Минюст США и ФБР изъяли 7 доменов, атрибутированных китайским хакерам
3 мин
55
1
Министерство юстиции США и ФБР закрыли доступ к двум инструментам вторжения — Microscan и FishHub, изъяв по решению суда семь доменов. Эти инструменты применяли, чтобы сканировать сети критической инфраструктуры США и других стран, а в части случаев и взламывать их. Атаки затрагивали и другие сети.
Из рассекреченных материалов дела следует, что инструменты применяли в хакерской деятельности сотрудники Integrity Technology Group, которую также называют Integrity Tech. Компания работает в Китайской Народной Республике, в том числе сотрудничает с властями. В ИБ-отрасли эту группировку знают под именем Flax Typhoon.
По данным суда, Integrity Tech создала сеть подключённых к интернету устройств и заразила их вариантом вредоносного ПО Mirai. Этот ботнет применял инструмент Microscan. С его помощью компания вела разведку в сетях жертв и искала уязвимости, которые позже использовали её клиенты. Поиск шёл как через ботнет, так и другими способами. Доступ к самому Microscan Integrity Tech получала через один из изъятых доменов.
Целями разведки стали энергетическая компания из Южной Каролины и международная неправительственная организация. Уязвимости искали также в сетях аэропортов Японии и Польши, тайваньских компаний критической инфраструктуры из газового и электроэнергетического секторов и двух тайваньских университетов.
Инструмент FishHub, по версии следствия, помогал взламывать сети через целевой фишинг. После первого взлома он загружал в сеть жертвы дополнительное вредоносное ПО. Оно приходило через пять изъятых доменов и либо давало клиентам Integrity Tech удалённый доступ к сети без разрешения, либо искало конкретные файлы и отправляло их на серверы под контролем компании. Среди подтверждённых жертв FishHub — около 20 тайваньских университетов.
Компания применяла и ПО удалённого администрирования, пользоваться которым в этих сетях нельзя. Через него сети нескольких жертв подключались к серверу Integrity Tech.
Минюст уже во второй раз изымает часть хакерской инфраструктуры Integrity Tech. В сентябре 2024 года ведомство объявило об изъятии по решению суда ботнета на базе вредоносного ПО Mirai. В него входило более 200 тысяч потребительских устройств в США и по всему миру.
Одновременно с изъятиями ФБР вместе с другими американскими ведомствами и зарубежными партнёрами опубликовало индикаторы компрометации, связанные с вторжениями Integrity Tech. Уведомление адресовано специалистам по защите сетей и помогает выявлять вредоносную активность компании и своевременно среагировать на неё.
