دفتر تحقیقات فدرال آمریکا (FBI) و سازمان‌های امنیتی ۶ کشور دیگر، گزارشی را منتشر کردند که در آن به فعالیت‌های یک گروه هکری وابسته به شرکت چینی Integrity Technology Group اشاره شده است. این عامل تهدید (Threat Actor) با هدف سرقت ایمیل‌ها، سازمان‌های دولتی، نهادهای اجرای قانون، سیستم‌های بهداشتی و مراکز مذهبی را در جنوب شرق آسیا، آفریقا و آمریکای شمالی هدف قرار داده است.
روش‌های نفوذ و شناسایی
این گروه برای شناسایی نقاط ضعف در وب‌سایت‌ها از ابزارهای اسکنر متن‌باز مانند Nmap، masscan و WPScan استفاده می‌کند. همچنین ابزاری اختصاصی به نام MicroScan را به کار می‌گیرند که شامل بیش از ۱۳۰۰ اسکریپت برای تست نفوذ (Penetration Testing) است. این اسکریپت‌ها برای شناسایی آسیب‌پذیری‌ها در سرویس‌هایی نظیر OpenSSL، Oracle WebLogic Server، WordPress، Jenkins و Apache Struts طراحی شده‌اند.
سایر روش‌های دسترسی اولیه شامل موارد زیر است:
- Password Spraying: استفاده از ابزار متن‌باز EBurst برای امتحان کردن رمزهای عبور رایج در حساب‌های Microsoft 365 و Exchange.
- حملات XSS: استفاده از পেলودهای Cross-Site Scripting برای ایجاد صفحات ورود جعلی و سرقت اعتبارنامه‌ها.
- اکسپلویت (Exploit): بهره‌برداری از ۸ آسیب‌پذیری شناخته شده در سرویس‌های مختلف که برخی از آن‌ها در فهرست KEV سازمان CISA قرار گرفته‌اند.
پایداری در شبکه و استخراج داده‌ها
برای حفظ دسترسی (Persistence)، این هکرها از برنامه VPN قانونی SoftEther استفاده می‌کنند و برای اجتناب از شناسایی، نام فایل نصب آن را به نام‌های سیستمی ویندوز مانند conhost.exe یا dllhost.exe تغییر می‌دهند. همچنین برای سرقت اعتبارنامه‌ها از ابزاری به نام DC.exe و تکنیک DCSync جهت کپی کردن داده‌ها از Domain Controller از طریق سرویس Replication در Active Directory استفاده می‌کنند.
در مورد سرقت ایمیل‌ها، این گروه از یک بات مبتنی بر PHP به نام Curlc4.txt استفاده می‌کند که از طریق Exchange Web Services (EWS) به ایمیل‌ها، تقویم‌ها و مخاطبان دسترسی پیدا کرده و آن‌ها را به سرورهای راه دور منتقل می‌کند. علاوه بر این، ابزاری به نام office-cli برای استخراج دوره‌ای داده‌ها از حساب‌های Microsoft 365 به کار گرفته شده است.
پورتال دسترسی شخص ثالث و اتریبیوشن
یکی از نکات برجسته این گزارش، مدیریت یک اپلیکیشن وب توسط این گروه است که به اشخاص ثالث اجازه می‌دهد به محتوای ایمیل‌های سرقتی دسترسی داشته باشند. این موضوع نشان‌دهنده یک مدل عملیاتی برای توزیع اطلاعات جاسوسی بین نهادهای مختلف است.
فعالیت‌های این گروه با رفتارهای گروه‌هایی مانند Flax Typhoon، Ethereal Panda و RedJuliett مطابقت دارد. همچنین در سپتامبر ۲۰۲۴، FBI یک بات‌نت گسترده شامل ۲۰۰ هزار روتر و دوربین تحت کنترل این شرکت را که با نام Raptor Train شناخته می‌شد، متلاشی کرد.
توصیه‌های امنیتی
به مدیران SOC و مهندسین امنیت توصیه می‌شود اقدامات زیر را انجام دهند:
- ایزوله‌سازی میزبان‌های مشکوک و بررسی دامنه نفوذ در شبکه.
- بررسی و مسدودسازی شاخص‌های آلودگی (IOCs) منتشر شده در گزارش ۳۹ صفحه‌ای FBI.
- پایش رابط‌های Exchange شامل ECP، EWS، OWA و PowerShell برای شناسایی حملات Password Spraying.
- به‌روزرسانی سریع سرویس‌های آسیب‌پذیر مانند Apache Struts و ONLYOFFICE.
به‌روزرسانی (اکتبر 9, 2026 — The Register)
به‌روزرسانی: FBI اعلام کرد که ۷ دامنه وب مرتبط با ابزارهای هک شرکت Integrity Technology Group را توقیف کرده است. این زیرساخت‌ها توسط عامل تهدید (Threat Actor) موسوم به Flax Typhoon برای شناسایی آسیب‌پذیری‌ها در زیرساخت‌های حیاتی، از جمله یک شرکت برق در کارولینای جنوبی و چندین دانشگاه در تایوان، مورد استفاده قرار می‌گرفتند.
در این عملیات، دو ابزار تخصصی شناسایی شدند: Microscan که یک اسکنر آسیب‌پذیری است و FishHub که برای فعالیت‌های پس از نفوذ (Post-compromise) و سرقت داده‌ها به کار می‌رود. این گروه از یک بات‌نت (Botnet) مبتنی بر Mirai برای پنهان کردن آدرس‌های IP و هدف قرار دادن دستگاه‌های متصل به اینترنت از سال ۲۰۲۱ استفاده می‌کردند.
در پی این یافته‌ها، آژانس امنیت سایبری و زیرساخت‌های آمریکا (CISA) پنج مورد CVE را به فهرست آسیب‌پذیری‌های اکسپلویت شده (KEV) اضافه کرد. گزارش‌ها حاکی از آن است که علاوه بر بخش انرژی، فرودگاه‌های ژاپن و لهستان و سازمان‌های غیردولتی بین‌المللی نیز هدف این حملات بوده‌اند.
به‌روزرسانی (اکتبر 9, 2026 — BleepingComputer)
به‌روزرسانی: FBI در عملیاتی جدید، ۷ دامنه متعلق به گروه Flax Typhoon (وابسته به شرکت Integrity Technology Group) را توقیف کرد. این زیرساخت‌ها برای مدیریت دو ابزار جاسوسی پیشرفته به نام‌های MicroScan و FishHub مورد استفاده قرار می‌گرفتند تا سازمان‌های جهانی و زیرساخت‌های حیاتی (Critical Infrastructure) را هدف قرار دهند.
ابزار MicroScan یک پلتفرم اسکن آسیب‌پذیری مبتنی بر Python است که با استفاده از بیش از ۱۳۰۰ اسکریپت، نقاط ضعف نرم‌افزارهایی مانند Oracle WebLogic و Apache Struts را شناسایی می‌کند. این ابزار برای شناسایی اهداف از یک Botnet متشکل از دستگاه‌های آلوده به بدافزار Mirai بهره می‌برد. در مقابل، FishHub برای اجرای حملات Spear-Phishing و توزیع بدافزارهای دسترسی از راه دور (Remote Access) جهت سرقت داده‌ها به کار می‌رفت.
گزارش‌ها حاکی از آن است که این عامل تهدید (Threat Actor)، زیرساخت‌های حساسی از جمله شرکت‌های برق، فرودگاه‌ها در ژاپن و لهستان و دانشگاه‌هایی در تایوان را هدف قرار داده است. همچنین از ابزار متن‌باز EBurst برای حملات Password Spraying علیه سرورهای Microsoft Exchange استفاده شده تا دسترسی‌های غیرمجاز ایجاد شود.
به‌روزرسانی (اکتبر 9, 2026 — hackread.com)
به‌روزرسانی: FBI و وزارت دادگستری ایالات متحده (DOJ) با توقیف ۷ دامنه، زیرساخت‌های عملیاتی گروه Flax Typhoon را هدف قرار داده‌اند. این اقدام منجر به از کار افتادن دو ابزار کلیدی این عامل تهدید (Threat Actor) شده است: ابزار Microscan که برای اسکن آسیب‌پذیری‌ها (Vulnerability Scanning) به کار می‌رفت و پلتفرم FishHub که عملیات فیشینگ هدفمند (Spear-Phishing) را پشتیبانی می‌کرد.
همزمان با این عملیات، FBI، CISA و NSA یک هشدار مشترک امنیت سایبری (Joint Cybersecurity Advisory) منتشر کردند که شامل جزئیات فنی، شاخص‌های آلودگی (IoCs) و راهکارهای مقابله با تاکتیک‌ها و تکنیک‌های (TTPs) این گروه است. این ابزارها پیش‌تر برای نفوذ به زیرساخت‌های حیاتی (Critical Infrastructure) و شبکه‌های خارجی مورد استفاده قرار گرفته بودند.
