دولت ایالات متحده هفت دامنه اینترنتی را توقیف کرد که طبق گفته مقامات، توسط یک شرکت چینی دارای قراردادهای دولتی برای شناسایی شبکه‌های آسیب‌پذیر، توزیع بدافزار از طریق (Spear-phishing) و سرقت فایل‌ها از قربانیان مورد استفاده قرار می‌گرفتند. این اقدام، دومین عملیات ایالات متحده در دو سال اخیر علیه زیرساخت‌های هک این شرکت است.
عوامل تهدید و ابزارهای مورد استفاده
دادستان‌ها اعلام کردند که شرکت Integrity Technology Group مستقر در پکن، دو ابزار نفوذ به نام‌های MicroScan و FishHub را برای فعالیت‌های هک گروهی به نام (Flax Typhoon) مدیریت می‌کرد. اهداف این حملات شامل شرکت‌های برق در کارولینای جنوبی و تایوان، فرودگاه‌هایی در ژاپن و لهستان، دانشگاه‌ها و یک سازمان غیردولتی چندملیتی بوده است.
تحلیل ابزارهای عملیاتی
- MicroScan: یک اپلیکیشن وب مبتنی بر پایتون (Python) حاوی بیش از ۱۳۰۰ اسکریپت تست نفوذ (Penetration Testing) است که برای شناسایی آسیب‌پذیری‌ها در سیستم‌های متصل به اینترنت طراحی شده است. این ابزار از یک (Mirai Botnet) برای ماسک کردن منشأ ترافیک مخرب استفاده می‌کرد و نرم‌افزارهایی نظیر OpenSSL، Oracle WebLogic Server، WordPress، Jenkins و Apache Struts را هدف قرار می‌داد.
- FishHub: این ابزار برای نفوذهای هدفمندتر از طریق (Spear-phishing) استفاده می‌شد. پس از نفوذ اولیه، پنج دامنه توقیف شده برنامه‌های مخربی را ارسال می‌کردند که امکان دسترسی از راه دور (Remote Access)، فهرست‌بندی فایل‌ها، جستجوی اسناد خاص و ارسال آن‌ها به سرور مهاجم را فراهم می‌کرد.
متدهای نفوذ و تداوم حضور
تحقیقات نشان می‌دهد که نفوذهای (Flax Typhoon) یک فرآیند لایه‌بندی شده است. عامل تهدید ابتدا از طریق حملات (Cross-Site Scripting – XSS) و (Password Spraying) علیه سرورهای Microsoft Exchange اقدام به سرقت اعتبارنامه‌ها (Credentials) می‌کرد. برای تداوم حضور (Persistence)، آن‌ها از نرم‌افزار VPN SoftEther استفاده می‌کردند که گاهی در قالب فایل‌های قانونی ویندوز استتار شده بود. در مراحل نهایی، اعتبارنامه‌های Active Directory کپی شده و ایمیل‌ها از حساب‌های Exchange و Microsoft 365 استخراج می‌شد.
توصیه‌های امنیتی برای مدیران SOC و مهندسین امنیت
به سازمان‌ها توصیه می‌شود اقدامات زیر را برای مقابله با این تهدیدات به کار گیرند:
- به‌روزرسانی سریع سیستم‌های متصل به اینترنت (Internet-facing systems) برای رفع آسیب‌پذیری‌ها.
- اجباری کردن احراز هویت چندعاملی (MFA) برای وب‌میل‌ها و شبکه‌های خصوصی مجازی (VPN).
- غیرفعال کردن سرویس‌های بلااستفاده در شبکه.
- مانیتورینگ دقیق برای شناسایی هرگونه تکثیر غیرمجاز در Active Directory و نصب نرم‌افزارهای دسترسی از راه دور ناشناخته.
- بررسی لاگ‌های اپلیکیشن‌های وب برای شناسایی تلاش‌های اسکن و اکسپلویت.
به‌روزرسانی (اکتبر 9, 2026 — Malware News)
به‌روزرسانی: آژانس امنیت سایبری و زیرساخت آمریکا (CISA) در گزارش مشترک AA26-281A، جزئیات تکمیلی از متدهای عملیاتی عامل تهدید (Threat Actor) موسوم به Flax Typhoon (یا Ethereal Panda) منتشر کرد. این گروه با هدف قرار دادن زیرساخت‌های حیاتی در آمریکای شمالی، آفریقا و جنوب شرق آسیا، از ترکیبی از شناسایی خودکار و نفوذ دستی برای سرقت داده‌های حساس استفاده می‌کند.
بر اساس این گزارش، دسترسی اولیه از طریق صفحات برداشت اعتبار (Credential Harvesting) مبتنی بر XSS که بدافزار DiagTrack.exe را توزیع می‌کنند و همچنین استفاده از ابزار EBurst برای حملات Password Spraying علیه سرورهای Exchange صورت می‌گیرد. برای حفظ دسترسی (Persistence)، این مهاجمان کلاینت‌های SoftEther VPN را تحت نام‌های جعلی مانند conhost.exe یا dllhost.exe نصب می‌کنند تا شناسایی نشوند.
در مرحله نهایی برای سرقت داده‌ها، این گروه از ابزارهای Curlc4.txt و office-cli جهت جمع‌آوری ایمیل‌ها و همچنین استفاده از فایل DC.exe برای اجرای تکنیک DCSync با هدف استخراج اعتبارنامه‌ها (Credential Harvesting) بهره می‌برند.
به‌روزرسانی (اکتبر 9, 2026 — Security Affairs)
به‌روزرسانی: جزئیات جدید منتشر شده توسط وزارت دادگستری و FBI نشان می‌دهد که ابعاد عملیات Integrity Tech بسیار گسترده‌تر از تصورات قبلی بوده است. این شرکت برای پشتیبانی از ابزارهای شناسایی خود، یک Botnet عظیم متشکل از ۱.۲ میلیون دستگاه IoT آلوده به نسخه‌ای از بدافزار Mirai را مدیریت می‌کرد که بخش بزرگی از آن‌ها در ایالات متحده مستقر بودند.
بررسی‌ها حاکی از آن است که ابزار Microscan از بیش از ۱,۳۰۰ اسکریپت (script) نفوذ برای هدف قرار دادن نقاط ضعف شناخته شده در نرم‌افزارهای OpenSSL، WordPress، Jenkins و Apache Struts استفاده می‌کرد. این ابزار به صورت فعال برای شناسایی و نفوذ به شبکه‌های حساس به کار گرفته شده بود.
در مورد اهداف این حملات، گزارش‌ها به طور مشخص به هدف قرار گرفتن یک شرکت برق در کارولینای جنوبی، فرودگاه‌هایی در ژاپن و لهستان و همچنین شرکت‌های گاز طبیعی و برق در تایوان اشاره کرده‌اند. این موضوع نشان‌دهنده تمرکز دقیق این عامل تهدید بر زیرساخت‌های حیاتی (Critical Infrastructure) در سطح جهانی است.
