Avizul AA26-281A: Integrity Tech, Exchange, SoftEther și DCSync

Pe 8 octombrie 2026, FBI, CISA și NSA au publicat avizul comun AA26-281A, semnat și de NCSC din Regatul Unit, ACSC din Australia, Canadian Centre for Cyber Security, National Police Agency și National Cybersecurity Office din Japonia, NCSC din Noua Zeelandă și Centro Nacional de Inteligencia din Spania.

În centrul avizului se află Integrity Technology Group (Integrity Tech), o companie chineză cu scop lucrativ, cu legături cu guvernul de la Beijing, care, potrivit agențiilor semnatare, furnizează instrumente, infrastructură și personal unor actori rău intenționați legați de China.

Ce s-a întâmplat

Informațiile provin din mai multe investigații ale FBI. Actorii combină scanarea automatizată, botnet-uri, exploatarea manuală și software VPN pentru a fura date sensibile, mai ales e-mailuri și credențiale. Activitatea corespunde celei cunoscute ca Flax Typhoon, Ethereal Panda și Red Juliett, dar aceiași actori pot desfășura și activități care nu sunt legate de Integrity Tech.

În Statele Unite, sectoarele vizate sunt administrația publică, producția critică, sănătatea și IT-ul, precum și forțele de ordine, educația și organizațiile religioase; alte victime se află în Asia de Sud-Est, Africa și America de Nord.

Comunicatul NCSC britanic menționează și instrumente de inteligență artificială, „precum scanarea automatizată”, și amintește că guvernul britanic a sancționat Integrity Tech anul trecut.

Lanțul de atac

Recunoaștere (T1595.002). Instrumente open source precum Nmap, masscan, Fscan și dirsearch, mai ales pe porturile 21, 22, 53, 80, 443 și 1080. Cel puțin din 2017, actorii folosesc și MicroScan, o aplicație web în Python cu peste 1.300 de scripturi de testare a penetrării împotriva OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins și Apache Struts.

Acces inițial. Cel puțin de la jumătatea lui ianuarie 2021, actorii pătrund în rețele și servicii cloud mai ales cu utilitare în linie de comandă bazate pe exploit-uri scrise în Python și Go (T1059.006). Folosesc și cross-site scripting (T1189, T1059.007): payload-ul recuperat de FBI afișează câmpuri false de utilizator și parolă, apoi oferă o arhivă .zip protejată cu parolă care conține executabilul live700_v1.exe. Acesta pornește un proces numit DiagTrack.exe, ca o componentă legitimă Windows (T1036.003), care comunică criptat prin HTTP cu dns.studiocloud[.]xyz, domeniu pe care FBI îl atribuie Integrity Tech. Programul conține funcții pentru interogarea căsuțelor de e-mail.

Password spraying împotriva Exchange. Cu instrumentul open source EBurst, actorii încearcă password spraying și ghicirea parolelor (T1110.003, T1110.001) împotriva conturilor Exchange și Office 365, prin aceste interfețe: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover și Microsoft-Server-ActiveSync.

Persistență (T1133). Actorii instalează clientul VPN SoftEther, descărcat cu PowerShell sau cu binare de sistem pe Windows (T1059.001) și cu curl sau wget pe Linux, și îl configurează să se reconecteze la pornire. Programele de instalare se numesc adesea conhost.exe sau dllhost.exe. Fiind un software legitim, observă avizul, SoftEther este semnalat mai greu de instrumentele de detecție de pe endpoint-uri. Printre domeniile și subdomeniile folosite pentru conexiunile SoftEther, avizul enumeră 98aiblog[.]com, hmbcloud[.]com, hmbcloud[.]net, hmbiplc-01[.]com, iepl.node[.]cm, javacheck.ooguy[.]com, javaupdate.giize[.]com, sexytube0[.]com și twimg.co[.]uk.

Colectare și exfiltrare.

• Scriptul PHP Curlc4.txt folosește API-ul EWS pentru a prelua e-mailuri, calendare și contacte (T1114.002), le comprimă și uneori le criptează cu RC4 sau AES-128-CBC (T1560.003), le încarcă pe un server la distanță (T1020) și își redenumește procesul copil în crypto. Comandă și control: natcloudservice[.]com și upl.natcloudservice[.]com, adresa 149.28.132[.]137. Urme pe disc: .run, clientid, cp, storage/fm și /var/tmp/.sess.zip.
• DC.exe execută un DCSync (T1003.006) asupra controlerului de domeniu, prin RPC și Directory Replication Service, și copiază credențiale, grupuri și relații de încredere din Active Directory.
• Utilitarul office-cli (T1059.004) accesează continuu căsuțe Outlook 365 cu fișiere de configurare care conțin client_id, tenant_id și secret: folosește metode de acces legitime.

FBI a găsit e-mailuri furate de la instituții guvernamentale, forțe de ordine, unități sanitare și instituții religioase din Asia de Sud-Est, în unele cazuri accesibile doar de la adrese IP din Xiamen, precum și o aplicație web care le dădea terților acces la e-mailurile furate.

CVE-urile citate

Printre produsele afectate, avizul enumeră opt CVE-uri, detaliate în anexa B: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 și CVE-2023-22894. Sunt vulnerabilități publicate între 2014 și 2023.

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în Italia sau în Europa, dar Spania și Regatul Unit semnează avizul, iar tehnicile descrise privesc tehnologii foarte răspândite: e-mail Exchange și Microsoft 365, Active Directory, aplicații web expuse. Ținta principală este e-mailul, care într-o companie conține credențiale, contracte și date personale. Sănătatea se numără printre sectoarele vizate. Pentru entitățile NIS2, o compromitere de acest tip trebuie evaluată și din perspectiva obligațiilor de notificare, iar din perspectiva GDPR dacă privește date personale.

Ce faci acum

Acțiunile principale recomandate de agențiile semnatare:

1. Dezactivează serviciile și porturile nefolosite, precum configurarea automată, accesul la distanță și partajarea fișierelor.
2. Filtrează datele introduse în aplicațiile web, ca să împiedici injectarea de payload-uri XSS.
3. Adoptă politici de gestionare a identităților, credențialelor și accesului și cere autentificare multifactor pentru servicii, acolo unde este posibil.

Pentru detecție:

4. Descarcă indicatorii din fișierele STIX ale avizului și caută-i în jurnalele DNS, proxy, firewall și e-mail.
5. Caută încercări de autentificare eșuate distribuite pe multe conturi, pe toate interfețele Exchange enumerate.
6. Caută instalări neautorizate de SoftEther și procese numite conhost.exe, dllhost.exe sau DiagTrack.exe care nu sunt componentele originale Windows.
7. Verifică aplicațiile înregistrate în tenantul Microsoft 365 și secretele lor, precum și cererile de replicare Active Directory venite de la mașini care nu sunt controlere de domeniu.

Dacă găsești semne de compromitere, avizul recomandă să izolezi gazdele afectate și să începi căutarea amenințărilor, colectând artefacte și jurnale.

Cum te ajută ARXDOME

ARX Horizon îți permite să cauți din portal indicatorii de compromitere. ARX Sentry grupează în paginile SOC autentificările eșuate, rafalele de încercări, execuțiile suspecte și persistența, iar inventarul său de software și procese te ajută să găsești un client VPN instalat fără autorizare. ARX Expose arată serviciile expuse cu vulnerabilități cunoscute, iar ARX Shield izolează de rețea o mașină suspectă.

Ultima actualizare: 9 octombrie 2026