Kina-kopplade aktörer stjäl känslig data

USA:s myndighet för cybersäkerhet och infrastruktursskydd (CISA) har utfärdat en varning (AA26-281A) som beskriver cyberattacker kopplade till kinesiska statligt sponsrade aktörer. Dessa aktörer, som identifieras delvis genom namnet Integrity Tech och vars aktiviteter är kända som Flax Typhoon, använder kombinerade metoder för datainsamling och intrång för att stjäla känslig information.

Enligt CISAs rapport stödjer Integrity Tech dessa operationer genom att utveckla eller förvärva verktyg, upprätthålla infrastruktur och kompromettera nätverk. Målen har inkluderat USA:s kritiska infrastruktur samt organisationer i Sydostasien, Afrika och Nordamerika. De tekniker som beskrivs involverar utnyttjande av sårbarheter på webbplatser, distribution av skadlig kod och upprätthållande av krypterad fjärråtkomst.

Angriparna använder omfattande botnät, VPN-tjänster och en samling hackningsverktyg. De kombinerar befintliga verktyg på offrens system och legitim fjärråtkomstprogramvara med anpassade verktyg för datainsamling. Specifikt utnyttjar de sårbarheter i webbplatser (XSS) och använder verktyg som DiagTrack.exe för datainsamling samt SoftEther VPN-klienter för att säkerställa persistens i systemen.

Picus Security, ett cybersäkerhetsföretag, har publicerat en analys av attackteknikerna och erbjuder sin plattform för att testa organisationers motståndskraft mot dessa hot. Företaget uppger att deras plattform kan simulera Flax Typhoon-attacker för att validera effektiviteten hos säkerhetskontroller.