Het Amerikaanse ministerie van Buitenlandse Zaken biedt via het Rewards for Justice-programma tot 10 miljoen dollar voor informatie die leidt tot de identificatie of lokalisering van Zhang Yu, een Chinese staatsburger die in de Verenigde Staten is aangeklaagd voor zijn rol in de Hafnium-aanvallen op Microsoft Exchange Server uit 2021. Nieuwszender NTD meldde de beloning deze week op basis van een bericht van het programma. Zhang is voortvluchtig en de aanklacht tegen hem is nog niet voor de rechter getoetst.
Rewards for Justice is het nationale veiligheidsbeloningsprogramma van het ministerie en heeft sinds 1984 meer dan 250 miljoen dollar uitgekeerd aan ruim 125 mensen. Het bedrag en de bewoording komen overeen met een beloning die het programma al in januari 2025 uitloofde voor informatie over personen die op last van een buitenlandse overheid Amerikaanse kritieke infrastructuur hacken.
Twee aanklachten, één campagne
Zhang en een tweede man, Xu Zewei, zijn samen aangeklaagd voor een federale rechtbank in Houston. De aanklacht telt negen punten, dateert van november 2023 en werd in juli 2025 openbaar gemaakt. Xu werd in juli 2025 in Milaan aangehouden op verzoek van de Verenigde Staten en in april 2026 door Italië uitgeleverd. Brett Leatherman, assistent-directeur van de cyberdivisie van de FBI, zei destijds dat Xu “een van de vele contractanten is die de Chinese overheid gebruikt om haar aandeel in cyberoperaties te verhullen, en dat anderen die hetzelfde doen hetzelfde risico lopen.”
Volgens de aanklacht werkte Zhang als directeur bij het Shanghainese bedrijf Firetech Information Science and Technology, waar hij taken uitvoerde in opdracht van het Shanghai State Security Bureau, een onderdeel van de Chinese inlichtingendienst MSS. Hij zou toezicht hebben gehouden op het hacken door ander Firetech-personeel en de aanvallen hebben gecoördineerd met Xu, die op zijn beurt zou hebben gewerkt voor het bedrijf Shanghai Powerock Network. Het Amerikaanse ministerie van Justitie noemt Powerock een van de vele “faciliterende” bedrijven waarmee China zijn rol in cyberaanvallen verhult achter particuliere contractanten.
De aanklacht beschrijft twee aanvalsgolven. Begin 2020 zouden de mannen Amerikaanse universiteiten en wetenschappers hebben aangevallen die werkten aan COVID-19-vaccins, behandelingen en testen. Eind 2020 misbruikten ze fouten in Microsoft Exchange Server, in een campagne die later bekend werd als Hafnium. Op of rond 30 januari 2021 zou Xu aan Zhang hebben gemeld dat hij het netwerk van een Texaanse universiteit had gecompromitteerd. Tot de slachtoffers horen twee universiteiten in Texas en een internationaal advocatenkantoor met een vestiging in Washington D.C.
Microsoft maakte de aanvallen op 2 maart 2021 bekend en bracht patches uit voor vier zero-day-kwetsbaarheden, waaronder de fout die bekend werd als ProxyLogon. Het bedrijf wees Hafnium aan als dader, een groep die het destijds omschreef als “naar verwachting staatsgesponsord en opererend vanuit China” en die Microsoft inmiddels Silk Typhoon noemt. Binnen enkele dagen gingen ook andere hackersgroepen de kwetsbaarheden misbruiken. Volgens de FBI trof de Hafnium-campagne in totaal meer dan 12.700 Amerikaanse organisaties. In juli 2021 wezen de VS en bondgenoten de Chinese veiligheidsdienst MSS formeel aan als opdrachtgever van de campagne.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.