Avviso AA26-281A: Integrity Tech, Exchange, SoftEther e DCSync

L’8 ottobre 2026 FBI, CISA e NSA hanno pubblicato l’avviso congiunto AA26-281A, firmato anche dall’NCSC del Regno Unito, dall’ACSC australiano, dal Canadian Centre for Cyber Security, dalla National Police Agency e dal National Cybersecurity Office del Giappone, dall’NCSC della Nuova Zelanda e dal Centro Nacional de Inteligencia spagnolo.

Al centro c’è Integrity Technology Group (Integrity Tech), società cinese a scopo di lucro con legami con il governo di Pechino, che secondo gli enti firmatari fornisce strumenti, infrastruttura e personale ad attori malevoli legati alla Cina.

Cosa è successo

Le informazioni vengono da più indagini dell’FBI. Gli attori combinano scansione automatizzata, botnet, sfruttamento manuale e software VPN per rubare dati sensibili, soprattutto email e credenziali. L’attività è coerente con quella nota come Flax Typhoon, Ethereal Panda e Red Juliett, ma gli stessi attori possono svolgere anche attività non legate a Integrity Tech.

I settori colpiti negli Stati Uniti sono governo, manifattura critica, sanità e informatica, oltre a forze dell’ordine, istruzione e organizzazioni religiose; altre vittime sono nel Sud-est asiatico, in Africa e in Nord America.

Il comunicato dell’NCSC britannico parla anche di strumenti di intelligenza artificiale, «come la scansione automatizzata», e ricorda che il governo britannico ha sanzionato Integrity Tech l’anno scorso.

La catena di attacco

Ricognizione (T1595.002). Strumenti open source come Nmap, masscan, Fscan e dirsearch, soprattutto sulle porte 21, 22, 53, 80, 443 e 1080. Almeno dal 2017 gli attori usano anche MicroScan, applicazione web in Python con oltre 1.300 script di penetration test contro OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins e Apache Struts.

Accesso iniziale. Almeno da metà gennaio 2021 gli attori entrano in reti e servizi cloud soprattutto con utilità a riga di comando basate su exploit in Python e Go (T1059.006). Usano anche il cross-site scripting (T1189, T1059.007): il payload recuperato dall’FBI mostra falsi campi di nome utente e password, poi offre un archivio .zip protetto da password con l’eseguibile live700_v1.exe. Questo avvia un processo chiamato DiagTrack.exe, come un componente legittimo di Windows (T1036.003), che comunica in modo cifrato via HTTP con dns.studiocloud[.]xyz, dominio che l’FBI attribuisce a Integrity Tech. Il programma contiene funzioni per interrogare le caselle di posta.

Password spraying su Exchange. Con lo strumento open source EBurst gli attori tentano password spraying e password guessing (T1110.003, T1110.001) contro gli account Exchange e Office 365, attraverso queste interfacce: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover e Microsoft-Server-ActiveSync.

Persistenza (T1133). Gli attori installano il client VPN SoftEther, scaricato con PowerShell o binari di sistema su Windows (T1059.001) e con curl o wget su Linux, e lo configurano per riconnettersi all’avvio. Gli installer sono spesso chiamati conhost.exe o dllhost.exe. Essendo un software legittimo, osserva l’avviso, SoftEther viene segnalato meno facilmente dagli strumenti di rilevamento degli endpoint. Tra i domini e sottodomini usati per le connessioni SoftEther l’avviso elenca 98aiblog[.]com, hmbcloud[.]com, hmbcloud[.]net, hmbiplc-01[.]com, iepl.node[.]cm, javacheck.ooguy[.]com, javaupdate.giize[.]com, sexytube0[.]com e twimg.co[.]uk.

Raccolta ed esfiltrazione.

• Lo script PHP Curlc4.txt usa l’API EWS per prelevare email, calendari e contatti (T1114.002), li comprime e a volte li cifra con RC4 o AES-128-CBC (T1560.003), li carica su un server remoto (T1020) e rinomina il processo figlio in crypto. Comando e controllo: natcloudservice[.]com e upl.natcloudservice[.]com, indirizzo 149.28.132[.]137. Tracce su disco: .run, clientid, cp, storage/fm e /var/tmp/.sess.zip.
• DC.exe esegue un DCSync (T1003.006) verso il controller di dominio, tramite RPC e Directory Replication Service, e copia credenziali, gruppi e relazioni di trust di Active Directory.
• L’utilità office-cli (T1059.004) accede di continuo a caselle Outlook 365 con file di configurazione che contengono client_id, tenant_id e secret: usa metodi di accesso legittimi.

L’FBI ha trovato email rubate a enti governativi, forze dell’ordine, strutture sanitarie e istituzioni religiose del Sud-est asiatico, in alcuni casi accessibili solo da indirizzi IP di Xiamen, e un’applicazione web che dava a terzi l’accesso alle email rubate.

Le CVE citate

Tra i prodotti colpiti l’avviso elenca otto CVE, dettagliate nella sua appendice B: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 e CVE-2023-22894. Sono vulnerabilità pubblicate tra il 2014 e il 2023.

Impatto per le aziende europee e italiane

Le fonti non citano vittime in Italia o in Europa, ma Spagna e Regno Unito firmano l’avviso e le tecniche descritte riguardano tecnologie diffusissime: posta Exchange e Microsoft 365, Active Directory, applicazioni web esposte. Il bersaglio principale è la posta, che in un’azienda contiene credenziali, contratti e dati personali. La sanità è tra i settori colpiti. Per i soggetti NIS2 una compromissione di questo tipo va valutata anche ai fini degli obblighi di notifica, e ai fini del GDPR se riguarda dati personali.

Cosa fare subito

Le azioni principali indicate dagli enti firmatari:

1. Disattiva servizi e porte non usati, come configurazione automatica, accesso remoto e condivisione di file.
2. Filtra l’input delle applicazioni web per impedire l’iniezione di payload XSS.
3. Adotta politiche di gestione di identità, credenziali e accessi e richiedi l’autenticazione a più fattori sui servizi, dove possibile.

Per il rilevamento:

4. Scarica gli indicatori dai file STIX dell’avviso e cercali nei log di DNS, proxy, firewall e posta.
5. Cerca tentativi di accesso falliti distribuiti su molti account, su tutte le interfacce di Exchange elencate.
6. Cerca installazioni di SoftEther non autorizzate e processi chiamati conhost.exe, dllhost.exe o DiagTrack.exe che non siano i componenti originali di Windows.
7. Controlla le app registrate nel tenant Microsoft 365 e i loro segreti, e le richieste di replica di Active Directory che arrivano da macchine diverse dai controller di dominio.

Se trovi segni di compromissione, l’avviso indica di isolare gli host colpiti e di avviare la ricerca delle minacce, raccogliendo artefatti e log.

Come aiuta ARXDOME

ARX Horizon permette di cercare dal portale gli indicatori di compromissione. ARX Sentry raggruppa nelle pagine del SOC accessi falliti, raffiche di tentativi, esecuzioni sospette e persistenza, e il suo inventario di software e processi aiuta a trovare un client VPN installato senza autorizzazione. ARX Expose mostra i servizi esposti con vulnerabilità note e ARX Shield isola dalla rete una macchina sospetta.

Ultimo aggiornamento: 9 ottobre 2026