Wie Integrity Technology Group Zugriff auf gestohlene E-Mail-Kommunikation verkaufte

Seit 2021 hat das mit China verbundene Unternehmen Integrity Technology Group, das von den USA und dem Vereinigten Königreich mit Sanktionen belegt wurde, systematisch Netzwerke von Regierungsbehörden, Strafverfolgungsbehörden, Einrichtungen des Gesundheitswesens, kritischer Produktion und religiösen Organisationen weltweit gehackt, ihre E-Mails aus Microsoft 365 und Exchange entwendet und Dritten über ein eigenes Webportal Zugriff darauf gewährt; Organisationen mit solchen Systemen und verwundbaren Webanwendungen müssen vorrangig auf Anzeichen einer Kompromittierung prüfen und die ausgenutzten Schwachstellen schließen, wie es in der gemeinsamen Mitteilung der Nachrichtendienste von sieben Ländern auf der IC3-Website empfohlen wird.

Technische Details der Angriffe und des Toolings

Profil der Operatoren und der Infrastruktur

Die gemeinsame Mitteilung beschreibt Integrity Technology Group als „kommerzielles Unternehmen mit Sitz in China, das mit der chinesischen Regierung in Verbindung steht“, dessen Mitarbeiter Werkzeuge entwickeln und verkaufen, Infrastruktur hosten und selbst an Einbrüchen beteiligt sind [IC3]. 2024 hatte das US-Justizministerium bereits ein von Integrity kontrolliertes Botnetz mit mehr als 200.000 Routern, Kameras und anderen Geräten, bekannt als Raptor Train, außer Betrieb gesetzt, wie in der früheren Mitteilung IC3 2024 beschrieben.

Nach Einschätzung der Autoren der Mitteilung stimmen die Methoden der Operatoren mit Aktivitäten überein, die in der Branche unter den Namen Flax Typhoon, Ethereal Panda, RedJuliett u. a. verfolgt werden, wobei jedoch keine direkte Gleichsetzung behauptet wird. Zuvor hatte FBI-Direktor Christopher Wray öffentlich auf Aussagen des Vorstandsvorsitzenden von Integrity verwiesen, wonach seit Langem nachrichtendienstliche Informationen für chinesische Geheimdienste gesammelt würden, in seiner Rede 2024. Das Unternehmen selbst und das chinesische Außenministerium wiesen diese Vorwürfe zurück.

Erstzugang: massenhaftes Scannen und Ausnutzen von Web-Schwachstellen

Die Operatoren bauen den Einstieg in das Netzwerk in erster Linie rund um bewährte Tools und bekannte Schwachstellen auf, nicht um seltene Zero-Days:

• massenhaftes Scannen öffentlicher Hosts mit Nmap, masscan, WPScan auf den Ports 21, 22, 53, 80, 443 und 1080;
• Einsatz des eigenen Scanners MicroScan (Python-Webanwendung mit mehr als 1300 Skripten für Penetrationstests) gegen Ziele wie OpenSSL, Oracle WebLogic, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins, Apache Struts;
• Ausnutzung von acht bereits bekannten Schwachstellen, von denen einige durch die gemeinsame Mitteilung erstmals in den Katalog der ausgenutzten Schwachstellen CISA KEV aufgenommen wurden nach Angaben des KEV-Repositoriums.

In der Mitteilung wird gesondert eine Schwachstelle in GitLab erwähnt, die als CVE-2021-22205 verfolgt wird und für die NVD ein Update auf die Versionen 13.8.8, 13.9.6 oder 13.10.3 und höher empfiehlt [NVD CVE‑2021‑22205]. Bei Strapi gelten die Versionen 3.2.1 bis 4.7.9 als verwundbar, und der Fix ist im Release 4.8.0 enthalten, was Strapi in seinem eigenen Sicherheitshinweis auf der offiziellen Website separat beschreibt. Für Apache Struts ist die Risikoreduzierung sowohl durch ein Update als auch durch das Deaktivieren des Mechanismus Dynamic Method Invocation möglich, wie im Bulletin S2‑032 im Apache-Wiki erläutert.

In dieser Phase dienen verwundbare Webanwendungen und veraltete Versionen von Infrastruktursoftware als wichtigstes Kriterium für die Zielauswahl: Die Gruppen suchen nicht so sehr nach einer konkreten Organisation, sondern nach einem „guten Einstieg“ in ein beliebiges Netzwerk mit interessanten Daten.

Phishing über XSS und Download der schädlichen DiagTrack.exe

Neben der Ausnutzung von Server-Schwachstellen setzen die Operatoren Angriffsketten ein, die mit XSS beginnen. Das FBI hat eine XSS-Payload entdeckt, die eine verwundbare Webseite modifiziert, indem sie dieser ein Login-Formular hinzufügt. Jedes eingegebene Login-Passwort-Paar führt zur Aushändigung eines passwortgeschützten ZIP-Archivs mit dem Programm live700_v1.exe.

Nach dem Start erzeugt dieses Programm den Prozess DiagTrack.exe, tarnt sich als legitime Windows-Komponente und stellt einen verschlüsselten Datenaustausch mit der Domain dns.studiocloud[.]xyz her, die das FBI der Integrity Technology Group zuordnet. Nach Einschätzung des Bureaus ist die Funktionalität dieses Schadcodes auf den Umgang mit E-Mail-Daten ausgerichtet.

Zugriff auf Microsoft-365- und Exchange-Postfächer: EBurst und Password-Spraying-Angriffe

Für das massenhafte Erlangen von Zugangsdaten setzen die Angreifer password spraying gegen die Cloud- und On-Premise-E-Mail von Microsoft ein. Verwendet wird das Open-Source-Python-Tool EBurst, das auf die Schnittstellen von Microsoft 365 und Exchange abzielt: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover, Microsoft-Server-ActiveSync.

Dieser Ansatz ist deshalb gefährlich, weil er eine große Anzahl von Konten mit einer relativ kleinen Zahl gängiger Passwörter angreift und dabei unter typischen Schwellen für die Sperrung wegen fehlgeschlagener Anmeldeversuche bleibt. Für Verteidiger bedeutet das, dass sie nicht nur die Anmeldung an OWA, sondern alle genannten Protokolle in der Authentifizierung überwachen müssen.

Persistenz in der Netzwerk-Infrastruktur: SoftEther und DCSync

Nachdem sie den Erstzugang erlangt haben, verankern sich die Operatoren in der Infrastruktur und bauen ihre Kontrolle aus:

• Es wird der legitime VPN-Client SoftEther installiert, der von Sicherheitslösungen seltener Verdacht erregt; das Installationsprogramm wird häufig in conhost.exe oder dllhost.exe umbenannt, und der Client wird so konfiguriert, dass er sich beim Systemstart automatisch wieder verbindet;
• zum Diebstahl von Domänenzugangsdaten wird das Tool DC.exe eingesetzt, das die Technik DCSync nutzt – die Imitation eines Domänencontrollers und Anfragen an den Active-Directory-Replikationsdienst, was der MITRE-ATT&CK-Technik „OS Credential Dumping: DCSync“ T1003.006 entspricht.

Über DCSync erhalten die Angreifer Passwort-Hashes, Daten zur Gruppenmitgliedschaft und zu Vertrauensbeziehungen – also alles Nötige für eine unauffällige Rechteausweitung und laterale Bewegung im Netzwerk.

Diebstahl und Monetarisierung von E-Mail-Daten

Der zentrale Fokus der Kampagne ist die systematische Extraktion von Postfächern und die Bereitstellung des Zugriffs darauf für Dritte:

• Das PHP-Skript Curlc4.txt fungiert als Bot, der über Exchange Web Services (EWS) E-Mails, Kalender und Kontakte extrahiert, die Daten anschließend komprimiert (und teilweise verschlüsselt) und an einen entfernten Server mit der Hauptsteuerdomain natcloudservice[.]com sendet;
• das Tool office-cli kehrt in regelmäßigen Abständen zu bereits kompromittierten Microsoft-365-Konten zurück und lädt E-Mails für neue Zeiträume herunter; es stützt sich auf Konfigurationsdateien mit Client ID, Tenant ID und Secret und nutzt legitime Zugriffsmethoden, wodurch es sich als reguläre Integration tarnt;
• in einigen Fällen wurde von einer manuellen Extraktion von Datenbanken und E-Mail-Archiven durch die Operatoren berichtet.

Auf der nächsten Ebene betreiben die Angreifer eine eigene Webanwendung, die Dritten über Parameter in der URL Zugang zu dem gestohlenen Inhalt von Postfächern verschafft. In einzelnen Fällen war der Zugriff auf dieses Portal auf IP-Adressen in der Stadt Xiamen (China) beschränkt, was indirekt auf einen kontrollierten Kreis von Datenabnehmern hinweist.

Bedrohungskontext und Umfang

Die Aktivität der Integrity Technology Group lässt sich mindestens bis Mitte Januar 2021 zurückverfolgen, wobei einige Infrastrukturindikatoren in der Mitteilung auf das Jahr 2016 datiert sind. Zu den Opfern zählten:

• US-Regierungsbehörden und Strafverfolgungsbehörden;
• kritische Fertigung, Gesundheitswesen, IT-Organisationen;
• Bildungs- und Religionsinstitutionen;
• Organisationen in Südostasien, Afrika und Nordamerika.

Angesichts des Fokus auf E-Mail handelt es sich in erster Linie um eine langfristige nachrichtendienstliche Kampagne und nicht um einmalige Erpressungsangriffe. Das Portal für Dritte verwandelt die gestohlenen Daten in eine Art „Abonnementdienst“ – dies kann sowohl eine interne Plattform für Nutzer innerhalb eines Ökosystems als auch ein Service für externe Kunden sein, bis hin zu pseudo-nachrichtendienstlichen Strukturen oder kommerziellen Geschäftspartnern.

Die beobachtete Überschneidung der IP-Adressen von Command-and-Control-Servern zwischen der Mitteilung von 2024 über das Botnetz und dem neuen Bericht, bei unterschiedlichen Datumsangaben des „letzten Beobachtungszeitpunkts“, zeigt, dass die Infrastruktur der Angreifer lange lebt und wiederverwendet wird. Für Schutzverantwortliche ist dies ein Signal, sich nicht auf einen einzelnen Zeitstempel in einem IOC zu verlassen, sondern solche Einträge als langfristige Indikatoren für die fortlaufende Suche nach Aktivitätsspuren zu betrachten.

Bewertung der Auswirkungen auf Organisationen

Am stärksten gefährdet sind Organisationen mit folgenden Merkmalen:

• bereitgestellte Microsoft 365 oder Exchange-Umgebungen (einschließlich hybrider Konfigurationen);
• veraltete Versionen von Struts, GitLab, ONLYOFFICE, Strapi und anderen in der Mitteilung aufgeführten Produkten ohne aktuelle Patches;
• öffentlich zugängliche Administrationspanels und APIs auf den Ports 21/22/53/80/443/1080;
• unzureichende Kontrolle über Anwendungen mit Zugriff auf E-Mails und Dateien in der Cloud.

Wahrscheinliche Folgen bei Untätigkeit:

• Kompromittierung der E-Mails von Management und IT-Personal mit Abfluss von Verträgen, Korrespondenz mit Aufsichtsbehörden, internen Untersuchungen usw.;
• Erschütterung des Vertrauens in E-Mail als Kanal: Das Abfangen von Einmalcodes, Anfragen zum Zurücksetzen von Passwörtern und Zahlungsbestätigungen erleichtert anschließende BEC-Betrugsversuche und Angriffe entlang der Lieferkette;
• Eskalation bis zur Domäneninfrastruktur über DCSync, was das Risiko einer vollständigen Kontrolle über das Netzwerk und der Implementierung unauffälliger Hintertüren schafft;
• rechtliche und regulatorische Konsequenzen in Branchen mit strengen Anforderungen an den Schutz personenbezogener und medizinischer Daten.

Praxisnahe Empfehlungen zum Schutz

1. Unmittelbare technische Prioritäten (0–7 Tage)

• Alle Systeme auf Installationen von SoftEther prüfen, insbesondere auf ausführbare Dateien mit den Namen conhost.exe und dllhost.exe, die nicht dem Standardpfad für Systemdateien entsprechen.
• DNS- und Proxy-Logs auf Verbindungen zu folgenden Domains analysieren:
  • dns.studiocloud[.]xyz
  • natcloudservice[.]com
• In Active Directory Monitoring und Alarme konfigurieren für:
  • ungewöhnliche Katalogreplikationsvorgänge;
  • Einsatz von DCSync im Namen von Konten, die keine Domänencontroller sind und nicht zu den Gruppen Domain Admin/Enterprise Admin gehören.
• In Microsoft 365 und Exchange:
  • Multi-Faktor-Authentifizierung für alle Konten mit E-Mail-Zugriff aktivieren, insbesondere Administratoren und Servicekonten;
  • registrierte Anwendungen und deren Berechtigungen für den Zugriff auf E-Mails und Dateien analysieren, unbekannte und überflüssige entfernen;
  • Audit und Alarme für EWS-, MAPI- und PowerShell-Remoting-Operationen von externen IP-Adressen einschalten.

2. Beseitigung von Schwachstellen (innerhalb von 2–4 Wochen)

• Updates für alle acht Schwachstellen installieren, die in der gemeinsamen Mitteilung [IC3 2026‑10‑08] aufgeführt sind, darunter:
  • Update von GitLab auf Versionen, die CVE‑2021‑22205 beheben laut NVD;
  • Update von Strapi mindestens auf Version 4.8.0 gemäß offiziellem Sicherheitshinweis von Strapi;
  • Update von ONLYOFFICE DocumentServer mindestens auf Version 5.6.3, in der die entsprechende Schwachstelle laut Changelog behoben wurde laut Changelog.
• Dynamic Method Invocation in Apache Struts deaktivieren, falls ein Update nicht möglich ist, basierend auf der Empfehlung Apache S2‑032 [Apache Struts Security].
• Die externe Erreichbarkeit von Diensten auf den Ports 21, 22, 53, 80, 443, 1080 reduzieren:
  • Admin-Panels per VPN und über vertrauenswürdige IP-Listen beschränken;
  • nicht genutzte Services schließen und veraltete Produkte entfernen, die keine Updates mehr erhalten.
• Eigene Produkte mit dem CISA-KEV-Katalog auf GitHub abgleichen und eine priorisierte Patch-Planung für Schwachstellen aufbauen, die darin aufgeführt sind.

3. Suche nach Kompromittierungsspuren und Reaktion

• Eine retrospektive Suche anhand der Kompromittierungsindikatoren aus dem Anhang zur Mitteilung [IC3] durchführen, wobei diese in erster Linie als Grundlage für Threat Hunting und nicht für massenhaftes Blockieren genutzt werden sollten, da einige Einträge älteren Datums sein können.
• Bei Entdeckung verdächtiger Aktivitäten:
  • betroffene Systeme erst nach der Erfassung der wichtigsten Artefakte (Logs, Speicher, Konfigurationen von VPN und E-Mail-Agenten) isolieren;
  • analysieren, wie tief der Angreifer vorgedrungen ist (AD, E-Mail, Datenbanken);
  • alle Passwörter von Domänen- und Cloud-Administratoren ändern, Sitzungen zwangsweise abmelden sowie OAuth-Tokens und Secrets widerrufen, die von Drittanbieteranwendungen genutzt wurden;
  • Vertrauensbeziehungen zwischen Domänen neu aufbauen, falls diese über DCSync kompromittiert wurden.

Die wichtigste praktische Schlussfolgerung: Jeder Betreiber von Microsoft 365 oder Exchange mit externen Webanwendungen sollte in naher Zukunft die Überprüfung auf anomale Active-Directory-Replikation (DCSync), das Audit von Anwendungen mit Zugriff auf E-Mails und die Installation von Patches für verwundbare Komponenten (GitLab, Struts, Strapi, ONLYOFFICE u. a.) aus der gemeinsamen Mitteilung kombinieren – dies ist das Mindestmaß an Maßnahmen, um das Risiko zu senken, Teil der E-Mail-Auslage der Integrity Technology Group zu werden.