Минюст США и ФБР изъяли 7 доменов хакерских инструментов китайского господрядчика Integrity Tech: подтвержден ущерб около 20 университетам Тайваня

Министерство юстиции США и Федеральное бюро расследований (ФБР) перекрыли каналы доступа к двум хакерским инструментам, находившимся под управлением китайской компании Integrity Technology Group (далее — Integrity Tech), заключившей контракт с правительством КНР. Было конфисковано 7 интернет-доменов. В тот же день Агентство национальной безопасности (АНБ), ФБР, Агентство по кибербезопасности и защите инфраструктуры (CISA) и профильные ведомства стран-союзников выпустили совместное оповещение по кибербезопасности (CSA), обобщившее методы хакеров, связанных с этой компанией.

Данные меры не являются объявлением о предъявлении обвинений конкретным лицам. Основанием для конфискации доменов послужили судебные материалы, обнародованные в Окружном суде США по Западному округу Пенсильвании, при этом Минюст охарактеризовал изложенные в них сведения не как установленный факт, а как «предполагаемые обстоятельства» (as alleged). В пресс-релизе, опубликованном 8 октября 2026 года по североамериканскому восточному времени (9 октября по корейскому времени), Минюст сообщил, что «посредством санкционированной судом конфискации злоумышленникам был заблокирован доступ к двум хакерским инструментам — Microscan и FishHub». В министерстве пояснили, что эти средства «использовались для сканирования, а в ряде случаев и взлома систем критической инфраструктуры США и зарубежных государств». Минюст также указал, что Integrity Tech «заключила контракты с правительством Китайской Народной Республики».

Киберподразделение ФБР сообщило на своей официальной странице в сети X, что «ФБР и Министерство юстиции нейтрализовали хакерские инструменты, которые использовались группировкой киберугроз Flax Typhoon», добавив: «Мы конфисковали несколько доменов и заблокировали доступ к платформе, использовавшейся для сканирования и в некоторых случаях проникновения в объекты критической инфраструктуры США».

https://x.com/FBICyberDiv/status/2108256413084422599

Что изменится

Важность нынешних мер заключается в том, что правительство США отслеживает китайскую хакерскую активность не только на уровне «государственных хакеров», но и на уровне частных компаний, работающих по госконтрактам, и выводит из строя их инфраструктуру. Прецедент был создан в сентябре 2024 года. Тогда Министерство юстиции объявило, что с санкции суда ликвидировало ботнет на базе вредоносного ПО Mirai, находившийся под управлением Integrity Tech. В ведомстве уточнили, что этот ботнет насчитывал «более 200 000 потребительских устройств в США и по всему миру». Нынешняя конфискация представляет собой «вторую публичную техническую нейтрализацию» хакерской инфраструктуры Integrity Tech, о которой заявило министерство.

Для чего применялись эти два инструмента

Согласно судебным материалам, опубликованным Минюстом, Integrity Tech создавала и эксплуатировала ботнет на базе устройств интернета вещей (IoT), зараженных модификацией Mirai.

• Microscan: инструмент разведки и сканирования уязвимостей, разработанный Integrity Tech. Минюст заявил, что «клиенты» компании использовали его для выявления уязвимостей с целью их последующей эксплуатации. Среди объектов сканирования, раскрытых министерством, значатся американская энергетическая компания в Южной Каролине, международная неправительственная организация (НПО), аэропорты в Японии и Польше, предприятия газовой и энергетической инфраструктуры Тайваня, а также два тайваньских университета. Доступ к Microscan Integrity Tech осуществляла через один из конфискованных доменов — c0cc[.]cc.
• FishHub: инструмент целевого фишинга (спирфишинга). По данным Минюста, после первоначального проникновения он обеспечивал загрузку дополнительного вредоносного ПО, которое предоставляло несанкционированный удаленный доступ или находило определенные файлы и отправляло их на сервер управления Integrity Tech. Среди подтвержденных пострадавших, названных Минюстом, фигурируют «около 20 университетов Тайваня». Пять конфискованных доменов (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) применялись для распространения этого вредоносного кода.

В пресс-релизе Федеральной прокуратуры Западного округа Пенсильвании указано, что оставшийся домен был связан с несанкционированным программным обеспечением удаленного администрирования, подключавшим сети жертв к серверам Integrity Tech.

Полевой офис ФБР в Сан-Диего сообщил в своем аккаунте в сети X, что руководил данным расследованием.

https://x.com/FBISanDiego/status/2108252514365653376

Оповещение АНБ: «Широкий спектр пострадавших отраслей»

В тот же день АНБ сообщило в пресс-релизе, что совместное оповещение озаглавлено «Связанные с правительством Китая киберугрожающие субъекты сочетают автоматизированные и ручные хакерские инструменты для кражи конфиденциальных данных». Ссылаясь на содержание документа, АНБ пояснило, что Integrity Tech «позволила связанным с властями КНР злоумышленникам эксплуатировать сети американских и зарубежных организаций в различных отраслях, включая государственные службы и объекты, ключевые производственные мощности, здравоохранение и общественную медицину, а также сферу информационных технологий». В АНБ отметили, что целями атак также становились правоохранительные органы, учебные заведения и религиозные организации США, а также структуры в Юго-Восточной Азии, Африке и Северной Америке.

Официальный аккаунт АНБ по кибербезопасности также разместил сообщение: «Integrity Tech позволила связанным с правительством КНР злоумышленникам эксплуатировать сети организаций по всему миру и похищать критически важные данные». CISA также уведомило в сети X, что выпустило оповещение совместно с ФБР.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

Касательно используемых обозначений АНБ указало, что некоторые из них совпадают с методами, известными в отрасли под именами Flax Typhoon, Storm 919, Ethereal Panda и Red Juliet. Эти наименования присвоены коммерческими компаниями в сфере информационной безопасности, при этом американское правительство ограничило формулировку словом «некоторые» (some).

Заявления официальных лиц

Помощник генерального прокурора США по национальной безопасности Джон Айзенберг заявил: «Соединенные Штаты не позволят Китаю или его доверенным лицам действовать в киберпространстве против интересов США и оставаться безнаказанными». Управление национальной безопасности Минюста также опубликовало данное заявление в своем официальном аккаунте в сети X.

Федеральный прокурор Западного округа Пенсильвании Трой Риветти (Troy Rivetti) заявил: «Данная конфискация представляет собой нейтрализацию масштабной операции Integrity Tech — уже вторую за два года». Заместитель директора Киберподразделения ФБР Бретт Летерман (Brett Leatherman) отметил: «Китай опирается на подрядчиков и вспомогательные организации, чтобы наращивать масштабы и охват своей вредоносной киберактивности. Разоблачая и нейтрализуя таких пособников, мы существенно затрудняем для Китая атаки на американские сети и инфраструктуру».

Последовательность атак, раскрытая в совместном оповещении AA26-281A

Официальный номер совместного оповещения по кибербезопасности, обнародованного в тот же день, — AA26-281A. Документ подготовлен совместно ФБР, CISA и АНБ, а также международными партнерами: Национальным центром кибербезопасности Великобритании (NCSC-UK), Центром кибербезопасности Управления радиотехнической обороны Австралии (ASD ACSC), Канадским центром кибербезопасности, Национальным полицейским агентством и Управлением национальной кибербезопасности Японии, Национальным центром кибербезопасности Новой Зеландии и Национальным разведывательным центром Испании (CNI). В документе отмечается, что основой для анализа послужили технические улики, полученные и зафиксированные ФБР в рамках серии расследований деятельности Integrity Tech. Если конфискация доменов Минюстом относится к мерам уголовно-процессуального и судебного характера, то само оповещение представляет собой техническое руководство, содержащее индикаторы компрометации и описание методов для специалистов по защите.

Этап разведки описан в оповещении более подробно, чем в пресс-релизе Министерства юстиции. В документе указано, что злоумышленники применяли общедоступные инструменты сканирования, такие как BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe и wpscan, для поиска уязвимостей в сетях и веб-приложениях. В основном проверялись порты 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) и 1080 (SOCKS). Относительно инструмента Microscan сообщается, что он использовался ориентировочно с 2017 года, а в веб-приложении на базе Python содержалось свыше 1300 скриптов тестирования на проникновение для выявления конкретных уязвимостей. В число сервисов, на которые были нацелены эти скрипты, входили OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins и Apache Struts.

В документе также пошагово описаны механизмы первоначального проникновения и закрепления в системе. В оповещении сообщается, что ФБР перехватило полезную нагрузку, при помощи которой злоумышленники посредством атак межсайтового скриптинга (XSS) с применением JavaScript и HTML вызывали отображение полей ввода логина и пароля для перехвата учетных данных. Другой инструмент, EBurst, проводил распыление паролей (password spraying) и подбор учетных записей к серверам Microsoft Exchange, используя десять интерфейсов в качестве векторов атаки, включая панель управления Exchange (ECP), веб-службы Exchange (EWS), автономную адресную книгу (OAB) и Outlook Web Access (OWA). Согласно анализу, после проникновения злоумышленники загружали на скомпрометированное устройство установочный файл штатного программного обеспечения VPN SoftEther, настраивали его на автоматическое переподключение при запуске и маскировали его под стандартные исполняемые файлы Windows (например, conhost.exe или dllhost.exe), чтобы избежать обнаружения.

На этапе сбора данных, как поясняется в оповещении, файл DC.exe запускал метод репликации Active Directory (AD) DCSync для копирования учетных данных, состава групп и параметров доверительных отношений. PHP-скрипт Curlc4.txt подключался к API Microsoft EWS для выгрузки содержимого (электронной почты, записей календаря и контактов) и после сжатия либо шифрования алгоритмами RC4 или AES-128-CBC передавал его на удаленный сервер. Утилита командной строки office-cli использовалась для регулярного входа в учетные записи Outlook365 и выгрузки электронной почты за определенные периоды времени. В оповещении также отмечается, что среди подтвержденных случаев хищения данных электронной почты значатся государственные органы, правоохранительные ведомства, медицинские системы и религиозные организации Юго-Восточной Азии, причем в ряде случаев доступ к похищенной информации был ограничен исключительно IP-адресами города Сямынь в КНР. Эти детали дополняют описание инструмента FishHub из пресс-релиза Минюста, однако подтвержденное число пострадавших в лице около 20 тайваньских университетов не следует безоговорочно распространять на все описанные в оповещении случаи.

Меры, рекомендованные специалистам по защите к безотлагательной проверке

Рекомендации по защите в данном оповещении не сводятся к общим призывам соблюдать осторожность. Составители документа рекомендуют отключать неиспользуемые службы и порты, а также минимизировать объем информации, которую страницы авторизации и баннеры раскрывают при внешних запросах. Отдельно предписано предотвращать внедрение полезной нагрузки XSS путем валидации входящих данных в веб-приложениях и применить многофакторную аутентификацию (MFA) ко всем сервисам, в первую очередь к учетным записям веб-почты, VPN и доступа к ключевым системам. Кроме того, предписано заменить пароли по умолчанию на надежные пароли, ограничить и подвергать регулярному аудиту учетные записи с правами администратора, придерживаться принципа наименьших привилегий, а также активировать механизмы проверки репутации файлов и доменов при загрузке в браузере и использовать защищенный DNS.

В перечне рекомендаций по установке исправлений представлена таблица с восемью уязвимостями, по которым подтверждены факты успешной эксплуатации. В их число входят CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 и CVE-2023-22894. В оповещении указано, что некоторые из них были недавно добавлены в каталог известных эксплуатируемых уязвимостей (KEV) агентства CISA. Что касается мониторинга, рекомендовано отслеживать признаки несанкционированного применения методов эксплуатации легитимных системных утилит (living-off-the-land), неожиданную репликацию AD, аномальный трафик сканирования и выгрузки данных, входы в систему во внерабочее время и физически невозможные одновременные подключения. В планы аварийного восстановления рекомендовано включить создание нескольких копий конфиденциальных данных и образов серверов с их хранением в физически изолированных и защищенных местах, а также установку паролей на автономные резервные копии.

В документе также приведен алгоритм действий при подозрении на компрометацию. Он предусматривает изоляцию подтвержденного зараженного хоста или его отключение от сети, сбор журналов событий и артефактов для установления методов злоумышленника, масштаба заражения и хронологии активности, направление уведомлений в соответствии с национальными регламентами и проведение мероприятий по устранению присутствия злоумышленника с последующим укреплением периметра сети. В качестве каналов подачи заявлений для организаций США указаны Центр приема жалоб на интернет-преступления ФБР (IC3), региональный отдел ФБР и круглосуточный оперативный центр CISA (contact@cisa.dhs.gov, 1-844-Say-CISA). Адрес для запросов по рекомендациям АНБ по кибербезопасности — CybersecurityReports@nsa.gov. Южнокорейские структуры в качестве прямых адресатов для направления отчетов в документе не указаны.

Отличие нынешней конфискации от нейтрализации ботнета в 2024 году

18 сентября 2024 года Министерство юстиции объявило, что в ходе санкционированной судом операции ликвидировало ботнет, насчитывавший более 200 000 потребительских устройств в США и по всему миру. Заражению тогда подверглись маршрутизаторы для малых и домашних офисов (SOHO), IP-камеры, цифровые видеорегистраторы (DVR) и сетевые хранилища (NAS). Минюст указал, что Integrity Tech управляла зараженными устройствами с помощью онлайн-приложения под брендом KRLab, предоставляя меню вредоносных команд через встроенный инструмент vulnerability-arsenal («арсенал уязвимостей»). Санкционированная судом операция заключалась в перехвате хакерской инфраструктуры с последующей рассылкой через нее команд на отключение вредоносного ПО на зараженных устройствах; при этом министерство сообщило, что в ходе операции злоумышленники попытались сорвать действия ФБР посредством распределенной атаки типа «отказ в обслуживании» (DDoS), нацеленной на инфраструктуру восстановления, однако эта попытка провалилась.

Нынешние действия 2026 года являются развитием той операции, однако они отличаются сужением фокуса воздействия. В 2024 году основной задачей была прямая посылка команд на зараженные потребительские устройства для разрыва их связи с ботнетом; ФБР тогда провело предварительное тестирование, чтобы отправляемые команды не нарушали штатную работу устройств и не собирали персональные данные, а также заявило о намерении оповестить владельцев техники в США через интернет-провайдеров. В 2026 году акцент был сделан на конфискации семи путей доступа к инструментам: одного домена для работы с Microscan, пяти доменов, связанных с FishHub, и одного домена для удаленного управления. По данным Минюста, государственное обвинение представляют помощник федерального прокурора Брендан Маккенна из Прокуратуры Западного округа Пенсильвании и судебный юрист Зак Сингер-Эмери из отдела кибербезопасности Управления национальной безопасности Министерства юстиции США, а существенную помощь оказали помощник федерального прокурора Томас Салливан из Прокуратуры округа Мэриленд и Национальное полицейское агентство Японии. Специальный ответственный агент полевого офиса ФБР в Сан-Диего Марк Ремили (Mark Remily) также выступил с заявлением, пообещав «задействовать все следственные полномочия совместно с партнерами по правоохранительной деятельности», что отражает позицию руководителя регионального подразделения, приведенную в пресс-релизах прокуратуры и штаб-квартиры отдельно от слов прокурора Риветти и заместителя директора Летермана, процитированных выше.

Китай, Тайвань и Республика Корея

В материалах Министерства юстиции и АНБ отсутствует реакция китайского правительства или Integrity Tech. В документах обоих ведомств точка зрения противоположной стороны не представлена. Южнокорейские организации в обнародованный Минюстом список целей и пострадавших не входят. При этом Национальное полицейское агентство Японии было указано в пресс-релизе Министерства юстиции как структура, оказавшая «существенную помощь» следствию, а японские аэропорты фигурировали в числе объектов сканирования.

Следующие шаги

Министерство юстиции обнародовало письменные показания под присягой (affidavit) агента ФБР и ордер на конфискацию. Расследование ведут полевые офисы ФБР в Сан-Диего и Балтиморе совместно с Киберподразделением ФБР, а процессуальное руководство осуществляют Прокуратура Западного округа Пенсильвании и отдел кибербезопасности Управления национальной безопасности Минюста. В данном пресс-релизе министерство не заявляло о предъявлении обвинений конкретным лицам. Сетевые администраторы могут провести самостоятельную проверку систем, сверившись с индикаторами компрометации (IoC) из совместного оповещения.

Источники

• Пресс-релиз Управления по связям с общественностью Министерства юстиции США от 8 октября 2026 года: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• Пресс-релиз Федеральной прокуратуры Западного округа Пенсильвании Минюста США от 8 октября 2026 года: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• Пресс-релиз Агентства национальной безопасности США от 8 октября 2026 года: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• Совместное оповещение по кибербезопасности AA26-281A ведомств CISA, ФБР, АНБ и др. от 8 октября 2026 года: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• Пресс-релиз Управления по связям с общественностью Министерства юстиции США от 18 сентября 2024 года (ликвидация ботнета Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• Все публикации в сети X, упомянутые в статье, размещены на официальных аккаунтах правительственных ведомств.