Departamentul de Justiție al SUA și FBI confiscă 7 domenii asociate instrumentelor de hacking ale contractorului guvernului chinez „Integrity Tech”... Circa 20 de universități taiwaneze confirmate ca victime

Departamentul de Justiție al SUA și Biroul Federal de Investigații (FBI) au întrerupt căile de acces la două instrumente de hacking operate de „Integrity Technology Group” (denumit în continuare „Integrity Tech”), o companie cu sediul în China care deține contracte cu guvernul chinez. Au fost confiscate 7 domenii de internet. În aceeași zi, Agenția Națională de Securitate (NSA), FBI, Agenția pentru Securitatea Cibernetică și a Infrastructurii (CISA) și agențiile partenere din țările aliate au emis un avertisment comun de securitate cibernetică (CSA) care sintetizează metodele hackerilor asociați cu această companie.

Această măsură nu reprezintă un anunț de inculpare împotriva unor persoane. Temeiul confiscării domeniilor îl constituie documentele judiciare făcute publice la Tribunalul Districtual Federal pentru Districtul de Vest din Pennsylvania, iar Departamentul de Justiție a descris conținutul documentelor nu ca fapte dovedite, ci drept „acuzații” (as alleged). Departamentul de Justiție a declarat într-un comunicat de presă emis la 8 octombrie 2026, ora Coastei de Est a SUA (9 octombrie, ora Coreei): „Prin confiscări autorizate de instanță, actorii cibernetici rău-intenționați au fost împiedicați să acceseze două instrumente de hacking denumite «Microscan» și «FishHub»”. Departamentul de Justiție a explicat că aceste instrumente au fost folosite „pentru a scana și, în unele cazuri, a compromite sisteme de infrastructură critică din Statele Unite și din străinătate”. De asemenea, Departamentul de Justiție a menționat că Integrity Tech „are contracte cu guvernul Republicii Populare Chineze”.

Divizia Cibernetică a FBI a declarat pe contul său oficial de pe X: „FBI și Departamentul de Justiție au neutralizat instrumentele de hacking utilizate de grupul de amenințări cibernetice «Flax Typhoon»”, adăugând că „au confiscat mai multe domenii și au blocat accesul la platformele utilizate pentru a scana și parțial a penetra infrastructura critică a SUA”.

https://x.com/FBICyberDiv/status/2108256413084422599

Ce se schimbă

Motivul pentru care această măsură este importantă este că guvernul SUA urmărește activitățile de hacking ale Chinei nu doar la nivel de „hackeri de stat”, ci la nivelul companiilor private contractate de guvern, deconectându-le echipamentele. Precedentul a avut loc în septembrie 2024. La acea vreme, Departamentul de Justiție a anunțat că a neutralizat, sub autorizarea instanței, un botnet malware Mirai operat de Integrity Tech. Departamentul de Justiție a declarat că acel botnet era compus din „peste 200.000 de dispozitive de consum din Statele Unite și din întreaga lume”. Această confiscare reprezintă „a doua perturbare tehnică publică” împotriva infrastructurii de hacking a Integrity Tech, conform Departamentului de Justiție.

Ce făceau cele două instrumente

Potrivit documentelor judiciare publicate de Departamentul de Justiție, Integrity Tech a creat și a utilizat un botnet format din dispozitive Internet of Things (IoT) infectate cu o variantă Mirai.

• Microscan: Este un instrument de recunoaștere și scanare a vulnerabilităților dezvoltat de Integrity Tech. Departamentul de Justiție a declarat că „clienții” acestei companii l-au folosit pentru a găsi vulnerabilități pe care să le exploateze ulterior. Printre țintele scanate dezvăluite de Departamentul de Justiție se numără o companie americană de utilități electrice din Carolina de Sud, organizații neguvernamentale (ONG-uri) multinaționale, aeroporturi din Japonia și Polonia, companii de infrastructură din domeniile gazelor naturale și energiei electrice din Taiwan, precum și două universități taiwaneze. Integrity Tech a accesat Microscan prin intermediul c0cc[.]cc, unul dintre domeniile confiscate.
• FishHub: Este un instrument de phishing direcționat (spear phishing). Potrivit Departamentului de Justiție, după infiltrarea inițială, acesta descărca malware suplimentar, care deschidea accesul neautorizat de la distanță sau căuta fișiere specifice și le trimitea către serverele de control ale Integrity Tech. Printre victimele confirmate menționate de Departamentul de Justiție se numără „circa 20 de universități taiwaneze”. Cinci dintre domeniile confiscate (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) au fost utilizate pentru distribuirea acestui malware.

Comunicatul de presă al Biroului Procurorului SUA pentru Districtul de Vest din Pennsylvania a precizat că ultimul domeniu rămas era conectat la un software neautorizat de administrare la distanță care conecta rețelele victimelor la serverele Integrity Tech.

Biroul Teritorial FBI din San Diego a anunțat pe contul său de X că a condus această investigație.

https://x.com/FBISanDiego/status/2108252514365653376

Avertismentul NSA: „Sectoarele afectate sunt extinse”

NSA a afirmat într-un comunicat de presă din aceeași zi că titlul avertismentului comun este „Actorii de amenințare cibernetică afiliați guvernului chinez combină instrumente automate și manuale de hacking pentru a sustrage date sensibile”. Citând din conținutul avertismentului, NSA a explicat că Integrity Tech „a permis actorilor de amenințare afiliați guvernului chinez să exploateze rețelele unor organizații din SUA și din străinătate din multiple sectoare, cum ar fi servicii și facilități guvernamentale, producție critică, asistență medicală și sănătate publică, precum și tehnologia informației”. Printre ținte s-au numărat agenții de aplicare a legii din SUA, instituții educaționale, grupuri religioase, precum și organizații din Asia de Sud-Est, Africa și America de Nord, a menționat NSA.

Contul oficial NSA Cyber a postat de asemenea: „Integrity Tech a permis actorilor de amenințare afiliați guvernului chinez să exploateze rețelele unor organizații din întreaga lume și să extragă date critice”. CISA a anunțat, de asemenea, pe contul său de X emiterea avertismentului împreună cu FBI.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

În ceea ce privește denumirile, NSA a precizat că unele dintre aceste tehnici corespund celor cunoscute în industrie sub numele de „Flax Typhoon”, „Storm-0919”, „Ethereal Panda” și „RedJuliette”. Acestea sunt denumiri atribuite de industria privată de securitate, iar guvernul SUA a restrâns sfera de aplicare precizând „unele (some)”.

Declarațiile oficialilor

John Eisenberg, asistent al procurorului general pentru securitate națională în cadrul Departamentului de Justiție, a declarat: „Statele Unite nu vor permite Chinei sau mandatarilor săi să acționeze în spațiul cibernetic împotriva intereselor SUA fără a fi pedepsiți”. Divizia de Securitate Națională a Departamentului de Justiție a postat, de asemenea, această declarație pe contul său oficial de pe X.

Troy Rivetti, procuror federal interimar pentru Districtul de Vest din Pennsylvania, a afirmat: „Această confiscare perturbă pentru a doua oară în doi ani o operațiune la scară largă a Integrity Tech”. Brett Leatherman, director adjunct al Diviziei Cibernetice a FBI, a declarat: „China depinde de contractori și companii de suport pentru a extinde sfera și amploarea activităților sale cibernetice malițioase”, adăugând că „prin expunerea și neutralizarea acestor facilitatori, facem mai dificil pentru China să vizeze rețelele și infrastructura din SUA”.

Secvența atacurilor dezvăluită de avertismentul comun AA26-281A

Numărul de identificare formal al avertismentului comun de securitate cibernetică publicat în aceeași zi este AA26-281A. Entitățile redactoare reprezintă o colaborare internațională formată din FBI, CISA și NSA, la care se adaugă Centrul Național de Securitate Cibernetică din Regatul Unit (NCSC-UK), Centrul de Securitate Cibernetică din cadrul Directoratului Australian de Semnale (ASD ACSC), Centrul Canadian pentru Securitate Cibernetică, Agenția Națională de Poliție și Biroul Național pentru Securitate Cibernetică din Japonia, Centrul Național de Securitate Cibernetică din Noua Zeelandă și Centrul Național de Informații din Spania (CNI). Avertismentul notează că punctul de plecare al analizei constă în probele tehnice obținute și observate de FBI în cadrul multiplelor anchete care vizează Integrity Tech. În timp ce confiscarea domeniilor de către Departamentul de Justiție este o măsură judiciară și penală, această notificare corespunde unui document tehnic care distribuie indicatori de compromitere și metodologii către apărători, derivate din aceeași investigație.

Faza de recunoaștere detaliată în avertisment este mai specifică decât comunicatul de presă al Departamentului de Justiție. Se consemnează că atacatorii folosesc instrumente de scanare disponibile public, precum BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe și wpscan, pentru a descoperi vulnerabilități în rețele și aplicații web. Porturile vizate cu predilecție sunt 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) și 1080 (SOCKS). În ceea ce privește Microscan, avertismentul menționează că a fost utilizat începând din jurul anului 2017 și conținea peste 1.300 de scripturi de teste de penetrare concepute pentru identificarea unor vulnerabilități specifice în cadrul unei aplicații web bazate pe Python. Serviciile vizate de scripturi au inclus OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins și Apache Struts.

Metodele de penetrare inițială și de persistență sunt de asemenea descrise etapizat. Avertismentul precizează că FBI a recuperat sarcini utile (payloads) prin care atacatorii efectuau atacuri de tip Cross-Site Scripting (XSS) folosind JavaScript și HTML pentru a afișa câmpuri de introducere a numelui de utilizator și a parolei, furând astfel acreditările. Un alt instrument, EBurst, execută atacuri de tip password spraying și ghicire de parole împotriva serverelor Microsoft Exchange, utilizând drept vectori de atac zece interfețe, inclusiv Exchange Control Panel (ECP), Exchange Web Services (EWS), Offline Address Book (OAB) și Outlook Web Access (OWA). După compromitere, conform analizei avertismentului, atacatorii descărcau pe dispozitivul victimei fișierul de instalare al unui software VPN legitim, SoftEther, configurându-l să se reconecteze automat la pornire și redenumind fișierele cu nume comune de executabile Windows, precum conhost.exe sau dllhost.exe, pentru a evita detectarea.

În faza de colectare a datelor, avertismentul explică faptul că un fișier numit DC.exe a executat tehnica de replicare Active Directory (AD) DCSync pentru a copia acreditările de conturi, componența grupurilor și informațiile despre relațiile de încredere. Scriptul PHP Curlc4.txt a fost conceput pentru a accesa API-ul Microsoft EWS, a extrage conținut precum e-mailuri, calendare și contacte, iar apoi, după comprimare sau criptare cu RC4 sau AES-128-CBC, să le încarce pe un server la distanță. Un utilitar în linie de comandă numit office-cli a fost utilizat pentru a accesa în mod repetat conturi Outlook 365 și a sustrage e-mailuri pe anumite intervale de timp. Avertismentul consemnează, de asemenea, că printre cazurile confirmate de furt de date de e-mail s-au numărat organizații guvernamentale, forțe de ordine, sisteme de sănătate și instituții religioase din Asia de Sud-Est, iar în unele cazuri accesul la datele sustrase a fost restricționat strict la adrese IP provenind din Xiamen, China. Aceste detalii metodologice completează descrierea „FishHub” din comunicatul Departamentului de Justiție, însă amploarea confirmată de aproximativ 20 de universități taiwaneze nu ar trebui extrapolat la toate cazurile din avertisment.

Măsuri recomandate pentru verificare imediată de către apărători

Instrucțiunile de apărare din avertisment depășesc un simplu apel la prudență generală. Agențiile autoare recomandă dezactivarea serviciilor și porturilor neutilizate și reducerea la minimum a informațiilor expuse la solicitări externe de către paginile de autentificare și bannere. Se specifică validarea datelor de intrare în aplicațiile web pentru a preveni injectarea sarcinilor utile XSS și aplicarea autentificării multifactoriale (MFA) pe toate serviciile, concentrându-se pe conturile de webmail, VPN și acces la sisteme critice. De asemenea, sunt incluse directive privind schimbarea parolelor implicite cu parole puternice, limitarea și auditarea conturilor cu privilegii de administrator prin aplicarea principiului privilegiului minim, precum și activarea verificării reputației descărcărilor și domeniilor în browsere și utilizarea DNS-ului protejat.

În secțiunea de corecții (patch-uri), opt vulnerabilități confirmate ca având cazuri reale de exploatare reușită au fost prezentate într-un tabel: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 și CVE-2023-22894. Avertismentul indică faptul că unele dintre acestea sunt elemente nou adăugate în catalogul CISA al vulnerabilităților exploatate cunoscute (KEV). Pe partea de detectare, se solicită monitorizarea semnelor de utilizare neautorizată a tehnicilor „living-off-the-land” care abuzează de instrumente legitime de sistem, a replicării AD neașteptate, a traficului anormal de scanare și încărcare, precum și a conectărilor în afara orelor de program și a sesiunilor simultane imposibile din punct de vedere fizic. Planul de recuperare prevede păstrarea mai multor copii ale datelor sensibile și ale serverelor în locații fizic separate și securizate, precum și protejarea prin parolă a copiilor de rezervă offline.

Avertismentul detaliază și succesiunea acțiunilor în caz de suspiciune de compromitere: izolarea sau trecerea offline a gazdelor confirmate ca fiind infectate, colectarea jurnalelor și a artefactelor pentru a identifica metodele atacatorilor, amploarea infecției și cronologia activității, urmate de raportarea conform ghidurilor naționale și aplicarea măsurilor de remediere/evacuare pentru a consolida rețeaua. Ca puncte de contact pentru raportare destinate organizațiilor americane, au fost indicate Internet Crime Complaint Center (IC3) al FBI, birourile locale competente ale FBI și Centrul de Operațiuni CISA deschis 24/7 (contact@cisa.dhs.gov, 1-844-Say-CISA). Adresa pentru solicitări privind ghidurile de securitate cibernetică ale NSA este CybersecurityReports@nsa.gov. Instituțiile sud-coreene nu sunt menționate ca ținte directe de raportare în acest avertisment.

Diferența dintre neutralizarea botnetului din 2024 și această confiscare

La 18 septembrie 2024, Departamentul de Justiție a anunțat că, printr-o operațiune autorizată de instanță, a neutralizat un botnet de peste 200.000 de dispozitive de consum din SUA și din întreaga lume. Dispozitivele infectate la acea vreme erau routere destinate birourilor mici și de acasă (SOHO), camere IP, înregistratoare video digitale (DVR) și echipamente de stocare atașate la rețea (NAS). Departamentul de Justiție a arătat că Integrity Tech a controlat dispozitivele infectate printr-o aplicație online denumită „KRLab”, oferind un meniu de comenzi malițioase printr-un utilitar numit „vulnerability-arsenal”. Operațiunea autorizată de instanță a constat în preluarea infrastructurii atacatorilor și trimiterea ulterioară, prin respectiva infrastructură, a unor comenzi de dezactivare către malware-ul de pe dispozitivele infectate; în timpul operațiunii a existat o încercare de perturbare de tip DDoS (Distributed Denial of Service) îndreptată împotriva infrastructurii de remediere a FBI, însă aceasta a eșuat, a precizat Departamentul de Justiție.

Măsura actuală din 2026 reprezintă o continuare a acestor eforturi, dar mai degrabă decât să utilizeze aceeași abordare, vizează o țintă mai restrânsă. În 2024, accentul s-a pus pe trimiterea de comenzi direct dispozitivelor de consum compromise pentru a întrerupe conexiunea cu botnetul, FBI testând în prealabil comenzile pentru a se asigura că acestea nu afectau funcționarea normală a dispozitivelor și nu colectau informații de conținut, urmând ca proprietarii dispozitivelor din SUA să fie notificați prin intermediul furnizorilor de servicii de internet. În 2026, atenția s-a concentrat pe confiscarea a șapte căi de acces la instrumente: un domeniu de acces la Microscan, cinci domenii asociate cu FishHub și un domeniu de conexiune pentru administrare de la distanță. Procurorii responsabili de caz sunt procurorul federal asistent Brendan McKenna din cadrul Biroului Procurorului SUA pentru Districtul de Vest din Pennsylvania și procurorul Jack Singer-Emery din cadrul Secției de Securitate Națională și Cibernetică a Diviziei de Securitate Națională din Departamentul de Justiție, beneficiind de un sprijin substanțial din partea procurorului asistent Thomas Sullivan din Districtul Maryland și a Agenției Naționale de Poliție din Japonia, conform Departamentului de Justiție. Agentul special Mark Remily de la Biroul Teritorial FBI din San Diego a declarat de asemenea: „Vom mobiliza toate autoritățile de investigație alături de partenerii noștri de aplicare a legii”, aceasta fiind poziția șefului biroului teritorial, exprimată în comunicatele de presă ale parchetului și sediului central, distinct de declarațiile procurorului Rivetti și directorului adjunct Leatherman citate anterior.

China, Taiwan și Coreea de Sud

Materialele Departamentului de Justiție și ale NSA nu conțin reacții din partea guvernului chinez sau a Integrity Tech. Documentele publicate de cele două agenții nu includ poziția părții adverse. Instituțiile sud-coreene nu figurează pe lista de ținte sau victime publicată de Departamentul de Justiție. Cu toate acestea, Agenția Națională de Poliție din Japonia a fost menționată în comunicatul de presă al Departamentului de Justiție drept o instituție care a acordat un „ajutor substanțial” în anchetă, iar aeroporturi din Japonia au fost incluse printre țintele scanărilor.

Următorii pași

Departamentul de Justiție a făcut publice declarația pe proprie răspundere (affidavit) a FBI și mandatul de confiscare. Investigația este gestionată de birourile teritoriale FBI din San Diego și Baltimore și de Divizia Cibernetică a FBI, iar urmărirea penală este asigurată de Biroul Procurorului SUA pentru Districtul de Vest din Pennsylvania și de Secția de Securitate Națională și Cibernetică a Diviziei de Securitate Națională din cadrul Departamentului de Justiție. Departamentul de Justiție nu a anunțat inculparea unor persoane în acest comunicat. Administratorii de rețea pot efectua propriile verificări prin confruntarea indicatorilor de compromitere (IoC) din avertismentul comun.

Surse

• Comunicat de presă al Biroului de Afaceri Publice al Departamentului de Justiție al SUA, 8 octombrie 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• Comunicat de presă al Biroului Procurorului SUA pentru Districtul de Vest din Pennsylvania, Departamentul de Justiție al SUA, 8 octombrie 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• Comunicat de presă al Agenției Naționale de Securitate a SUA, 8 octombrie 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• Avertisment comun de securitate cibernetică CISA·FBI·NSA și alții AA26-281A, 8 octombrie 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• Comunicat de presă al Biroului de Afaceri Publice al Departamentului de Justiție al SUA, 18 septembrie 2024 (neutralizarea botnetului Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• Toate postările de pe X citate în text provin de pe conturile oficiale ale unor agenții guvernamentale.