FBI un Tieslietu departaments aiztur Ķīnai saistīto Microscan un FishHub uzbrukuma rīku infrastruktūru

ASV Tieslietu departaments un Federālais izmeklēšanas birojs (FBI) ceturtdien, 8. oktobrī, paziņoja par tiesas atļautu vairāku domēnu aizturēšanu, ar kuriem Ķīnas uzņēmums Integrity Technology Group (Integrity Tech) uzturēja un izmantoja divus kiberrīkus — Microscan un FishHub. Saskaņā ar Pensilvānijas Rietumu apgabala tiesā atslepenotajiem dokumentiem rīki izmantoti, lai skenētu un dažos gadījumos ielauztos ASV un ārvalstu kritiskās infrastruktūras un citos tīklos. Integrity Tech ir līgumi ar Ķīnas Tautas Republikas valdību, un tā aktivitāte tiek saistīta ar grupu, ko izseko kā Flax Typhoon.

Microscan ir ievainojamību skenēšanas platforma, ko Integrity Tech izmantoja kopā ar Mirai ļaunprogrammatūras varianta inficētu lietu interneta (IoT) ierīču botnetu. Skenēšanas mērķu vidū bijusi Dienvidkarolīnas enerģijas kompānija, lidostas Japānā un Polijā, Taivānas dabasgāzes un elektroenerģijas uzņēmumi, kā arī universitātes. Piekļuvei Microscan izmantots viens no aizturētajiem domēniem. FBI norāda, ka skenēšana dažos gadījumos novedusi arī pie veiksmīgiem ielauzumiem, tostarp Taivānas universitātēs.

Otrais rīks, FishHub, pēc sākotnējās tīkla kompromitācijas palīdzējis piegādāt papildu ļaunprogrammatūru, nodrošinot attālinātu piekļuvi vai meklējot un nosūtot failus uz Integrity Tech kontrolētiem serveriem. Apstiprināto FishHub upuru vidū ir aptuveni 20 Taivānas universitātes. Likumsargi aizturējuši piecus domēnus, kas saistīti ar šīs ļaunprogrammatūras piegādi, un vēl citus, kas izmantoti VPN pastāvīgumam un Microscan piekļuvei; aizturētajos domēnos tagad redzami FBI paziņojumi.

Kopā ar aizturēšanu FBI, Kiberdrošības un infrastruktūras drošības aģentūra (CISA) un Nacionālās drošības aģentūra (NSA) kopā ar partneriem publicējuši kiberdrošības padomu. Tajā norādīts, ka Ķīnas valdībai saistīti aktori, ko atbalsta Integrity Tech, apvieno automatizētu skenēšanu, botnetus un manuālu ekspluatāciju, mērķējot ASV valdības iestādes, ražošanu, veselības aprūpi, IT, tiesībaizsardzību, izglītību un reliģiskās organizācijas, kā arī mērķus Dienvidaustrumāzijā, Āfrikā un Ziemeļamerikā.

Microscan aprakstīts kā uz Python balstīts skeneris ar vairāk nekā 1300 iekļūšanas testēšanas skriptiem pret plaši izmantotu programmatūru, tostarp Oracle WebLogic, Apache Struts, WordPress un Jenkins. Papildus izmantoti paroļu izsmidzināšanas uzbrukumi pret Microsoft Exchange serveriem un SoftEther VPN, lai saglabātu piekļuvi. CISA pārstāvis Krisu Butera uzsvēra, ka Ķīnai saistīti aktori joprojām pozicionējas kritiskās infrastruktūras tīklos, tostarp operacionālajā tehnoloģijā, ar mērķi potenciāli traucēt funkcijas nākotnē.

Šī ir otrā publiskā tehniskā Integrity Tech infrastruktūras pārtraukšana: 2024. gada septembrī ASV jau pārtrauca uzņēmuma Mirai botnetu ar vairāk nekā 200 000 inficētu patērētāju ierīču. Apvienotā Karaliste Integrity Tech sankcionēja 2025. gadā, Eiropas Savienība — 2026. gadā. Organizācijām ieteikts pārskatīt padoma kompromitācijas indikatorus, ielāpēt ievainojamas sistēmas, ierobežot nevajadzīgus atvērtus pakalpojumus un ieviest daudzfaktoru autentifikāciju.