Як Integrity Technology Group продавала доступ до викраденої переписки

З 2021 року пов’язана з Китаєм компанія Integrity Technology Group, яку санкціонували США та Велика Британія, системно зламувала мережі держорганів, правоохоронних структур, охорони здоров’я, критичного виробництва та релігійних організацій по всьому світу, викрадала їхню пошту з Microsoft 365 та Exchange і надавала до неї доступ через власний веб‑портал стороннім отримувачам; організаціям із такими системами та вразливими веб‑застосунками необхідно в пріоритетному порядку перевірити ознаки компрометації та закрити задіяні вразливості за спільним повідомленням спецслужб семи країн на сайті IC3.

Технічні деталі атаки та інструментарій

Профіль операторів та інфраструктури

Спільне повідомлення описує Integrity Technology Group як «комерційну компанію, що базується в Китаї та пов’язана з китайським урядом», співробітники якої розробляють і продають інструменти, розміщують інфраструктуру і самі беруть участь у зламах [IC3]. У 2024 році Мін’юст США вже виводив із ладу контрольований Integrity ботнет більш ніж із 200 000 маршрутизаторів, камер та інших пристроїв, відомий як Raptor Train, про що йдеться в попередньому повідомленні IC3 2024.

На думку авторів повідомлення, методи операторів узгоджуються з активністю, яку в галузі відстежують під назвами Flax Typhoon, Ethereal Panda, RedJuliett тощо, однак пряме зіставлення не стверджується. Раніше директор ФБР Крістофер Рей публічно посилався на заяви голови ради директорів Integrity про давній збір розвідданих для китайських спецслужб у своїй промові 2024 року. Сама компанія та МЗС Китаю ці звинувачення відкидали.

Первинний доступ: масове сканування та експлуатація веб‑вразливостей

Оператори будують вхід до мережі насамперед навколо перевірених інструментів і відомих вразливостей, а не навколо рідкісних нульових днів:

• масове сканування публічних хостів за допомогою Nmap, masscan, WPScan за портами 21, 22, 53, 80, 443 і 1080;
• використання власного сканера MicroScan (Python‑веб‑застосунок із більш ніж 1300 скриптами для тестування на проникнення) проти таких цілей, як OpenSSL, Oracle WebLogic, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins, Apache Struts;
• експлуатація восьми вже відомих вразливостей, частину з яких спільним повідомленням уперше додано до каталогу експлуатованих вразливостей CISA KEV за даними репозиторію KEV.

Окремо в повідомленні згадується вразливість у GitLab, яку відстежують як CVE-2021-22205, для якої NVD рекомендує оновлення до версій 13.8.8, 13.9.6 або 13.10.3 і вище [NVD CVE‑2021‑22205]. Для Strapi вразливими вважаються версії з 3.2.1 до 4.7.9, а виправлення включено до релізу 4.8.0, що Strapi окремо описує у своєму повідомленні на офіційному сайті. Для Apache Struts усунення ризику можливе як оновленням, так і відключенням механізму Dynamic Method Invocation згідно з бюлетенем S2‑032 на wiki Apache.

На цьому етапі вразливі веб‑застосунки та застарілі версії інфраструктурного ПЗ виступають головним критерієм відбору цілей: групи шукають не стільки конкретну організацію, скільки «хороший вхід» до будь‑якої мережі з цікавими даними.

Фішинг через XSS і завантаження шкідливого DiagTrack.exe

Окрім експлуатації серверних вразливостей, оператори задіюють ланцюжки атаки, що починаються з XSS. ФБР виявило шкідливе навантаження XSS, яке модифікує вразливу веб‑сторінку, додаючи до неї форму логіна. Будь‑яка введена пара логін–пароль призводить до видачі ZIP‑архіву, захищеного паролем, із програмою live700_v1.exe.

Після запуску ця програма створює процес DiagTrack.exe, маскуючись під легітимний компонент Windows, і встановлює зашифрований обмін із доменом dns.studiocloud[.]xyz, який ФБР пов’язує з Integrity Technology Group. На думку бюро, функціональність цього шкідливого коду орієнтована на роботу з поштовими даними.

Доступ до пошти Microsoft 365 та Exchange: EBurst і атаки перебору паролів

Для масового отримання облікових даних зловмисники застосовують password spraying проти хмарної та on‑premise пошти Microsoft. Використовується відкритий Python‑інструмент EBurst, націлений на інтерфейси Microsoft 365 і Exchange: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover, Microsoft‑Server‑ActiveSync.

Такий підхід небезпечний тим, що б’є по широкій площі (багато акаунтів) відносно малою кількістю популярних паролів, залишаючись нижче типових порогів блокування за невдалі спроби. Для захисників це означає необхідність контролю не лише за входом в OWA, а й за всіма переліченими протоколами в автентифікації.

Закріплення в мережі: SoftEther і DCSync

Домігшись первинного доступу, оператори закріплюються в інфраструктурі та розширюють контроль:

• встановлюється легітимний VPN‑клієнт SoftEther, який рідше викликає підозру в засобів захисту; інсталятор часто перейменовують у conhost.exe або dllhost.exe, а клієнт налаштовують на автоматичне перепідключення під час запуску системи;
• для викрадення доменних облікових даних застосовується інструмент DC.exe, який використовує техніку DCSync — імітацію контролера домена та запити до служби реплікації Active Directory, що відповідає техніці MITRE ATT&CK «OS Credential Dumping: DCSync» T1003.006.

Через DCSync зловмисники отримують хеші паролів, дані про членство в групах і відносини довіри — тобто все необхідне для тихого підвищення привілеїв і горизонтального переміщення мережею.

Викрадення та монетизація поштових даних

Ключовий фокус кампанії — систематичне вивантаження поштових скриньок і надання до них доступу третім особам:

• PHP‑скрипт Curlc4.txt працює як бот, що взаємодіє з Exchange Web Services (EWS) для вивантаження листів, календарів і контактів, подальшого стиснення (а іноді шифрування) даних і надсилання їх на віддалений сервер із головним керувальним доменом natcloudservice[.]com;
• інструмент office-cli періодично повертається до вже скомпрометованих Microsoft 365‑акаунтів, вивантажуючи пошту за нові періоди; він спирається на конфігураційні файли з client ID, tenant ID та secret і використовує легітимні методи доступу, маскуючись під штатні інтеграції;
• у низці випадків фіксувалося ручне вивантаження баз даних і поштових архівів операторами.

На наступному рівні зловмисники експлуатують власний веб‑застосунок, який надає третім сторонам доступ до викраденого вмісту поштових скриньок за параметрами в URL. В окремих випадках доступ до цього порталу обмежувався IP‑адресами в місті Сямень (Китай), що опосередковано вказує на контрольоване коло споживачів даних.

Контекст загроз і масштаби

Діяльність Integrity Technology Group простежується щонайменше з середини січня 2021 року, при цьому деякі індикатори інфраструктури в повідомленні датовані 2016 роком. Жертвами ставали:

• держоргани та правоохоронні структури США;
• критичне виробництво, охорона здоров’я, ІТ‑організації;
• освітні та релігійні установи;
• організації в Південно‑Східній Азії, Африці та Північній Америці.

З огляду на орієнтацію на пошту, йдеться насамперед про довготривалу розвідувальну кампанію, а не про разові вимогливі атаки. Портал для третіх осіб перетворює викрадені дані на своєрідну «послугу за підпискою» — це може бути як внутрішня платформа для споживачів усередині однієї екосистеми, так і сервіс для зовнішніх клієнтів, аж до псевдо‑розвідувальних структур або комерційних контрагентів.

Спостережуваний перетин IP‑адрес командних серверів між повідомленням 2024 року про ботнет і новим звітом, за різних датах «останнього спостереження», показує, що інфраструктура зловмисників довго живе та перевикористовується. Для фахівців із захисту це сигнал не покладатися на поодиноку часову мітку в IOC, а розглядати такі записи як довгострокові індикатори для постійного пошуку слідів активності.

Оцінка впливу на організації

Найбільшому ризику піддаються організації з такими ознаками:

• розгорнуті Microsoft 365 або Exchange (включно з гібридними конфігураціями);
• застарілі версії Struts, GitLab, ONLYOFFICE, Strapi та інших продуктів із переліку повідомлення без актуальних патчів;
• публічно доступні панелі адміністрування та API на портах 21/22/53/80/443/1080;
• недостатній контроль над застосунками з доступом до пошти та файлів у хмарі.

Ймовірні наслідки у разі бездіяльності:

• компрометація пошти керівництва та ІТ‑персоналу з витоком договорів, переписки з регуляторами, внутрішніх розслідувань тощо;
• підрив довіри до пошти як каналу: перехоплення одноразових кодів, запитів на скидання пароля, підтверджень платежів полегшує подальші BEC‑шахрайства та атаки ланцюгом постачання;
• ескалація до рівня доменної інфраструктури через DCSync, що створює ризик тотального контролю над мережею та впровадження непомітних закладок;
• юридичні та регуляторні наслідки в галузях із жорсткими вимогами до захисту персональних і медичних даних.

Практичні рекомендації для захисту

1. Негайний технічний пріоритет (0–7 днів)

• Перевірити всі вузли на наявність установок SoftEther, особливо виконуваних файлів із назвами conhost.exe і dllhost.exe, які не відповідають стандартному розташуванню системних файлів.
• Проаналізувати DNS‑ і проксі‑логи на звернення до доменів:
  • dns.studiocloud[.]xyz
  • natcloudservice[.]com
• В Active Directory налаштувати моніторинг та сповіщення на:
  • нетипові операції реплікації каталогу;
  • використання DCSync від імені облікових записів, які не є контролерами домена і не входять до груп Domain Admin/Enterprise Admin.
• У Microsoft 365 та Exchange:
  • увімкнути багатофакторну автентифікацію для всіх акаунтів із доступом до пошти, особливо адміністраторів і сервісних облікових записів;
  • проаналізувати реєстрації застосунків і надані їм дозволи на доступ до пошти та файлів, видалити невідомі й надлишкові;
  • увімкнути аудит і сповіщення щодо операцій EWS, MAPI, PowerShell Remoting із зовнішніх IP‑адрес.

2. Усунення вразливостей (протягом 2–4 тижнів)

• Встановити оновлення для всіх восьми вразливостей, перелічених у спільному повідомленні [IC3 2026‑10‑08], зокрема:
  • оновлення GitLab до версій, що усувають CVE‑2021‑22205 за NVD;
  • оновлення Strapi щонайменше до 4.8.0 згідно з офіційним повідомленням Strapi;
  • оновлення ONLYOFFICE DocumentServer принаймні до версії 5.6.3, у якій заявлено закриття відповідної вразливості за changelog.
• Відключити Dynamic Method Invocation в Apache Struts, якщо оновлення неможливе, орієнтуючись на рекомендацію Apache S2‑032 [Apache Struts Security].
• Скоротити зовнішню доступність служб на портах 21, 22, 53, 80, 443, 1080:
  • обмежити адмін‑панелі через VPN і списки довірених IP;
  • закрити невикористовувані сервіси й видалити застарілі продукти, які більше не отримують оновлень.
• Перевірити свої продукти за каталогом CISA KEV на GitHub і вибудувати пріоритетне планування патчів за вразливостями, які в ньому присутні.

3. Пошук слідів компрометації та реагування

• Виконати ретроспективний пошук за індикаторами компрометації з додатка до повідомлення [IC3], використовуючи їх насамперед як матеріал для полювання, а не для масового блокування, з огляду на можливу давність деяких записів.
• У разі виявлення підозрілої активності:
  • ізолювати задіяні вузли лише після збирання ключових артефактів (логи, пам’ять, конфігурації VPN і поштових агентів);
  • провести аналіз, наскільки глибоко просунувся зловмисник (AD, пошта, бази даних);
  • змінити всі паролі доменних і хмарних адміністраторів, примусово розлогінити сесії та відкликати OAuth‑токени й секрети, використані сторонніми застосунками;
  • перебудувати відносини довіри між доменами, якщо вони були скомпрометовані через DCSync.

Головний практичний висновок: будь‑який оператор Microsoft 365 або Exchange із зовнішніми веб‑застосунками має найближчим часом поєднати перевірку аномальної реплікації Active Directory (DCSync), аудит застосунків із доступом до пошти та встановлення патчів для вразливих компонентів (GitLab, Struts, Strapi, ONLYOFFICE тощо) зі спільного повідомлення — це мінімальний набір дій, що знижує ризик стати частиною поштової вітрини Integrity Technology Group.