ФБР вывело из строя инструменты китайских хакеров Flax Typhoon

ФБР изъяло семь доменов, которые использовала китайская государственная группировка Flax Typhoon для работы двух хакерских инструментов — MicroScan и FishHub. С их помощью, по данным властей США, атаковали критическую инфраструктуру и другие организации по всему миру.

Операция была направлена против инфраструктуры, обслуживавшей обе платформы. Их, как утверждает Минюст США, обеспечивала базирующаяся в Китае компания Integrity Technology Group (Integrity Tech), имеющая контракты с китайским правительством. По словам помощника директора киберотдела ФБР Бретта Литермана, Пекин опирается на подрядчиков, чтобы расширить охват своих киберопераций, а их разрушение усложняет атаки на американские сети.

Сканирование и взломы

MicroScan — платформа для поиска уязвимостей, написанная на Python и содержащая более 1300 скриптов для пентеста. Они нацелены на распространённое ПО: Oracle WebLogic, Apache Struts, WordPress, Jenkins и другие. Для сканирования использовался ботнет из устройств, заражённых вредоносом Mirai.

Среди целей — энергокомпания в Южной Каролине, аэропорты в Японии и Польше, тайваньские поставщики газа и электричества, а также университеты. По данным аффидевита ФБР, сканирование приводило к успешным взломам: сети двух тайваньских университетов были просканированы в августе 2022 и марте 2023 года и затем скомпрометированы. При этом удалось ли взломать названные энергокомпании и аэропорты, ФБР не раскрыло.

Вторая платформа, FishHub, служила для целевого фишинга и доставки дополнительного вредоноса в уже скомпрометированные сети. Она давала удалённый доступ, позволяла искать файлы и выгружать данные на серверы Integrity Tech. На одном из серверов следователи нашли данные более чем 20 организаций, включая шесть тайваньских университетов.

Изъятые домены и общие рекомендации

ФБР изъяло домен c0cc.cc для доступа к MicroScan, пять доменов для доставки вредоноса (98aicai.com, 98aicode.com, outlook3650.com, youtubecard.com, linkedinns.net) и домен 98aiblog.com, связанный с ПО SoftEther VPN для сохранения удалённого доступа. Теперь на них размещены уведомления об изъятии.

Параллельно ФБР, CISA, АНБ и международные партнёры выпустили совместную рекомендацию. Атаки, пересекающиеся с активностью Flax Typhoon, Ethereal Panda и Red Juliett, затрагивали госорганы США, здравоохранение, ИТ, образование и другие сферы, а также организации в Юго-Восточной Азии, Африке и Северной Америке. Среди часто эксплуатируемых уязвимостей — восемь CVE, в том числе Shellshock и бреши в Pulse Secure VPN и GitLab.

Это уже не первая такая операция: в сентябре 2024 года Минюст разрушил ботнет Integrity Tech из более чем 200 тысяч устройств. Великобритания ввела санкции против компании в 2025 году, ЕС — в 2026-м.

Источник: Bleeping Computer