De FBI heeft zeven domeinen in beslag genomen die de Chinese dreigingsgroep Flax Typhoon gebruikte om twee hacktools te beheren, MicroScan en FishHub. Dat maakte het Amerikaanse ministerie van Justitie op 8 oktober bekend, gelijktijdig met een gezamenlijke advisory van FBI, CISA, NSA en diensten uit minstens zes andere landen, waaronder het Britse NCSC. Uit die advisory blijkt onder meer dat de groep een eigen webapplicatie draaide waarmee derden konden meekijken in gestolen e-mailpostvakken, zonder zelf toegang tot de gehackte accounts te hebben.
Achter de tools zit Integrity Technology Group, een Chinese commerciële onderneming die volgens Amerikaanse autoriteiten in opdracht van de Chinese overheid werkt. De aanvalsmethoden komen overeen met activiteit die beveiligingsbedrijven onder namen als Flax Typhoon (de naam van Microsoft), Ethereal Panda en RedJuliett volgen. Integrity Tech ligt al langer onder vuur: in september 2024 ontmantelde de FBI een botnet van ruim 200.000 gehackte apparaten van het bedrijf, dat onderzoekers Raptor Train noemden, waarna de VS en het VK het in 2025 sanctioneerden.
Twee tools, zeven domeinen
MicroScan is een Python-tool met meer dan 1.300 kwetsbaarheidsscripts, ingezet tegen onder meer Oracle WebLogic, Apache Struts, WordPress en Jenkins, soms gecombineerd met een eigen Mirai-botnet om doelen op te sporen. FishHub werd gebruikt voor spearphishing en voor het afleveren van malware in netwerken die al waren binnengedrongen, waarna gestolen data naar servers van Integrity Tech werd gestuurd. De zeven in beslag genomen domeinen hoorden bij beide tools, waaronder c0cc.cc voor MicroScan, 98aicai.com en outlook3650.com voor FishHub, en één domein voor permanente toegang via SoftEther VPN-software.
Volgens de aanklacht werden onder meer een energiebedrijf in South Carolina, luchthavens in Japan en Polen, en Taiwanese energiebedrijven en universiteiten gescand; twee Taiwanese universiteiten zijn in 2022 en 2023 ook echt binnengedrongen. Op een aan FishHub gekoppelde server vonden onderzoekers data van ruim twintig organisaties, waaronder zes Taiwanese universiteiten. De advisory noemt verder Amerikaanse overheidsdiensten en organisaties in industrie, zorg, IT, rechtshandhaving, onderwijs en religieuze instellingen in Zuidoost-Azië, Afrika en Noord-Amerika als slachtoffer.
Portal gaf derden toegang tot gestolen e-mail
Voor het stelen van e-mail gebruikte de groep een eigen script dat berichten via Exchange Web Services ophaalde en naar een eigen server stuurde, en een tool die herhaaldelijk e-mail uit Microsoft 365-accounts trok met gestolen inloggegevens. De webapplicatie waarmee derden de gestolen postvakken konden doorzoeken was in sommige gevallen alleen bereikbaar vanaf IP-adressen in Xiamen; wie die derde partijen precies waren, maakt de advisory niet bekend.
Voor de inbraken zelf misbruikte de groep al jaren bekende kwetsbaarheden, waaronder CVE-2014-6278 in GNU Bash (Shellshock), CVE-2015-3306 in ProFTPD, CVE-2015-5477 in ISC BIND, CVE-2016-3081 in Apache Struts, CVE-2019-11510 in Pulse Connect Secure, CVE-2021-3199 in ONLYOFFICE Document Server, CVE-2021-22205 in GitLab en CVE-2023-22894 in Strapi.
FBI-cyberdirecteur Brett Leatherman zegt dat Integrity Tech China-gelinkte aanvallers in staat stelde op grote schaal te scannen en soms in te breken bij kritieke infrastructuur, omdat Peking op dit soort contractors leunt om zijn cyberoperaties uit te breiden.
Draai je nog altijd een van de genoemde producten in een oudere, ongepatchte versie, dan loop je risico op precies dit soort aanvallen. Patch waar mogelijk, schakel onnodig blootgestelde diensten uit, verplicht multifactorauthenticatie voor VPN’s en beheeraccounts, en controleer de IP-adressen, domeinen en bestandshashes die de FBI en CISA bij de advisory publiceerden.
Bron: BleepingComputer, The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruik je nog systemen met Pulse Connect Secure, GitLab, Strapi, ONLYOFFICE Document Server, Apache Struts, ProFTPD of ISC BIND die niet up-to-date zijn, controleer dan nu de gepatchte versies. Deze groep misbruikt al jaren bekende kwetsbaarheden in dit soort software om bedrijfsnetwerken en kritieke infrastructuur binnen te komen.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.