Μια εταιρεία με έδρα την Κίνα και δεσμούς με την κινεζική κυβέρνηση βρέθηκε στο στόχαστρο δέκα φορέων κυβερνοασφάλειας, επιβολής του νόμου και υπηρεσιών πληροφοριών από επτά χώρες. Την Πέμπτη 8 Οκτωβρίου το βρετανικό Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC), τμήμα της υπηρεσίας GCHQ, ανακοίνωσε ότι η Integrity Technology Group (Integrity Tech) παρείχε τα μέσα σε κακόβουλους κινεζικούς δρώντες για να παραβιάζουν δίκτυα οργανισμών σε όλο τον κόσμο και να κλέβουν εμπιστευτικά δεδομένα, μεταξύ άλλων από τομείς κρίσιμων υποδομών.
Η κοινή προειδοποίηση (κωδικός AA26-281A) φέρει, εκτός από το NCSC, τις υπογραφές του FBI, της CISA και της NSA των ΗΠΑ, του Αυστραλιανού Κέντρου Κυβερνοασφάλειας (ACSC) της Αυστραλιανής Διεύθυνσης Σημάτων (ASD), του Καναδικού Κέντρου Κυβερνοασφάλειας, της Εθνικής Αστυνομικής Υπηρεσίας και του Εθνικού Γραφείου Κυβερνοασφάλειας της Ιαπωνίας, του NCSC της Νέας Ζηλανδίας και του Εθνικού Κέντρου Πληροφοριών (CNI) της Ισπανίας. Τα τεχνικά στοιχεία προέρχονται από έρευνες του FBI. Οι τεχνικές συμφωνούν με δραστηριότητες που είναι δημόσια γνωστές ως Flax Typhoon, Ethereal Panda και Red Juliett, ανάμεσα σε άλλες, ενώ οι ίδιοι δρώντες μπορεί να έχουν και δράση που δεν συνδέεται με την εταιρεία.
Ο Πολ Τσίτσεστερ (Paul Chichester), διευθυντής επιχειρήσεων του NCSC, δήλωσε ότι οι δραστηριότητες και οι υπηρεσίες της Integrity Tech που αποκαλύφθηκαν «θα πρέπει να ανησυχούν ιδιαίτερα όλους τους υπεύθυνους άμυνας δικτύων». «Θα συνεχίσουμε να καταγγέλλουμε τους κακόβουλους δρώντες και το κακοήθες οικοσύστημα μέσα στο οποίο δρουν», πρόσθεσε.
Η εταιρεία δεν είναι άγνωστη. Τον Σεπτέμβριο του 2024 το NCSC και οι εταίροι του την είχαν αποκαλύψει ως διαχειρίστρια ενός μεγάλου botnet, δηλαδή ενός δικτύου από μολυσμένες συσκευές που ελέγχονται εξ αποστάσεως, το οποίο αξιοποιούσε η ομάδα Flax Typhoon. Στις 9 Δεκεμβρίου 2025 η βρετανική κυβέρνηση της επέβαλε κυρώσεις, επειδή διαχειριζόταν καλυμμένο κυβερνοδίκτυο και παρείχε τεχνική βοήθεια σε άλλους για επιθέσεις.
Στόχοι ήταν οργανισμοί σε τέσσερις τομείς κρίσιμων υποδομών των ΗΠΑ (κρατικές υπηρεσίες, κρίσιμη μεταποίηση, υγεία και πληροφορική), αστυνομικές αρχές, εκπαιδευτικά και θρησκευτικά ιδρύματα στις ΗΠΑ, καθώς και οργανισμοί στη Νοτιοανατολική Ασία, την Αφρική και τη Βόρεια Αμερική.
Η προειδοποίηση περιγράφει πώς δουλεύουν οι δράστες. Αρχίζουν με σάρωση: εργαλεία ανοιχτού κώδικα όπως τα masscan, NMAP και wpscan, καθώς και η εφαρμογή MicroScan, γραμμένη σε Python, με πάνω από 1.300 σενάρια δοκιμών διείσδυσης για υπηρεσίες όπως WordPress, Jenkins και Apache Struts, σε χρήση τουλάχιστον από το 2017. Το NCSC υπογραμμίζει τον συνδυασμό εργαλείων τεχνητής νοημοσύνης, όπως η αυτοματοποιημένη σάρωση, με botnets μεγάλης κλίμακας και χειροκίνητη εκμετάλλευση.
Για την αρχική πρόσβαση χρησιμοποιούν, τουλάχιστον από τα μέσα Ιανουαρίου του 2021, κυρίως εργαλεία γραμμής εντολών βασισμένα σε κώδικα εκμετάλλευσης σε γλώσσες όπως η Python και η Go, και επιπλέον επιθέσεις cross-site scripting (XSS), δηλαδή έγχυση κακόβουλου κώδικα σε ευάλωτη ιστοσελίδα. Το FBI ανέκτησε ένα τέτοιο ωφέλιμο φορτίο, που εμφανίζει ψεύτικα πεδία για όνομα χρήστη και κωδικό και προσφέρει αρχείο zip με το εκτελέσιμο live700_v1.exe. Αυτό ξεκινά διεργασία με όνομα DiagTrack.exe, ίδιο με νόμιμο λογισμικό των Windows, και επικοινωνεί με τον τομέα dns.studiocloud.xyz, που το FBI αποδίδει στην Integrity Tech. Το εργαλείο EBurst δοκιμάζει κωδικούς σε λογαριασμούς Microsoft Exchange και Office 365, ενώ το λογισμικό VPN SoftEther, με ονόματα όπως conhost.exe, κρατά ανοιχτή την πρόσβαση.
Στη συνέχεια τα email αντλούνται με σενάριο PHP και με το εργαλείο office-cli, και το DC.exe αντιγράφει διαπιστευτήρια από το Active Directory με την τεχνική DCSync. Σε ορισμένες περιπτώσεις η πρόσβαση στα κλεμμένα δεδομένα περιοριζόταν σε διευθύνσεις IP από τη Σιαμέν (Xiamen) της Κίνας. Η προειδοποίηση καταγράφει οκτώ ευπάθειες των ετών 2014 έως 2023 που αξιοποιήθηκαν με επιτυχία, σε προϊόντα όπως τα Bash, GitLab, Apache Struts και Pulse Connect Secure. Πέντε από αυτές προστέθηκαν στον κατάλογο Γνωστών Ευπαθειών που Έχουν Αξιοποιηθεί (KEV) της CISA.
Οι φορείς συνιστούν να απενεργοποιούνται οι υπηρεσίες και οι θύρες που δεν χρησιμοποιούνται, να καθαρίζονται τα δεδομένα που εισάγουν οι χρήστες στις εφαρμογές ιστού, και να απαιτείται έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA), ιδίως για webmail, VPN και κρίσιμα συστήματα. Ζητούν επίσης έγκαιρες ενημερώσεις λογισμικού, όπως έδειξαν και οι πρόσφατες κρίσιμες ευπάθειες της PHP, τμηματοποίηση του δικτύου και παρακολούθηση για ασυνήθιστη αντιγραφή του Active Directory.
Η αποκάλυψη εντάσσεται σε μια σειρά καταγγελιών κρατικά συνδεδεμένων ομάδων, όπως η δράση των ρωσικών χάκερ της GRU κατά ναυπηγείου πολεμικών πλοίων σε χώρα του ΝΑΤΟ. Το FBI είχε προειδοποιήσει ήδη από το 2022 για την έκταση της κινεζικής κυβερνοκατασκοπείας.
