizar vulnerabilidades específicas. Entre os serviços visados por esses scripts figuravam OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins e Apache Struts.
Os métodos de intrusão inicial e persistência também são descritos passo a passo. O comunicado revela que o FBI recuperou payloads em que os invasores executavam ataques de cross-site scripting (XSS) com JavaScript e HTML para exibir caixas de entrada de nome de usuário e senha, com o objetivo de roubar credenciais. Outra ferramenta, a EBurst, executava ataques de password spraying e adivinhação de senhas contra servidores Microsoft Exchange, utilizando dez interfaces como vetores de ataque, entre as quais o Exchange Control Panel (ECP), o Exchange Web Services (EWS), o Offline Address Book (OAB) e o Outlook Web Access (OWA). Conforme a análise do comunicado, após a intrusão, arquivos de instalação do software legítimo de VPN SoftEther eram descarregados no dispositivo da vítima e configurados para reconectar-se automaticamente na inicialização, enquanto os nomes de arquivo eram alterados para executáveis comuns do Windows, como conhost.exe ou dllhost.exe, visando contornar a detecção.
Na etapa de coleta de dados, o comunicado relata que um arquivo denominado DC.exe executava a técnica de replicação do Active Directory (AD) DCSync para duplicar credenciais de contas, configurações de grupo e dados de relações de confiança. O script em PHP Curlc4.txt foi projetado para acessar a API do Microsoft EWS, extrair conteúdos como e-mails, calendários e contatos, e, após compactá-los ou criptografá-los com RC4 ou AES-128-CBC, carregá-los em servidores remotos. Uma ferramenta de linha de comando chamada office-cli foi empregada para acessar repetidamente contas do Outlook 365 e extrair e-mails por período. O comunicado observa ainda que os casos confirmados de roubo de dados de e-mail incluíram organizações governamentais, órgãos policiais, sistemas de saúde e entidades religiosas no Sudeste Asiático, sendo que em certos incidentes o acesso aos dados exfiltrados restringia-se exclusivamente a endereços IP originários de Xiamen, na China. Esses procedimentos detalhados complementam a descrição do 'FishHub' feita no comunicado do Departamento de Justiça, mas a proporção de vítimas confirmadas citada como cerca de 20 universidades taiwanesas não deve ser generalizada para todos os episódios descritos no comunicado.
Itens recomendados para inspeção imediata pelos defensores de rede
As diretrizes de defesa apresentadas no comunicado vão além de simples alertas genéricos. As agências autoras recomendam desativar serviços e portas não utilizados, além de minimizar as informações expostas por páginas de login e banners a requisições externas. Foi também especificada a aplicação de validação de entradas em aplicações web para impedir a injeção de payloads de XSS, bem como a implementação de autenticação multifator (MFA) em todos os serviços, concentrando-se em webmails, VPNs e contas de acesso a sistemas críticos. Constam ainda orientações para substituir senhas padrão por senhas fortes, restringir e auditar contas com privilégios de administrador aplicando o princípio do menor privilégio, e habilitar a verificação de reputação de downloads e domínios nos navegadores, assim como DNS protegido.
No tocante à aplicação de patches, o documento apresenta em tabela oito vulnerabilidades com exploração bem-sucedida confirmada: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 e CVE-2023-22894. O comunicado indica que parte delas foi recentemente incluída no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) da CISA. Na frente de detecção, recomenda-se monitorar sinais de uso não autorizado de técnicas "living-off-the-land" (que abusam de ferramentas legítimas do sistema), replicações inesperadas do AD, tráfego anormal de varredura e upload, logins fora do horário de expediente e acessos simultâneos fisicamente impossíveis. Para planos de recuperação, inclui-se a manutenção de múltiplas cópias de dados confidenciais e servidores em locais fisicamente separados e seguros, com a proteção de cópias de backup offline por senha.
O comunicado também estipula a ordem de resposta em caso de suspeita de comprometimento: isolar os hosts confirmados como infectados ou desconectá-los da rede, reunir logs e artefatos para determinar as táticas do invasor, a extensão do comprometimento e o cronograma de atividades, reportar o incidente conforme as diretrizes nacionais e aplicar medidas de remediação e erradicação para fortalecer a rede. Como canais de denúncia para organizações norte-americanas, foram indicados o Internet Crime Complaint Center (IC3) do FBI, os escritórios regionais competentes do FBI e o centro de operações 24 horas da CISA (contact@cisa.dhs.gov, 1-844-Say-CISA). O endereço de contato para orientações de cibersegurança da NSA é CybersecurityReports@nsa.gov. Órgãos sul-coreanos não constam como destinatários diretos para denúncias no comunicado.
Diferenças entre a neutralização da botnet em 2024 e a presente apreensão
Em 18 de setembro de 2024, o Departamento de Justiça anunciou que uma operação autorizada pela justiça neutralizou uma botnet de mais de 200.000 dispositivos de consumo nos Estados Unidos e ao redor do mundo. Os dispositivos infectados na ocasião eram roteadores de pequenos escritórios e residências (SOHO), câmeras IP, gravadores de vídeo digital (DVR) e dispositivos de armazenamento em rede (NAS). O Departamento de Justiça detalhou que a Integrity Tech controlava os equipamentos infectados por meio de uma aplicação online sob a marca 'KRLab' e disponibilizava um menu de comandos maliciosos através de uma ferramenta denominada 'vulnerability-arsenal'. A operação judicial assumiu o controle da infraestrutura dos hackers para enviar comandos de desativação ao malware instalado nos dispositivos atingidos; durante a operação, foi tentado sem sucesso um ataque de negação de serviço distribuído (DDoS) voltado a desestabilizar a infraestrutura de remediação do FBI.
A ação atual de 2026 constitui um desdobramento dessa iniciativa anterior, porém, mais do que seguir o mesmo modelo, apresenta um escopo mais delimitado. Em 2024, o foco recaiu sobre o envio de comandos aos próprios dispositivos de consumo infectados para interromper a conexão com a botnet; o FBI havia realizado testes prévios para assegurar que as instruções não comprometeriam o funcionamento regular dos aparelhos nem coletariam conteúdos de dados, comprometendo-se a notificar os proprietários dos aparelhos nos EUA por meio de seus provedores de internet. Em 2026, a atenção concentrou-se na apreensão de sete vias de acesso às ferramentas: um domínio de acesso ao Microscan, cinco domínios vinculados ao FishHub e um associado a conexões de gerenciamento remoto. A condução da acusação está a cargo do Procurador Federal Assistente Brendan McKenna, da Procuradoria do Distrito Ocidental da Pensilvânia, e do Procurador Jack Singer-Emery, da Seção Cibernética de Segurança Nacional da Divisão de Segurança Nacional do Departamento de Justiça, com apoio substancial do Procurador Federal Assistente Thomas Sullivan, do Distrito de Maryland, e da Agência Nacional de Polícia do Japão. O Agente Especial Mark Remily, da divisão do FBI em San Diego, também declarou que "mobilizará todos os poderes investigativos em conjunto com parceiros de aplicação da lei", posicionamento do chefe regional constante dos comunicados da procuradoria e da sede, paralelo às declarações do procurador Rivetti e do diretor-assistente Leatherman mencionadas anteriormente.
China, Taiwan e Coreia do Sul
Os materiais do Departamento de Justiça e da NSA não contêm manifestações do governo chinês ou da Integrity Tech. As informações divulgadas por ambas as agências não trazem o posicionamento da outra parte. As instituições sul-coreanas não figuram na lista de alvos e vítimas divulgada pelo Departamento de Justiça. No entanto, a Agência Nacional de Polícia do Japão foi citada no comunicado do Departamento de Justiça como tendo prestado "apoio substancial" à investigação, e aeroportos japoneses constaram entre os alvos de varredura.
Próximos passos
O Departamento de Justiça tornou públicos a declaração juramentada (affidavit) do FBI e os mandados de apreensão. A investigação é conduzida pelas divisões do FBI em San Diego e Baltimore juntamente com a Divisão Cibernética do FBI, enquanto a ação penal compete à Procuradoria do Distrito Ocidental da Pensilvânia e à Seção Cibernética de Segurança Nacional da Divisão de Segurança Nacional do Departamento de Justiça. O Departamento de Justiça não anunciou acusações contra pessoas físicas nesta divulgação. Administradores de rede podem verificar seus sistemas comparando-os com os indicadores de comprometimento (IoC) disponibilizados no comunicado conjunto.
Fontes
- Comunicado de imprensa da Assessoria de Assuntos Públicos do Departamento de Justiça dos EUA, 8 de outubro de 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- Comunicado de imprensa da Procuradoria do Distrito Ocidental da Pensilvânia do Departamento de Justiça dos EUA, 8 de outubro de 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
- Comunicado de imprensa da Agência de Segurança Nacional dos EUA, 8 de outubro de 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
- Comunicado conjunto de cibersegurança AA26-281A da CISA, FBI, NSA e parceiros, 8 de outubro de 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- Comunicado de imprensa da Assessoria de Assuntos Públicos do Departamento de Justiça dos EUA, 18 de setembro de 2024 (neutralização da botnet da Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
- Todas as publicações do X citadas no texto provêm de contas oficiais de órgãos governamentais.