Desde 2021, la empresa Integrity Technology Group, vinculada a China y sancionada por Estados Unidos y el Reino Unido, ha estado vulnerando de forma sistemática redes de organismos públicos, fuerzas y cuerpos de seguridad, entidades sanitarias, industrias críticas y organizaciones religiosas de todo el mundo, robando su correo de Microsoft 365 y Exchange y proporcionando acceso a este a través de su propio portal web a destinatarios externos; las organizaciones con estos sistemas y con aplicaciones web vulnerables deben dar prioridad a la búsqueda de signos de compromiso y al cierre de las vulnerabilidades utilizadas, conforme al aviso conjunto de los servicios de inteligencia de siete países publicado en el sitio de IC3.
Detalles técnicos del ataque y herramientas utilizadas
Perfil de los operadores e infraestructura
El aviso conjunto describe a Integrity Technology Group como «una empresa comercial con sede en China y vinculada al gobierno chino», cuyos empleados desarrollan y venden herramientas, alojan infraestructura y participan directamente en los ataques [IC3]. En 2024, el Departamento de Justicia de Estados Unidos ya había desmantelado una botnet controlada por Integrity de más de 200 000 routers, cámaras y otros dispositivos, conocida como Raptor Train, según se indica en un aviso anterior IC3 2024.
Según la evaluación de los autores del aviso, los métodos de los operadores son coherentes con la actividad que el sector rastrea bajo los nombres Flax Typhoon, Ethereal Panda, RedJuliett y otros, aunque no se afirma una correlación directa. Anteriormente, el director del FBI, Christopher Wray, se había referido públicamente a declaraciones del presidente del consejo de Integrity sobre la antigua recopilación de inteligencia para los servicios de seguridad chinos en su discurso de 2024. La propia empresa y el Ministerio de Asuntos Exteriores de China rechazaron estas acusaciones.
Acceso inicial: escaneo masivo y explotación de vulnerabilidades web
Los operadores construyen la vía de entrada a la red principalmente alrededor de herramientas contrastadas y vulnerabilidades conocidas, y no tanto alrededor de raros zero-days:
- escaneo masivo de hosts públicos con Nmap, masscan, WPScan en los puertos 21, 22, 53, 80, 443 y 1080;
- uso de su propio escáner MicroScan (aplicación web en Python con más de 1300 scripts para pentesting) contra objetivos como OpenSSL, Oracle WebLogic, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins, Apache Struts;
- explotación de ocho vulnerabilidades ya conocidas, algunas de las cuales el aviso conjunto incorpora por primera vez al catálogo de vulnerabilidades explotadas CISA KEV según los datos del repositorio KEV.
El aviso menciona por separado una vulnerabilidad en GitLab, rastreada como CVE-2021-22205, para la cual NVD recomienda actualizar a las versiones 13.8.8, 13.9.6 o 13.10.3 y superiores [NVD CVE‑2021‑22205]. En el caso de Strapi se consideran vulnerables las versiones desde la 3.2.1 hasta la 4.7.9, y la corrección se incluye en el lanzamiento 4.8.0, que Strapi describe por separado en su aviso en el sitio oficial. Para Apache Struts, la mitigación del riesgo es posible tanto mediante actualización como desactivando el mecanismo Dynamic Method Invocation conforme al boletín S2‑032 en la wiki de Apache.
En esta etapa, las aplicaciones web vulnerables y las versiones obsoletas del software de infraestructura actúan como principal criterio de selección de objetivos: los grupos no buscan tanto una organización concreta como «una buena puerta de entrada» a cualquier red con datos de interés.
Phishing mediante XSS y descarga del malware DiagTrack.exe
Además de explotar vulnerabilidades en el lado del servidor, los operadores emplean cadenas de ataque que comienzan con XSS. El FBI descubrió una carga útil XSS que modifica una página web vulnerable añadiendo un formulario de inicio de sesión. Cualquier combinación de usuario y contraseña introducida provoca la entrega de un archivo ZIP protegido por contraseña con el programa live700_v1.exe.
Tras su ejecución, este programa crea el proceso DiagTrack.exe, haciéndose pasar por un componente legítimo de Windows, y establece un intercambio cifrado con el dominio dns.studiocloud[.]xyz, que el FBI vincula a Integrity Technology Group. Según la valoración del Buró, la funcionalidad de este código malicioso está orientada al manejo de datos de correo.
Acceso al correo de Microsoft 365 y Exchange: EBurst y ataques de password spraying
Para la obtención masiva de credenciales, los atacantes emplean password spraying contra el correo de Microsoft tanto en la nube como on‑premise. Utilizan la herramienta abierta en Python EBurst, dirigida a las interfaces de Microsoft 365 y Exchange: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover, Microsoft‑Server‑ActiveSync.
Este enfoque es peligroso porque despliega ataques de amplio alcance (muchas cuentas) con un número relativamente reducido de contraseñas populares, manteniéndose por debajo de los umbrales típicos de bloqueo por intentos fallidos. Para los defensores, esto implica la necesidad de controlar no solo el acceso a OWA, sino también todos los protocolos de autenticación enumerados.
Persistencia en la red: SoftEther y DCSync
Una vez logrado el acceso inicial, los operadores se consolidan en la infraestructura y amplían su control:
- se instala el cliente VPN legítimo SoftEther, que suele despertar menos sospechas en las herramientas de seguridad; el instalador suele renombrarse a conhost.exe o dllhost.exe, y el cliente se configura para reconectarse automáticamente al arrancar el sistema;
- para robar credenciales de dominio se emplea la herramienta DC.exe, que utiliza la técnica DCSync, es decir, la imitación de un controlador de dominio y el envío de peticiones al servicio de replicación de Active Directory, lo que corresponde a la técnica MITRE ATT&CK «OS Credential Dumping: DCSync» T1003.006.
A través de DCSync, los atacantes obtienen hashes de contraseñas, datos sobre pertenencia a grupos y relaciones de confianza, es decir, todo lo necesario para una escalada de privilegios silenciosa y movimientos laterales por la red.
Robo y monetización de datos de correo
El foco clave de la campaña es la extracción sistemática de buzones de correo y la concesión de acceso a terceros:
- el script en PHP Curlc4.txt funciona como un bot que interactúa con Exchange Web Services (EWS) para descargar correos, calendarios y contactos, comprimir posteriormente (y en ocasiones cifrar) los datos y enviarlos a un servidor remoto cuyo dominio principal de mando es natcloudservice[.]com;
- la herramienta office-cli vuelve periódicamente sobre cuentas de Microsoft 365 ya comprometidas, descargando correo para nuevos periodos; se basa en archivos de configuración con client ID, tenant ID y secret y utiliza métodos de acceso legítimos, haciéndose pasar por integraciones estándar;
- en varios casos se ha observado la descarga manual de bases de datos y archivos de correo por parte de los operadores.
En un nivel posterior, los atacantes utilizan su propia aplicación web, que proporciona a terceros acceso al contenido robado de los buzones mediante parámetros en la URL. En algunos casos, el acceso a este portal se limitó a direcciones IP de la ciudad de Xiamen (China), lo que apunta indirectamente a un círculo controlado de consumidores de los datos.
Contexto de la amenaza y alcance
La actividad de Integrity Technology Group se remonta al menos a mediados de enero de 2021, aunque algunos indicadores de infraestructura del aviso están fechados en 2016. Entre las víctimas se incluyen:
- organismos públicos y fuerzas y cuerpos de seguridad de Estados Unidos;
- industrias críticas, entidades sanitarias y organizaciones de TI;
- instituciones educativas y religiosas;
- organizaciones en el Sudeste Asiático, África y Norteamérica.
Dada la orientación hacia el correo, se trata ante todo de una campaña de inteligencia a largo plazo, y no de ataques puntuales de extorsión. El portal para terceros convierte los datos robados en una especie de «servicio por suscripción»: puede ser tanto una plataforma interna para consumidores dentro de un mismo ecosistema como un servicio para clientes externos, incluidos pseudorganismos de inteligencia o contrapartes comerciales.
La coincidencia observada de direcciones IP de servidores de mando entre el aviso de 2024 sobre la botnet y el nuevo informe, pese a las distintas fechas de «última observación», muestra que la infraestructura de los atacantes tiene una vida larga y se reutiliza. Para los especialistas en defensa, esto es una señal de que no deben fiarse de un único sello temporal en un IOC, sino considerar estos registros como indicadores a largo plazo para una búsqueda constante de rastros de actividad.
Evaluación del impacto en las organizaciones
Están especialmente expuestas las organizaciones con las siguientes características:
- Microsoft 365 o Exchange desplegados (incluidas configuraciones híbridas);
- versiones obsoletas de Struts, GitLab, ONLYOFFICE, Strapi y otros productos de la lista del aviso sin parches actuales;
- paneles de administración y API de acceso público en los puertos 21/22/53/80/443/1080;
- control insuficiente sobre las aplicaciones con acceso al correo y a archivos en la nube.
Posibles consecuencias de no actuar:
- compromiso del correo de la dirección y del personal de TI, con fuga de contratos, correspondencia con reguladores, investigaciones internas, etc.;
- pérdida de confianza en el correo como canal: la interceptación de códigos de un solo uso, solicitudes de restablecimiento de contraseña y confirmaciones de pagos facilita posteriores fraudes BEC y ataques a la cadena de suministro;
- escalada hasta la infraestructura de dominio a través de DCSync, lo que crea el riesgo de un control total de la red y la implantación de puertas traseras invisibles;
- consecuencias legales y regulatorias en sectores con requisitos estrictos de protección de datos personales y médicos.
Recomendaciones prácticas de protección
1. Prioridad técnica inmediata (0–7 días)
- Comprobar todos los equipos en busca de instalaciones de SoftEther, especialmente archivos ejecutables llamados conhost.exe y dllhost.exe que no correspondan a la ubicación estándar de los archivos del sistema.
- Analizar los registros DNS y de proxy en busca de conexiones a los dominios:
- dns.studiocloud[.]xyz
- natcloudservice[.]com
- En Active Directory, configurar monitorización y alertas sobre:
- operaciones de replicación del directorio no habituales;
- uso de DCSync en nombre de cuentas que no sean controladores de dominio ni pertenezcan a los grupos Domain Admin/Enterprise Admin.
- En Microsoft 365 y Exchange:
- activar la autenticación multifactor para todas las cuentas con acceso al correo, especialmente las de administradores y cuentas de servicio;
- analizar los registros de aplicaciones y los permisos concedidos para acceder al correo y a los archivos, y eliminar los desconocidos y los excesivos;
- activar auditoría y alertas sobre operaciones EWS, MAPI y PowerShell Remoting desde direcciones IP externas.
2. Eliminación de vulnerabilidades (en 2–4 semanas)
- Instalar parches para las ocho vulnerabilidades enumeradas en el aviso conjunto [IC3 2026‑10‑08], incluyendo:
- actualizar GitLab a versiones que corrigen CVE‑2021‑22205 según NVD;
- actualizar Strapi al menos a la versión 4.8.0 conforme al aviso oficial de Strapi;
- actualizar ONLYOFFICE DocumentServer al menos a la versión 5.6.3, en la que se declara el cierre de la vulnerabilidad correspondiente según el changelog.
- Desactivar Dynamic Method Invocation en Apache Struts, si la actualización no es posible, siguiendo la recomendación Apache S2‑032 [Apache Struts Security].
- Reducir la exposición externa de servicios en los puertos 21, 22, 53, 80, 443, 1080:
- restringir los paneles de administración mediante VPN y listas de IP de confianza;
- cerrar servicios no utilizados y eliminar productos obsoletos que ya no reciban actualizaciones.
- Comprobar sus productos frente al catálogo CISA KEV en GitHub y establecer una planificación de parches priorizada para las vulnerabilidades que figuren en él.
3. Búsqueda de signos de compromiso y respuesta
- Realizar una búsqueda retrospectiva de indicadores de compromiso a partir del anexo del aviso [IC3], utilizándolos ante todo como material de threat hunting y no para bloqueos masivos, teniendo en cuenta la posible antigüedad de algunos registros.
- Al detectar actividad sospechosa:
- aislar los equipos afectados solo después de recopilar los artefactos clave (registros, memoria, configuraciones de VPN y agentes de correo);
- analizar hasta qué punto se ha infiltrado el atacante (AD, correo, bases de datos);
- cambiar todas las contraseñas de administradores de dominio y de la nube, cerrar sesiones de forma forzada y revocar tokens OAuth y secretos utilizados por aplicaciones de terceros;
- reconstruir las relaciones de confianza entre dominios si se han visto comprometidas mediante DCSync.
La principal conclusión práctica es que cualquier operador de Microsoft 365 o Exchange con aplicaciones web expuestas externamente debe, en el corto plazo, combinar la comprobación de replicaciones anómalas de Active Directory (DCSync), la auditoría de aplicaciones con acceso al correo y la instalación de parches para los componentes vulnerables (GitLab, Struts, Strapi, ONLYOFFICE, etc.) del aviso conjunto: este es el mínimo de acciones que reduce el riesgo de acabar formando parte del escaparate de correo de Integrity Technology Group.
