FBI Says China-Linked Hackers Ran Portal Giving Third Parties Access to Stolen Emails
The Hacker News · 8 oct, 20:32
Qué hacer: Actualiza GNU Bash a 4.3 bash43-026 o posterior, ISC BIND a 9.9.7-P2 o 9.10.2-P3, Apache Struts a 2.3.20.3, 2.3.24.3 o 2.3.28.1, Pulse Connect Secure a 8.2R12.1, 8.3R7.1 o 9.0R3.4, GitLab a 13.8.8, 13.9.6 o 13.10.3, ONLYOFFICE Document Server a 5.6.3 o posterior, y Strapi a 4.8.0 o posterior.
El FBI y agencias de 7 países reportan que hackers vinculados a la empresa china Integrity Technology Group han robado correos electrónicos de organismos gubernamentales, agencias de aplicación de la ley, sistemas sanitarios e instituciones religiosas en el Sudeste Asiático, Estados Unidos y otras regiones desde al menos enero de 2021. Los atacantes utilizaban herramientas de escaneo con más de 1.300 scripts, adivinaban contraseñas de Microsoft 365 y Exchange, y operaban un portal web que otorgaba acceso a terceros no identificados al contenido del correo robado.
Los hackers utilizaban herramientas de código abierto como Nmap, masscan y WPScan, enfocándose en puertos 21, 22, 53, 80, 443 y 1080, junto con MicroScan, una aplicación Python con más de 1.300 scripts de prueba de penetración. El advisory conjunto identifica 8 vulnerabilidades conocidas explotadas exitosamente, incluyendo CVE-2014-6278 en GNU Bash, CVE-2015-5477 en ISC BIND, CVE-2019-11510 en Pulse Connect Secure, CVE-2021-22205 en GitLab y CVE-2023-22894 en Strapi, entre otras. Cinco de estas vulnerabilidades fueron recientemente añadidas al catálogo KEV de CISA.
Integrity Technology Group fue sancionada por EE.UU. en enero de 2025 y por el Reino Unido en diciembre de 2025. En septiembre de 2024, el FBI desmanteló una botnet llamada Raptor Train controlada por la empresa, que contenía más de 200.000 routers, cámaras y dispositivos de consumo. La actividad de estos hackers es consistente con grupos rastreados como Flax Typhoon, Ethereal Panda y RedJuliett. La empresa ha rechazado las acusaciones estadounidenses.
Puntos clave
- Compromete organismos gubernamentales, sanitarios y de seguridad en múltiples continentes desde enero de 2021
- Utiliza 8 vulnerabilidades conocidas explotadas, con CVE en GNU Bash, ISC BIND, Pulse Connect Secure, GitLab y Strapi
- Escanea redes con herramientas de código abierto y MicroScan (1.300+ scripts de penetración)
- Ejecutaba botnet Raptor Train con 200.000+ dispositivos hasta su desmantelamiento en septiembre 2024
- Operaba portal web que proporcionaba acceso a terceros al correo electrónico robado