As autoridades dos EUA desmantelaram duas plataformas de hacking ligadas a uma operação de espionagem cibernética patrocinada pelo Estado chinês que teve como alvo empresas de energia, aeroportos, universidades e outras infraestruturas críticas ao redor do mundo. A operação envolveu a apreensão de sete domínios de internet e o corte do acesso a ferramentas usadas para identificar redes vulneráveis e lançar ataques.
O FBI e o Departamento de Justiça anunciaram a ação em 8 de outubro, identificando o grupo de hackers como Flax Typhoon. Investigadores ligaram a operação ao Integrity Technology Group, uma empresa chinesa de cibersegurança que tem contratos com o governo chinês.
Segundo autoridades americanas, a empresa operava duas plataformas conhecidas como Microscan e FishHub. Essas ferramentas permitiam que atacantes buscassem vulnerabilidades de segurança, obtivessem acesso não autorizado a sistemas de computador e coletassem informações sensíveis.
O Microscan foi projetado para escanear sites e redes em busca de vulnerabilidades que hackers pudessem explorar. Investigadores descobriram que ele continha mais de 1.300 scripts capazes de verificar vulnerabilidades em softwares e equipamentos de rede amplamente utilizados.
O FishHub suportava ataques mais direcionados, incluindo campanhas de phishing que enganavam as vítimas para abrir arquivos maliciosos ou fornecer acesso aos seus sistemas. Uma vez que os atacantes entrassem, malware adicional poderia permitir que eles buscassem documentos e transferissem informações roubadas para servidores externos.
As ferramentas foram usadas contra organizações em vários países. Alvos identificados incluíam uma empresa de energia da Carolina do Sul, aeroportos no Japão e na Polônia, empresas e universidades de energia taiwanesas, além de uma organização internacional sem fins lucrativos.
As autoridades confirmaram que algumas operações resultaram em intrusões bem-sucedidas na rede. Entre as vítimas documentadas estavam universidades taiwanesas cujos sistemas foram comprometidos após serem alvo das atividades de varredura do grupo.
O Flax Typhoon está sob investigação há anos. Em setembro de 2024, as autoridades dos EUA interromperam uma botnet associada ao mesmo grupo que havia infectado mais de 200.000 dispositivos conectados à internet, incluindo roteadores residenciais e câmeras de segurança.
A operação mais recente representa mais uma tentativa de desmantelar a infraestrutura que sustenta os ataques cibernéticos do grupo. Ao apreender os domínios usados pela Microscan e FishHub, os investigadores impediram que os operadores continuassem acessando essas plataformas por meio de sua infraestrutura existente.
Autoridades dos EUA acreditam que os contratados do governo chinês desempenham um papel importante no apoio às operações de espionagem cibernética, desenvolvendo ferramentas e identificando potenciais alvos. A China negou repetidamente alegações de envolvimento em invasões patrocinadas pelo Estado.
Junto com as apreendes, agências de cibersegurança dos EUA e internacionais publicaram orientações para ajudar as organizações a identificar sinais de comprometimento associados ao Integrity Technology Group. A interrupção limita o acesso às ferramentas identificadas, embora não estabeleça que a operação mais ampla de invasão tenha terminado.