El FBI incautó siete dominios utilizados por el grupo de hackers chinos "Flax Typhoon" y la empresa Integrity Technology Group para operar las herramientas MicroScan y FishHub. Estos sistemas fueron empleados para escanear vulnerabilidades y realizar ataques de *phishing* contra infraestructuras críticas, universidades y agencias gubernamentales en EE. UU. y otros países. Como medida preventiva, las autoridades emitieron una alerta conjunta instando a las organizaciones a parchear sus sistemas y reforzar su seguridad.





El FBI ha incautado siete dominios utilizados por hackers patrocinados por el estado chino conocidos como Flax Typhoon para operar dos herramientas de hackeo, MicroScan y FishHub, empleadas en ataques que vulneraron infraestructuras críticas y otras organizaciones en todo el mundo.

Las incautaciones se dirigieron a la infraestructura que soporta las dos plataformas de hackeo presuntamente operadas por Integrity Technology Group (Integrity Tech), con sede en China, la cual, según las autoridades estadounidenses, tiene contratos con el gobierno chino.

Según el Departamento de Justicia de EE. UU., las herramientas se utilizaron para escanear vulnerabilidades y vulnerar redes de infraestructuras críticas en Estados Unidos y otros países.

"Integrity Technology Group proporcionó a actores de amenazas vinculados a China capacidades utilizadas para realizar escaneos de vulnerabilidades generalizados y, en algunos casos, intrusiones dirigidas a infraestructuras críticas estadounidenses y extranjeras", afirmó Brett Leatherman, director asistente de la División Cibernética del FBI.

Leatherman señaló que el gobierno chino depende de contratistas y otras empresas para ampliar el alcance de sus operaciones cibernéticas, y que desarticular estas organizaciones dificulta que los hackers vinculados a China ataquen las redes estadounidenses.

MicroScan es una plataforma de escaneo de vulnerabilidades desarrollada por Integrity Tech para identificar debilidades de seguridad en redes seleccionadas.

Según una declaración jurada de incautación del FBI, la plataforma se utilizó junto con una botnet de dispositivos conectados a Internet infectados con el malware Mirai para escanear objetivos potenciales.

Estos objetivos incluyen una compañía eléctrica de Carolina del Sur, aeropuertos en Japón y Polonia, compañías de gas natural y electricidad taiwanesas y universidades.

La declaración también confirma que la actividad de escaneo condujo a brechas exitosas, incluidas dos universidades taiwanesas cuyas redes fueron escaneadas mediante MicroScan en agosto de 2022 y marzo de 2023 y posteriormente vulneradas.

Si bien el FBI confirmó que las herramientas de hackeo se utilizaron en intrusiones que involucraban infraestructuras críticas, no reveló si las compañías eléctricas, aeropuertos y proveedores de energía específicamente nombrados fueron vulnerados con éxito.

El FBI incautó el dominio c0cc.cc utilizado por Integrity Tech para acceder a la plataforma MicroScan, que las fuerzas del orden confirmaron que estaba en línea en septiembre de 2026.

La segunda plataforma, FishHub, se utilizó para llevar a cabo ataques de spear-phishing y entregar malware adicional a redes ya comprometidas.

El malware otorgaba a los atacantes acceso remoto no autorizado a las redes de las víctimas y les permitía buscar archivos específicos y exfiltrar datos a servidores controlados por Integrity Tech.

Según la declaración jurada de incautación del FBI, los investigadores encontraron datos y archivos pertenecientes a más de 20 organizaciones en un servidor vinculado a la herramienta de robo de datos FishHub, incluidas seis universidades en Taiwán.

Las fuerzas del orden incautaron cinco dominios utilizados para entregar el malware: 98aicai.com, 98aicode.com, outlook3650.com, youtubecard.com y linkedinns.net.

Un séptimo dominio incautado, 98aiblog.com, estaba vinculado al software SoftEther VPN instalado en los sistemas comprometidos para mantener el acceso remoto a las redes de las víctimas.

Los dominios incautados ahora muestran avisos de incautación del FBI que identifican al grupo de hackeo Flax Typhoon y a Integrity Technology Group.



Infraestructura de Flax Typhoon incautada por el DOJ

En coordinación con las incautaciones de dominios, el FBI, CISA, NSA y socios internacionales emitieron un aviso conjunto de ciberseguridad explicando cómo los hackers vinculados al gobierno chino utilizaron las herramientas e infraestructura de Integrity Tech para comprometer organizaciones y robar información sensible.

El aviso indica que los atacantes se dirigieron a agencias gubernamentales de EE. UU., manufactura crítica, salud, tecnología de la información, fuerzas del orden, instituciones educativas y organizaciones religiosas, así como a organizaciones en el sudeste asiático, África y América del Norte.

La actividad se solapa con operaciones rastreadas como Flax Typhoon, Ethereal Panda y Red Juliett, aunque las agencias señalan que no toda la actividad está necesariamente vinculada a Integrity Tech.

Según el aviso, MicroScan es un escáner de vulnerabilidades basado en Python que contiene más de 1.300 scripts de pruebas de penetración utilizados para identificar fallos de seguridad en sitios web y servicios.

Estos scripts se dirigieron a software ampliamente utilizado, incluyendo Oracle WebLogic, Apache Struts, WordPress, Jenkins y otras aplicaciones.

Los investigadores también identificaron ocho vulnerabilidades que eran comúnmente blanco de los hackers:

• * CVE-2015-3306: Vulnerabilidad de lectura de archivos no autorizada en ProFTPD.
• * CVE-2015-5477: Vulnerabilidad de denegación de servicio en ISC BIND.
• * CVE-2016-3081: Vulnerabilidad de ejecución remota de código en Apache Struts.
• * CVE-2021-3199: Vulnerabilidad de escritura de archivos no autorizada en ONLYOFFICE DocumentServer.
• * CVE-2023-22894: Vulnerabilidad de divulgación de información en Strapi.
• * CVE-2014-6278: Vulnerabilidad de ejecución remota de código en GNU Bash (Shellshock).
• * CVE-2019-11510: Vulnerabilidad de lectura de archivos arbitrarios en Pulse Secure VPN.
• * CVE-2021-22205: Vulnerabilidad de ejecución remota de código en GitLab.

Los atacantes también utilizaron la herramienta de código abierto EBurst para realizar ataques de password-spraying contra servidores de Microsoft Exchange, junto con otras herramientas para robar correos electrónicos, recopilar credenciales de Active Directory y exfiltrar datos.

El FBI también descubrió una aplicación web personalizada que permitía a terceros navegar por correos electrónicos robados sin necesidad de acceso directo a las cuentas comprometidas.

El aviso conjunto contiene indicadores de compromiso, incluyendo direcciones IP, dominios, hashes de malware y detalles de las herramientas de los atacantes, para ayudar a las organizaciones a identificar posibles intrusiones.

Las autoridades instan a las organizaciones a revisar los indicadores, parchear los sistemas vulnerables, desactivar los servicios expuestos innecesarios y aplicar la autenticación multifactor para protegerse contra los ataques.

Esta no es la primera vez que las fuerzas del orden de EE. UU. desarticulan la infraestructura de hackeo de Integrity Tech.

En septiembre de 2024, el Departamento de Justicia desarticuló una botnet Mirai operada por Integrity Tech consistente en más de 200.000 dispositivos de consumo comprometidos en todo el mundo.

El gobierno del Reino Unido también sancionó a Integrity Tech en 2025 aquí, y la Unión Europea sancionó a la empresa en 2026 por su implicación en ciberataques dirigidos a Europa y sus aliados.

Fuente:
BleepingComputer