Amerikaanse autoriteiten hebben twee hackplatforms verstoord die gelinkt zijn aan een door de Chinese staat gesponsorde cyberspionageoperatie die zich richtte op energiebedrijven, luchthavens, universiteiten en andere kritieke infrastructuur wereldwijd. De operatie hield in dat zeven internetdomeinen werden ingenomen en de toegang tot hulpmiddelen werden afgesloten die worden gebruikt om kwetsbare netwerken te identificeren en aanvallen uit te voeren.
De FBI en het ministerie van Justitie maakten de actie op 8 oktober bekend en identificeerden de hackergroep als Flax Typhoon. Onderzoekers koppelden de operatie aan Integrity Technology Group, een Chinees cyberbeveiligingsbedrijf dat contracten heeft met de Chinese overheid.
Volgens Amerikaanse functionarissen exploiteerde het bedrijf twee platforms, bekend als Microscan en FishHub. Deze tools stelden aanvallers in staat om beveiligingslekken te zoeken, ongeautoriseerde toegang tot computersystemen te krijgen en gevoelige informatie te verzamelen.
Microscan was ontworpen om websites en netwerken te scannen op kwetsbaarheden die hackers konden misbruiken. Onderzoekers ontdekten dat het meer dan 1.300 scripts bevatte die in staat waren zwakke plekken te zoeken in veelgebruikte software en netwerkapparatuur.
FishHub ondersteunde meer gerichte aanvallen, waaronder phishingcampagnes die slachtoffers misleidden om kwaadaardige bestanden te openen of toegang tot hun systemen te verlenen. Zodra aanvallers toegang kregen, kon extra malware hen in staat stellen documenten te zoeken en gestolen informatie naar externe servers over te dragen.
De instrumenten werden gebruikt tegen organisaties in verschillende landen. Geïdentificeerde doelwitten waren onder andere een energiebedrijf uit South Carolina, luchthavens in Japan en Polen, Taiwanese energiebedrijven en universiteiten, en een internationale non-profitorganisatie.
De autoriteiten bevestigden dat sommige operaties tot succesvolle netwerkinbraken leidden. Onder de gedocumenteerde slachtoffers bevonden zich Taiwanese universiteiten wier systemen werden gecompromitteerd nadat ze waren getarget door de scanactiviteiten van de groep.
Flax Typhoon wordt al jaren onderzocht. In september 2024 verstoorden Amerikaanse autoriteiten een botnet dat verbonden was aan dezelfde groep en meer dan 200.000 internetverbonden apparaten had geïnfecteerd, waaronder thuisrouters en beveiligingscamera’s.
De nieuwste operatie is opnieuw een poging om de infrastructuur die de cyberaanvallen van de groep ondersteunt te ontmantelen. Door de domeinen die door Microscan en FishHub worden gebruikt in beslag te nemen, verhinderden onderzoekers dat de operators via hun bestaande infrastructuur toegang tot die platforms konden voortzetten.
Amerikaanse functionarissen geloven dat Chinese overheidsaannemers een belangrijke rol spelen bij het ondersteunen van cyberspionageoperaties door tools te ontwikkelen en potentiële doelwitten te identificeren. China heeft herhaaldelijk beschuldigingen van betrokkenheid bij door de staat gesponsorde hacking ontkend.
Naast de inbeslagnames publiceerden Amerikaanse en internationale cybersecurity-instanties richtlijnen om organisaties te helpen tekenen van compromittering te identificeren die verband houden met Integrity Technology Group. De verstoring beperkt de toegang tot de geïdentificeerde tools, hoewel niet wordt aangetoond dat de bredere hackoperatie is beëindigd.