Das FBI hat sieben Internetdomains stillgelegt, die mit China verbundenen Hackern zugerechnet werden. Dadurch wurden Tools außer Betrieb gesetzt, mit denen Sicherheitslücken aufgespürt und vertrauliche Daten von Organisationen weltweit gestohlen wurden.
Am 8. Oktober gaben das US-Justizministerium und das FBI die gerichtlich genehmigte Beschlagnahmung von sieben Domains bekannt, die mit der in China ansässigen Integrity Technology Group verbunden sind. Die Behörden brachten die Tools und Aktivitäten des Unternehmens mit Hackern in Verbindung, die unter dem Namen Flax Typhoon verfolgt werden und kritische Infrastrukturen sowie andere Organisationen ins Visier nahmen.
Die beschlagnahmte Infrastruktur unterstützte zwei Tools: MicroScan, das Netzwerke auf Schwachstellen untersucht, und FishHub, das Angreifern dabei hilft, Malware über Spear-Phishing-Kampagnen zu verbreiten. Die siebte Domain, 98aiblog[.]com, unterstützte Verbindungen über SoftEther, eine legitime VPN-Software, die Angreifer laut Ermittlern auf kompromittierten Universitätsservern installierten.
Laut Gerichtsunterlagen, richteten sich MicroScan-Scans gegen ein Elektrizitätsunternehmen in South Carolina, Flughäfen in Japan und Polen, taiwanische Erdgas- und Stromversorger sowie Universitäten. Die Ermittler bestätigten nach den Scans erfolgreiche Eindringversuche an zwei taiwanischen Universitäten.
Nach Angaben des DOJ gehörten etwa 20 taiwanische Universitäten zu den bestätigten Opfern der FishHub-Aktivitäten. Die Malware konnte Angreifern Fernzugriff auf die Netzwerke der Opfer ermöglichen oder bestimmte Dateien aufspüren und an von Integrity Tech kontrollierte Server senden.
Das FBI beschlagnahmte die Domains für den Zugriff auf die Tools und die Verbreitung von Malware und setzte damit wichtige Teile der Infrastruktur des Vorgangs außer Betrieb. Die Behörden konnten jedoch nicht feststellen, dass jede Organisation, deren Netzwerk gescannt wurde, auch erfolgreich kompromittiert wurde.
Die Liste der beschlagnahmten Domains lautet:
- youtubecard[.]com
- c0cc[.]cc
- 98aiblog[.]com
- outlook3650[.]com
- 98aicode[.]com
- linkedinns[.]net
- 98aicai[.]com
Ein Botnet half dabei, die Angreifer zu verschleiern
Die Ermittler werfen Integrity Tech vor, ein Botnet eingesetzt zu haben, das aus mit einer Variante der Mirai-Malware infizierten, internetverbundenen Geräten aufgebaut war. Die kompromittierten Geräte führten im großen Maßstab Aufklärungsaktivitäten durch und verschleierten dabei die Herkunft der Scanaktivitäten.
MicroScan, eine Python-basierte Anwendung mit mehr als 1.300 Penetration-Testing-Skripten konnte nach Schwachstellen in weit verbreiteter Software suchen, darunter WordPress, Jenkins, Oracle WebLogic und Apache Struts.
Die jüngste Maßnahme folgt auf die Zerschlagung eines mit Integrity Tech verbundenen Botnets im September 2024, von der weltweit mehr als 200.000 Geräte von Verbrauchern betroffen waren, laut Bleeping Computer.
Warum die Beschlagnahmung die Bedrohung möglicherweise nicht beendet
Der gemeinsame Sicherheitshinweis beschreibt, wie Angreifer automatisierte Schwachstellenscans, Angriffe auf Zugangsdaten und legitime VPN-Software kombinierten, um Netzwerke zu kompromittieren und den Zugriff aufrechtzuerhalten. Für Verteidiger macht diese Kombination eine Untersuchung sowohl ausgenutzter Anwendungen als auch scheinbar legitimer Fernzugriffsaktivitäten erforderlich.
Die Beschlagnahmung der Domains durch das FBI unterbindet den Zugriff auf die identifizierten Tools, kann aber nicht garantieren, dass kompromittierte Systeme bereinigt sind oder die Betreiber jeden Zugangsweg in die Netzwerke der Opfer verloren haben. Angreifer, die bereits Fernzugriffssoftware installiert oder Zugangsdaten gestohlen haben, könnten weiterhin Zugriff besitzen, sofern die Verteidiger diese Zugriffspunkte nicht untersuchen und entfernen.
Ein gemeinsamer Sicherheitshinweis von Behörden aus den USA, dem Vereinigten Königreich, Australien, Kanada, Japan, Neuseeland und Spanien enthält Indicators of Compromise, die Sicherheitsteams bei der Untersuchung möglicher Infektionen unterstützen. Die Behörden empfehlen, exponierte Systeme zu patchen, unnötige Dienste zu deaktivieren, eine Multi-Faktor-Authentifizierung durchzusetzen und auf nicht autorisierte Fernzugriffstools sowie verdächtige Aktivitäten in Netzwerkprotokollen zu achten.
Worauf Sicherheitsteams jetzt achten sollten
Organisationen, die kritische Infrastrukturen, Universitäten und andere potenzielle Ziele betreiben, sollten den gemeinsamen Sicherheitshinweis nutzen, um eine mögliche Kompromittierung zu untersuchen. Beginnen Sie mit Anwendungen und Fernzugriffsdiensten, die aus dem Internet erreichbar sind: Ermitteln Sie exponierte Systeme, installieren Sie relevante Patches und deaktivieren Sie nicht benötigte Dienste oder Ports.
Überprüfen Sie Authentifizierungs- und Webanwendungsprotokolle auf ungewöhnliche Anmeldungen, Aktivitäten zum Ausprobieren vieler Passwörter und Ausnutzungsversuche. Prüfen Sie Server und Mitarbeitergeräte auf unerwartete VPN-Software oder andere Fernzugriffstools und stellen Sie sicher, dass die installierte Software einem autorisierten geschäftlichen Zweck dient. Auch eine legitime Anwendung kann einem Angreifer unbefugten Zugriff ermöglichen.
Die Untersuchung sollte über die sieben beschlagnahmten Domains hinausgehen. Der Sicherheitshinweis dokumentiert zusätzliche Indicators of Compromise, Tools und Techniken, darunter Aktivitäten, die auf E-Mail-Konten und vertrauliche Dateien abzielten. Sicherheitsteams sollten diese Indikatoren mit einer verhaltensbasierten Überwachung kombinieren und, wo immer möglich, eine Multi-Faktor-Authentifizierung verlangen, insbesondere für Webmail, VPNs und Konten mit Zugriff auf kritische Systeme.
Wenn Anzeichen für eine Kompromittierung auftreten, sollte dies als Sicherheitsvorfall behandelt werden, der Eindämmung und Behebung erfordert, statt sich auf die Beschlagnahmung der Domains zu verlassen. Untersuchen Sie, wie der Zugriff erlangt wurde, beheben Sie offengelegte Schwachstellen und überprüfen Sie potenziell kompromittierte Konten und Zugangsdaten. Die praktische Schlussfolgerung lautet: Die Störung externer Infrastruktur beweist nicht, dass die eigenen Systeme einer Organisation sauber sind.
Mehr lesen: Erfahren Sie, wie China-verbundene Hacker Cisco-Router in verdeckte Netzwerk-Gateways verwandelten und warum das Entfernen eines einzelnen Zugriffspunkts weitere Wege in die Systeme einer Organisation offenlassen kann.