С 2021 года связанная с Китаем компания Integrity Technology Group, санкционированная США и Великобританией, системно взламывала сети госорганов, правоохранительных структур, здравоохранения, критического производства и религиозных организаций по всему миру, похищала их почту из Microsoft 365 и Exchange и предоставляла к ней доступ через собственный веб‑портал сторонним получателям; организациям с такими системами и уязвимыми веб‑приложениями необходимо в приоритетном порядке проверить признаки компрометации и закрыть задействованные уязвимости по совместному уведомлению спецслужб семи стран на сайте IC3.
Технические детали атаки и инструментарий
Профиль операторов и инфраструктуры
Совместное уведомление описывает Integrity Technology Group как «коммерческую компанию, базирующуюся в Китае и связанную с китайским правительством», сотрудники которой разрабатывают и продают инструменты, хостят инфраструктуру и сами участвуют во взломах [IC3]. В 2024 году Минюст США уже выводил из строя контролируемый Integrity ботнет более чем из 200 000 маршрутизаторов, камер и прочих устройств, известный как Raptor Train, о чем говорится в предыдущем уведомлении IC3 2024.
По оценке авторов уведомления, методы операторов согласуются с активностью, отслеживаемой в отрасли под именами Flax Typhoon, Ethereal Panda, RedJuliett и др., однако прямое сопоставление не утверждается. Ранее директор ФБР Кристофер Рэй публично ссылался на заявления председателя совета Integrity о давнем сборе разведданных для китайских спецслужб в своей речи 2024 года. Сама компания и МИД Китая эти обвинения отвергали.
Первичный доступ: массовое сканирование и эксплуатация веб‑уязвимостей
Операторы строят вход в сеть в первую очередь вокруг перепроверенных инструментов и известных уязвимостей, а не вокруг редких нулевых дней:
- массовое сканирование публичных хостов с помощью Nmap, masscan, WPScan по портам 21, 22, 53, 80, 443 и 1080;
- использование собственного сканнера MicroScan (Python‑веб‑приложение с более чем 1300 скриптами для пентеста) против таких целей, как OpenSSL, Oracle WebLogic, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins, Apache Struts;
- эксплуатация восьми уже известных уязвимостей, часть из которых совместным уведомлением впервые добавлена в каталог эксплуатируемых уязвимостей CISA KEV по данным репозитория KEV.
Отдельно в уведомлении упомянута уязвимость в GitLab, отслеживаемая как CVE-2021-22205, для которой NVD рекомендует обновление до версий 13.8.8, 13.9.6 или 13.10.3 и выше [NVD CVE‑2021‑22205]. Для Strapi уязвимыми считаются версии с 3.2.1 по 4.7.9, а исправление включено в релиз 4.8.0, что Strapi отдельно описывает в своём уведомлении на официальном сайте. Для Apache Struts устранение риска возможно как обновлением, так и отключением механизма Dynamic Method Invocation согласно бюллетеню S2‑032 на wiki Apache.
На этом этапе уязвимые веб‑приложения и устаревшие версии инфраструктурного софта выступают главным критерием отбора целей: группы ищут не столько конкретную организацию, сколько «хороший вход» в любую сеть с интересными данными.
Фишинг через XSS и загрузка вредоносного DiagTrack.exe
Помимо эксплуатации серверных уязвимостей, операторы задействуют атакующие цепочки, начинающиеся с XSS. ФБР обнаружило полезную нагрузку XSS, которая модифицирует уязвимую веб‑страницу, добавляя на неё форму логина. Любая введённая пара логин–пароль приводит к выдаче защищённого паролем ZIP‑архива с программой live700_v1.exe.
После запуска эта программа создаёт процесс DiagTrack.exe, маскируясь под легитимный компонент Windows, и устанавливает зашифрованный обмен с доменом dns.studiocloud[.]xyz, который ФБР привязывает к Integrity Technology Group. По оценке бюро, функциональность этого вредоносного кода ориентирована на работу с почтовыми данными.
Доступ к почте Microsoft 365 и Exchange: EBurst и атаки перебора паролей
Для массового получения учётных данных атакующие применяют password spraying против облачной и on‑premise почты Microsoft. Используется открытый Python‑инструмент EBurst, нацеленный на интерфейсы Microsoft 365 и Exchange: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover, Microsoft‑Server‑ActiveSync.
Такой подход опасен тем, что бьёт по широкой площади (много аккаунтов) относительно малым числом популярных паролей, оставаясь ниже типичных порогов блокировки за неудачные попытки. Для защитников это означает необходимость контроля не только за входом в OWA, но и за всеми перечисленными протоколами в аутентификации.
Закрепление в сети: SoftEther и DCSync
Добившись первичного доступа, операторы закрепляются в инфраструктуре и расширяют контроль:
- устанавливается легитимный VPN‑клиент SoftEther, который реже вызывается подозрением у средств защиты; установщик часто переименовывается в conhost.exe или dllhost.exe, а клиент настраивается на автоматическое переподключение при запуске системы;
- для кражи доменных учётных данных применяется инструмент DC.exe, использующий технику DCSync — имитацию контроллера домена и запросы к службе репликации Active Directory, что соответствует технике MITRE ATT&CK «OS Credential Dumping: DCSync» T1003.006.
Через DCSync атакующие получают хэши паролей, данные о членстве в группах и отношениях доверия — то есть всё необходимое для тихой эскалации привилегий и горизонтального перемещения по сети.
Кража и монетизация почтовых данных
Ключевой фокус кампании — систематическая выгрузка почтовых ящиков и предоставление к ним доступа третьим лицам:
- PHP‑скрипт Curlc4.txt работает как бот, взаимодействующий с Exchange Web Services (EWS) для выгрузки писем, календарей и контактов, последующего сжатия (и иногда шифрования) данных и отправки на удалённый сервер с главным управляющим доменом natcloudservice[.]com;
- инструмент office-cli периодически возвращается к уже скомпрометированным Microsoft 365‑аккаунтам, выгружая почту за новые периоды; он опирается на конфигурационные файлы с client ID, tenant ID и secret и использует легитимные методы доступа, маскируясь под штатные интеграции;
- в ряде случаев фиксирована ручная выгрузка баз данных и почтовых архивов операторами.
На следующем уровне злоумышленники эксплуатируют собственное веб‑приложение, которое предоставляет третьим сторонам доступ к украденному содержимому почтовых ящиков по параметрам в URL. В отдельных случаях доступ к этому порталу ограничивался IP‑адресами в городе Сямэнь (Китай), что косвенно указывает на контролируемый круг потребителей данных.
Контекст угроз и масштабы
Деятельность Integrity Technology Group прослеживается минимум с середины января 2021 года, при этом некоторые индикаторы инфраструктуры в уведомлении датированы 2016 годом. Жертвами становились:
- госорганы и правоохранительные структуры США;
- критическое производство, здравоохранение, ИТ‑организации;
- образовательные и религиозные учреждения;
- организации в Юго‑Восточной Азии, Африке и Северной Америке.
Учитывая ориентацию на почту, речь идёт в первую очередь о долговременной разведывательной кампании, а не о разовых вымогательских атаках. Портал для третьих лиц превращает украденные данные в своего рода «услугу по подписке» — это может быть как внутренняя платформа для потребителей внутри одной экосистемы, так и сервис для внешних клиентов, вплоть до псевдо‑разведывательных структур или коммерческих контрагентов.
Наблюдаемое пересечение IP‑адресов командных серверов между уведомлением 2024 года о ботнете и новым отчётом, при различающихся датах «последнего наблюдения», показывает, что инфраструктура злоумышленников долго живёт и переиспользуется. Для специалистов по защите это сигнал не полагаться на одиночную временную метку в IOC, а рассматривать такие записи как долгосрочные индикаторы для постоянного поиска следов активности.
Оценка воздействия на организации
Наибольшему риску подвержены организации со следующими признаками:
- развёрнутые Microsoft 365 или Exchange (включая гибридные конфигурации);
- устаревшие версии Struts, GitLab, ONLYOFFICE, Strapi и прочих продуктов из списка уведомления без актуальных патчей;
- публично доступные панели администрирования и API на портах 21/22/53/80/443/1080;
- недостаточный контроль над приложениями с доступом к почте и файлам в облаке.
Вероятные последствия при бездействии:
- компрометация почты руководства и ИТ‑персонала с утечкой договоров, переписки с регуляторами, внутренних расследований и пр.;
- подрыв доверия к почте как каналу: перехват одноразовых кодов, запросов на сброс пароля, подтверждений платежей облегчает последующие BEC‑мошенничества и атаки по цепочке поставок;
- эскалация до уровня доменной инфраструктуры через DCSync, что создаёт риск тотального контроля над сетью и внедрения незаметных закладок;
- юридические и регуляторные последствия в отраслях с жёсткими требованиями к защите персональных и медицинских данных.
Практические рекомендации для защиты
1. Немедленный технический приоритет (0–7 дней)
- Проверить все узлы на наличие установок SoftEther, особенно исполняемых файлов с именами conhost.exe и dllhost.exe, не соответствующих стандартному расположению системных файлов.
- Проанализировать DNS‑ и прокси‑логи на обращения к доменам:
- dns.studiocloud[.]xyz
- natcloudservice[.]com
- В Active Directory настроить мониторинг и оповещения на:
- нетипичные операции репликации каталога;
- использование DCSync от имени учетных записей, не являющихся контроллерами домена и не входящих в группы Domain Admin/Enterprise Admin.
- В Microsoft 365 и Exchange:
- включить многофакторную аутентификацию для всех аккаунтов с доступом к почте, особенно администраторов и сервисных учётных записей;
- проанализировать регистрации приложений и выданные им разрешения на доступ к почте и файлам, удалить неизвестные и избыточные;
- включить аудит и оповещения по операциям EWS, MAPI, PowerShell Remoting от внешних IP‑адресов.
2. Устранение уязвимостей (в течение 2–4 недель)
- Установить обновления для всех восьми уязвимостей, перечисленных в совместном уведомлении [IC3 2026‑10‑08], включая:
- обновление GitLab до версий, устраняющих CVE‑2021‑22205 по NVD;
- обновление Strapi минимум до 4.8.0 согласно официальному уведомлению Strapi;
- обновление ONLYOFFICE DocumentServer хотя бы до версии 5.6.3, в которой заявлено закрытие соответствующей уязвимости по changelog.
- Отключить Dynamic Method Invocation в Apache Struts, если обновление невозможно, ориентируясь на рекомендацию Apache S2‑032 [Apache Struts Security].
- Сократить внешнюю доступность служб на портах 21, 22, 53, 80, 443, 1080:
- ограничить админ‑панели по VPN и спискам доверенных IP;
- закрыть неиспользуемые сервисы и удалить устаревшие продукты, которые больше не получают обновлений.
- Проверить свои продукты по каталогу CISA KEV на GitHub и выстроить приоритетное патч‑планирование по уязвимостям, которые в нём присутствуют.
3. Поиск следов компрометации и реагирование
- Выполнить ретроспективный поиск по индикаторам компрометации из приложения к уведомлению [IC3], используя их в первую очередь как материал для охоты, а не для массовой блокировки, учитывая возможную давность некоторых записей.
- При обнаружении подозрительной активности:
- изолировать затронутые узлы только после сбора ключевых артефактов (логи, память, конфигурации VPN и почтовых агентов);
- провести анализ, насколько глубоко злоумышленник продвинулся (AD, почта, базы данных);
- сменить все пароли доменных и облачных администраторов, принудительно разлогинить сессии и отозвать OAuth‑токены и секреты, использованные сторонними приложениями;
- перестроить доверительные отношения между доменами, если они были скомпрометированы через DCSync.
Главный практический вывод: любой оператор Microsoft 365 или Exchange с внешними веб‑приложениями должен в ближайшее время совместить проверку аномальной репликации Active Directory (DCSync), аудит приложений с доступом к почте и установку патчей для уязвимых компонентов (GitLab, Struts, Strapi, ONLYOFFICE и др.) из совместного уведомления — это минимальный набор действий, снижающий риск стать частью почтовой витрины Integrity Technology Group.
