ФБР: Свързани с Китай хакери са управлявали портал за достъп на трети страни до откраднати имейли

Хакери, свързани с китайска компания за киберсигурност, са откраднали електронна поща от правителствени организации, правоприлагащи органи, системи за здравеопазване и религиозни институции в Югоизточна Азия, съобщиха ФБР и агенции от още 6 държави на 8 октомври.

Компанията Integrity Technology Group е санкционирана от САЩ и Обединеното кралство. Хакерите са сканирали уебсайтове за уязвимости с помощта на инструмент, съдържащ над 1300 скрипта, познавали са пароли за профили в Microsoft 365 и Exchange и са копирали пощенски кутии с помощта на инструменти, предназначени за събиране на поща.

Хакерите проникват в мрежи най-малко от средата на януари 2021 г., според съвместния доклад на агенциите. В него хакерството се описва в сегашно време, но не се посочва дата за нито една кражба и не се уточнява колко организации са били пробити.

Същите хакери са взели под прицел американски правителствени услуги, критично производство, здравеопазване и ИТ организации, както и американски правоприлагащи органи, образователни и религиозни групи. Обект на атаки са били и организации в Югоизточна Азия, Африка и Северна Америка.

Хакерите управляват и уеб приложение, което „предоставя на трети страни достъп до откраднато съдържание от електронна поща“, се казва в доклада. В него не се посочват тези трети страни.

През септември 2024 г. ФБР неутрализира ботнет — мрежа от компрометирани устройства, за която Министерството на правосъдието на САЩ съобщи, че се контролира от Integrity Technology Group. Тя е съдържала над 200 000 рутера, камери и други потребителски устройства, а изследователите от Lumen я бяха наименували Raptor Train.

Действията през 2024 г. са били насочени срещу ботнета. Новият доклад обхваща начина, по който хакерите проникват в мрежите и какво вземат от тях. Той се основава на доказателства, които ФБР е възстановило и наблюдавало по време на няколко разследвания, свързани с компанията.

Кой стои зад това

Агенциите описват Integrity Technology Group като „базирана в Китай комерсиална компания със връзки с китайското правителство“, чиито служители разработват или получават киберинструменти „за използване и продажба“, хостват инфраструктура и проникват в мрежи.

В доклада се използва единствено обозначението „авторите на заплахата“ за компанията и хакерите, които тя подпомага. В него не се посочва кой от тях е извършил всяко от проникванията.

Министерството на финансите на САЩ санкционира компанията през януари 2025 г. за ролята ѝ в няколко компютърни прониквания срещу жертви в САЩ. Обединеното кралство я санкционира през декември 2025 г.

Кристофър Рей, тогавашен директор на ФБР, заяви през 2024 г., че „председателят на компанията публично е признал, че в продължение на години компанията му е събирала разузнавателна информация и е извършвала рекогносцировка за службите за сигурност на китайското правителство“.

Методите на хакерите „съответстват на“ дейността, която компаниите за сигурност проследяват като Flax Typhoon, Ethereal Panda и RedJuliett, наред с други, се казва в доклада. Тези имена може да не съвпадат едно към едно със собственото проследяване на правителството на САЩ, а същите хакери могат да извършват и работа, несвързана с Integrity Technology Group.

Flax Typhoon е наименованието на Microsoft за базирана в Китай група, която през 2023 г. бе описана като атакуваща организации в Тайван.

Integrity Technology Group отхвърли обвиненията на САЩ през януари 2025 г. Тя заяви пред Шанхайската фондова борса, че ходът на САЩ няма фактологична основа, съобщи Associated Press. Говорител на китайското външно министерство, запитан за санкциите, заяви, че Китай твърдо се противопоставя на действията на САЩ, според същия доклад.

Как хакерите проникват

Хакерите търсят уязвимости в мрежи и уеб приложения със скенери с отворен код като Nmap, masscan и WPScan, се казва в доклада. Техните сканирания са насочени към портове 21, 22, 53, 80, 443 и 1080.

„Използването на инструменти с отворен код, които обикновено се намират в GitHub, подсказва, че авторите на заплахата са склонни да търсят по-уязвими цели“, заявяват агенциите.

Хакерите са използвали и скенер, наречен MicroScan, още от 2017 г. Това е Python уеб приложение, съдържащо над 1300 скрипта за тестване за проникване, предназначени да сканират уебсайтове за конкретни дефекти. Хакерите са използвали скриптовете срещу услуги, включително OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins и Apache Struts.

Националният център за киберсигурност на Обединеното кралство, една от агенциите зад доклада, заяви в прессъобщението си, че хакерите „уникално използват AI инструменти, като например автоматизирано сканиране“. В самия доклад не се споменава AI.

Хакерите предимно проникват с инструменти за команден ред, изградени върху код за експлоатация, написан на езици като Python и Go. Докладът изброява 8 известни уязвимости, за които се казва, че са били успешно експлоатирани. Уязвимостите са намерени в скриптовете за тестване за проникване на хакерите.

Таблицата показва засегнатите версии, както са посочени в доклада, и, където това е могло да бъде потвърдено, версията, която отстранява уязвимостта.

Докладът отбелязва 5 от 8-те уязвимости със звездичка и ги описва като новодобавени към каталога с известни експлоатирани уязвимости (KEV) — списъкът с уязвимости, за които Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) казва, че са били използвани при атаки. Те не бяха в данните от каталога, които CISA публикува в GitHub (версия 2026.10.04), когато The Hacker News провери в 18:05 UTC на 8 октомври.

Собственият доклад на Strapi дава по-широк обхват от съвместния доклад. В него се казва, че са засегнати версии от 3.2.1 до 4.7.9, но без 4.8.0.

Две уязвимости зависят от настройка. Уязвимостта в Struts работи само когато е включено динамичното извикване на методи (Dynamic Method Invocation), а Apache заявява, че изключването му е алтернатива на надграждането. Уязвимостта в ONLYOFFICE се прилага, когато се използва JWT, според нейния запис в NVD.

Уязвимостта в BIND е грешка, водеща до отказ на услуга (denial-of-service), която кара DNS сървъра да спре работа.

Друг начин за проникване е фалшив вход. FBI възстанови зловреден код за междинен скриптинг (XSS), който променя уязвима уеб страница, за да показва полета за потребителско име и парола.

След като посетител въведе произволно потребителско име и парола, страницата предлага защитен с парола ZIP файл, съдържащ програма с име live700_v1.exe. Тази програма стартира процес с име DiagTrack.exe, същото име като на легитимна програма на Windows, който изпраща криптиран трафик към dns.studiocloud[.]xyz.

FBI приписва този домейн на Integrity Technology Group и оценява, че зловредният софтуер най-вероятно е насочен към електронна поща.

Атакуващите използват и атака с напасване на пароли (password spraying), което означава изпробване на няколко често срещани пароли срещу много акаунти. За целта те използват EBurst, инструмент с отворен код на Python, който е насочен към акаунти в Microsoft 365 и Exchange.

EBurst опитва опити за вход през интерфейси на Exchange, включително ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover и Microsoft-Server-ActiveSync, според неговия README файл. Защитниците трябва да покрият тези интерфейси, заявяват агенциите.

Как запазват достъп и какво извличат

За да запазят достъпа си, атакуващите инсталират SoftEther, легитимна VPN програма, за която има по-малка вероятност да бъде маркирана от софтуера за сигурност, се посочва в бюлетина. Те често преименуват инсталатора на conhost.exe или dllhost.exe, за да изглежда като файл на Windows, и настройват клиента да се свързва отново при всяко стартиране на машината.

За да извлекат идентификационни данни, те са пуснали инструмент с име DC.exe, който използва DCSync — техника, копираща данни от домейн контролер чрез услугата за репликация на Active Directory. Той е копирал идентификационни данни за акаунти, подробности за членството в групи и доверителни отношения.

За електронната поща атакуващите са създали бот от PHP скрипт с име Curlc4.txt. Той събира поща чрез Exchange Web Services (EWS), интерфейс, който също така дава достъп до календари и контакти.

Ботът компресира пощата, понякога я криптира и я качва на отдалечен сървър. Скриптът изглежда самостоятелен, а не инсталиран на хакнато устройство, а основният му command-and-control домейн е бил natcloudservice[.]com.

Втори инструмент, office-cli, продължава да се връща към акаунти в Microsoft 365, за да извлича поща от различни периоди от време. Той работи от конфигурационни файлове, съдържащи client ID, tenant ID и secret, и избягва откриването си, като използва легитимни методи за достъп, заявяват агенциите.

FBI също така е забелязал, че атакуващите изтеглят бази данни или извличат данни от електронната поща на жертвите ръчно.

В някои случаи атакуващите са ограничили достъпа до откраднатите данни само до IP адреси в Сямън, Китай.

Потребителите на уеб приложението за трети страни могат да преглеждат пощата на конкретен акаунт чрез добавяне на аргументи към URL адрес.

Какво трябва да направят защитниците

Агенциите призовават защитниците да търсят признаци за тази активност в собствените си мрежи. Препоръчаните от тях стъпки включват:

• Изключване на неизползвани услуги и портове, като например отдалечен достъп и споделяне на файлове.
• Фитриране и почистване на въвежданите от потребителите данни (sanitize user input) в уеб приложенията за блокиране на XSS.
• Изискване на многофакторна автентификация (MFA), особено за уеб поща, VPN-и и акаунти, които имат достъп до критични системи.
• Следене за неочаквана репликация на Active Directory — признак за DCSync.
• Проверка на облачните акаунти за свързани приложения, които могат да четат файлове и електронна поща.
• Преглед на логовете на уеб приложенията за опити за атаки.
• Инсталиране на корекции за сигурност, включително за 8-те уязвимости, изброени по-горе.
• Замяна на продукти, които вече не получават актуализации.

При съмнение за компрометиране стъпките в бюлетина са да се изолират засегнатите хостове, да се извърши разследване, за да се разбере доколко надълбоко е стигнало пробиването, и да се докладва съгласно националните правила. Атакуващите трябва да бъдат премахнати след събиране на достатъчно данни от разследването, след което мрежата да се защити допълнително.

Бюлетинът съдържа 39 страници с индикатори за компрометиране (IOCs) — домейните, IP адресите и файловите хешове, свързани с атакуващите. Агенциите казват, че няколко от тях датират още от 2016 г., и препоръчват да бъдат проверени преди блокиране.

Някои не са нови. The Hacker News установи, че 10 IP адреса в списъка са се появили и в бюлетина от септември 2024 г. относно ботнета, където са били свързани с неговите command-and-control сървъри.

Датите не съвпадат. Новият списък показва тези 10 адреса като видени за последно на 5 юни 2024 г. Бюлетинът от 2024 г. ги показва като видени за последно между 28 август и 4 септември 2024 г.

Така че датата „последно виден“ в новия списък не винаги е най-новата регистрирана. Освен датите, показващи кога изтича регистрацията на даден домейн, най-скорошните дати „последно виден“ в таблиците са от 2025 г.