FBI Seizes 7 Domains, Disrupts Flax Typhoon Tools Used in Critical Infrastructure Intrusions
The Hacker News · 9 oct, 08:39
El FBI y el Departamento de Justicia de EE. UU. han desmantelado herramientas maliciosas utilizadas por Flax Typhoon, un grupo de amenaza persistente avanzada vinculado a China que ataca infraestructuras críticas estadounidenses y extranjeras. Las agencias confiscaron siete dominios y bloquearon el acceso a plataformas utilizadas para escanear e infiltrarse en redes críticas, desarticulando una operación que afectaba a más de 1,2 millones de dispositivos infectados, incluidos 385.000 víctimas estadounidenses.
Flax Typhoon, también conocido como Ethereal Panda y RedJuliett, está asociado con Integrity Technology Group, una empresa con sede en Pekín que contrata con el gobierno chino. La operación utilizaba un botnet basado en una variante del malware Mirai que controlaba y gestionaba una aplicación llamada Sparrow. Según documentos judiciales, el botnet había comprometido más de 260.000 dispositivos activos a junio de 2024, incluyendo aproximadamente 126.000 dispositivos estadounidenses.
La infraestructura maliciosa incluía herramientas como Microscan, una herramienta web basada en Python con más de 1.300 scripts de prueba de penetración capaces de escanear vulnerabilidades en OpenSSL, Oracle WebLogic, WordPress, Jenkins y Apache Struts, entre otros. FishHub era otra herramienta utilizada para explotar redes mediante ataques de spear-phishing y desplegar cargas útiles. Los objetivos confirmados incluían una compañía eléctrica estadounidense, aeropuertos en Japón y Polonia, empresas de infraestructura crítica taiwanesas, y universidades en Taiwán y Japón. Desde enero de 2021, los actores de amenaza han utilizado utilidades de línea de comandos basadas en Python y Go, ataques XSS para la recolección de credenciales, clientes SoftEther VPN para la persistencia, y herramientas de fuerza bruta como EBurst contra entornos Microsoft 365.
Puntos clave
- Siete dominios confiscados: c0cc.cc, 98aiblog.com, 98aicai.com, 98aicode.com, outlook3650.com, youtubecard.com, linkedinns.net
- Más de 1,2 millones de dispositivos infectados registrados, incluidos 385.000 en EE. UU.; 260.000 dispositivos activamente comprometidos a junio de 2024
- Herramientas utilizadas: Microscan (escaneo de vulnerabilidades), FishHub (spear-phishing), Sparrow (control del botnet), SoftEther VPN, EBurst y office-cli
- Objetivos: infraestructura crítica estadounidense, japonesa, polaca y taiwanesa, universidades, organizaciones no gubernamentales multinacionales