Le autorità statunitensi hanno interrotto due piattaforme di hacking collegate a un’operazione di spionaggio cibernetico sponsorizzata dallo Stato cinese che ha preso di mira compagnie elettriche, aeroporti, università e altre infrastrutture critiche in tutto il mondo. L’operazione ha comportato il sequestro di sette domini internet e il taglio dell’accesso agli strumenti utilizzati per identificare reti vulnerabili e lanciare attacchi.
L’FBI e il Dipartimento di Giustizia hanno annunciato l’azione l’8 ottobre, identificando il gruppo hacker come Flax Typhoon. Gli investigatori hanno collegato l’operazione a Integrity Technology Group, una società cinese di cybersecurity che ha contratti con il governo cinese.
Secondo funzionari statunitensi, l’azienda gestiva due piattaforme note come Microscan e FishHub. Questi strumenti permettevano agli attaccanti di cercare vulnerabilità di sicurezza, ottenere accesso non autorizzato ai sistemi informatici e raccogliere informazioni sensibili.
Microscan è stato progettato per scansionare siti web e reti alla ricerca di vulnerabilità che gli hacker potessero sfruttare. Gli investigatori hanno scoperto che conteneva più di 1.300 script in grado di verificare debolezze in software e apparecchiature di rete ampiamente utilizzati.
FishHub supportava attacchi più mirati, incluse campagne di phishing che ingannavano le vittime facendole aprire file dannosi o fornire accesso ai loro sistemi. Una volta che gli attaccanti entravano, ulteriori malware potevano permettere loro di cercare documenti e trasferire informazioni rubate su server esterni.
Gli strumenti sono stati utilizzati contro organizzazioni in diversi paesi. Gli obiettivi identificati includevano una compagnia elettrica della Carolina del Sud, aeroporti in Giappone e Polonia, aziende energetiche taiwanesi e università, e un’organizzazione internazionale senza scopo di lucro.
Le autorità hanno confermato che alcune operazioni hanno portato a intrusioni di rete riuscite. Tra le vittime documentate vi erano università taiwanesi i cui sistemi sono stati compromessi dopo essere state prese di mira dalle attività di scansione del gruppo.
Flax Typhoon è sotto indagine da anni. Nel settembre 2024, le autorità statunitensi hanno interrotto una botnet associata allo stesso gruppo che aveva infettato più di 200.000 dispositivi connessi a internet, inclusi router domestici e telecamere di sicurezza.
L’ultima operazione rappresenta un altro tentativo di smantellare l’infrastruttura che supporta gli attacchi informatici del gruppo. Sequestrando i domini utilizzati da Microscan e FishHub, gli investigatori hanno impedito agli operatori di continuare ad accedere a quelle piattaforme tramite la loro infrastruttura esistente.
I funzionari statunitensi ritengono che i contraenti del governo cinese svolgano un ruolo importante nel supportare le operazioni di spionaggio informatico sviluppando strumenti e identificando potenziali obiettivi. La Cina ha ripetutamente negato le accuse di coinvolgimento in hacking sponsorizzati dallo Stato.
Parallelamente ai sequestri, agenzie di cybersecurity statunitensi e internazionali hanno pubblicato linee guida per aiutare le organizzazioni a individuare i segnali di compromissione associati a Integrity Technology Group. La interruzione limita l’accesso agli strumenti identificati, anche se non stabilisce che l’operazione di hacking più ampia sia terminata.