Aviso AA26-281A: Integrity Tech, Exchange, SoftEther y DCSync

El 8 de octubre de 2026 el FBI, la CISA y la NSA publicaron el aviso conjunto AA26-281A, firmado también por el NCSC del Reino Unido, el ACSC australiano, el Canadian Centre for Cyber Security, la National Police Agency y el National Cybersecurity Office de Japón, el NCSC de Nueva Zelanda y el Centro Nacional de Inteligencia español.

En el centro está Integrity Technology Group (Integrity Tech), empresa china con ánimo de lucro y vínculos con el Gobierno de Pekín que, según los organismos firmantes, proporciona herramientas, infraestructura y personal a actores maliciosos vinculados a China.

Qué ha pasado

La información procede de varias investigaciones del FBI. Los actores combinan escaneo automatizado, botnets, explotación manual y software VPN para robar datos sensibles, sobre todo correo y credenciales. La actividad es coherente con la conocida como Flax Typhoon, Ethereal Panda y Red Juliett, pero los mismos actores pueden llevar a cabo también actividades no ligadas a Integrity Tech.

Los sectores afectados en Estados Unidos son gobierno, fabricación crítica, sanidad e informática, además de fuerzas del orden, educación y organizaciones religiosas; otras víctimas están en el Sudeste Asiático, África y Norteamérica.

El comunicado del NCSC británico menciona también herramientas de inteligencia artificial, «como el escaneo automatizado», y recuerda que el Gobierno británico sancionó a Integrity Tech el año pasado.

La cadena de ataque

Reconocimiento (T1595.002). Herramientas de código abierto como Nmap, masscan, Fscan y dirsearch, sobre todo en los puertos 21, 22, 53, 80, 443 y 1080. Al menos desde 2017 los actores usan también MicroScan, una aplicación web en Python con más de 1.300 scripts de pruebas de penetración contra OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins y Apache Struts.

Acceso inicial. Al menos desde mediados de enero de 2021 los actores entran en redes y servicios en la nube sobre todo con utilidades de línea de comandos basadas en exploits en Python y Go (T1059.006). También usan cross-site scripting (T1189, T1059.007): el payload recuperado por el FBI muestra campos falsos de usuario y contraseña y luego ofrece un archivo .zip protegido con contraseña que contiene el ejecutable live700_v1.exe. Este inicia un proceso llamado DiagTrack.exe, como un componente legítimo de Windows (T1036.003), que se comunica de forma cifrada por HTTP con dns.studiocloud[.]xyz, dominio que el FBI atribuye a Integrity Tech. El programa contiene funciones para consultar buzones de correo.

Password spraying contra Exchange. Con la herramienta de código abierto EBurst los actores intentan password spraying y adivinación de contraseñas (T1110.003, T1110.001) contra cuentas de Exchange y Office 365, a través de estas interfaces: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover y Microsoft-Server-ActiveSync.

Persistencia (T1133). Los actores instalan el cliente VPN SoftEther, descargado con PowerShell o binarios del sistema en Windows (T1059.001) y con curl o wget en Linux, y lo configuran para reconectarse al arrancar. Los instaladores suelen llamarse conhost.exe o dllhost.exe. Al ser un software legítimo, señala el aviso, las herramientas de detección de los endpoints lo marcan con menos facilidad. Entre los dominios y subdominios usados para las conexiones SoftEther el aviso enumera 98aiblog[.]com, hmbcloud[.]com, hmbcloud[.]net, hmbiplc-01[.]com, iepl.node[.]cm, javacheck.ooguy[.]com, javaupdate.giize[.]com, sexytube0[.]com y twimg.co[.]uk.

Recopilación y exfiltración.

• El script PHP Curlc4.txt usa la API de EWS para obtener correos, calendarios y contactos (T1114.002), los comprime y a veces los cifra con RC4 o AES-128-CBC (T1560.003), los sube a un servidor remoto (T1020) y renombra su proceso hijo como crypto. Mando y control: natcloudservice[.]com y upl.natcloudservice[.]com, dirección 149.28.132[.]137. Rastros en disco: .run, clientid, cp, storage/fm y /var/tmp/.sess.zip.
• DC.exe ejecuta un DCSync (T1003.006) contra el controlador de dominio, mediante RPC y el Directory Replication Service, y copia credenciales, grupos y relaciones de confianza de Active Directory.
• La utilidad office-cli (T1059.004) accede de forma continua a buzones de Outlook 365 con archivos de configuración que contienen client_id, tenant_id y secret: usa métodos de acceso legítimos.

El FBI encontró correos robados a organismos gubernamentales, fuerzas del orden, centros sanitarios e instituciones religiosas del Sudeste Asiático, en algunos casos accesibles solo desde direcciones IP de Xiamen, y una aplicación web que daba a terceros acceso a los correos robados.

Las CVE citadas

Entre los productos afectados el aviso enumera ocho CVE, detalladas en su apéndice B: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 y CVE-2023-22894. Son vulnerabilidades publicadas entre 2014 y 2023.

Impacto para las empresas europeas e italianas

Las fuentes no mencionan víctimas en Italia ni en Europa, pero España y el Reino Unido firman el aviso y las técnicas descritas afectan a tecnologías muy extendidas: correo Exchange y Microsoft 365, Active Directory, aplicaciones web expuestas. El objetivo principal es el correo, que en una empresa contiene credenciales, contratos y datos personales. La sanidad está entre los sectores afectados. Para las entidades sujetas a NIS2, un compromiso de este tipo debe valorarse también a efectos de las obligaciones de notificación, y del RGPD si afecta a datos personales.

Qué hacer ahora

Las acciones principales indicadas por los organismos firmantes:

1. Desactiva los servicios y puertos que no uses, como la configuración automática, el acceso remoto y el uso compartido de archivos.
2. Filtra la entrada de las aplicaciones web para impedir la inyección de payloads XSS.
3. Adopta políticas de gestión de identidades, credenciales y accesos y exige la autenticación multifactor en los servicios, cuando sea posible.

Para la detección:

4. Descarga los indicadores de los archivos STIX del aviso y búscalos en los registros de DNS, proxy, firewall y correo.
5. Busca intentos de acceso fallidos repartidos entre muchas cuentas, en todas las interfaces de Exchange enumeradas.
6. Busca instalaciones no autorizadas de SoftEther y procesos llamados conhost.exe, dllhost.exe o DiagTrack.exe que no sean los componentes originales de Windows.
7. Revisa las aplicaciones registradas en tu tenant de Microsoft 365 y sus secretos, y las solicitudes de replicación de Active Directory que llegan desde máquinas que no son controladores de dominio.

Si encuentras indicios de compromiso, el aviso indica aislar los hosts afectados e iniciar la búsqueda de amenazas, recopilando artefactos y registros.

Cómo ayuda ARXDOME

ARX Horizon te permite buscar desde el portal los indicadores de compromiso. ARX Sentry agrupa en las páginas del SOC los accesos fallidos, las ráfagas de intentos, las ejecuciones sospechosas y la persistencia, y su inventario de software y procesos ayuda a encontrar un cliente VPN instalado sin autorización. ARX Expose muestra los servicios expuestos con vulnerabilidades conocidas y ARX Shield aísla de la red una máquina sospechosa.

Última actualización: 9 de octubre de 2026