Las autoridades estadounidenses incautaron los dominios de dos herramientas desarrolladas por Integrity Technology Group, usadas contra infraestructura crítica de Estados Unidos y otros países. Una alerta conjunta de siete países detalla cómo operaba MicroScan. (Fuente: SecurityWeek)
Estados Unidos anunció el jueves la interrupción de dos herramientas de hackeo usadas por actores chinos respaldados por el Estado en ataques contra infraestructura crítica estadounidense y extranjera. Las dos fueron creadas por Integrity Technology Group (Integrity Tech): MicroScan se usó para escanear vulnerabilidades y FishHub para intrusiones en redes mediante spear phishing.
Qué hacían
Según Estados Unidos, Integrity Tech usó una variante del malware Mirai para armar una botnet de dispositivos IoT que facilitó el uso de MicroScan en tareas de reconocimiento contra las redes de las víctimas, entre ellas una empresa eléctrica estadounidense, ONG, aeropuertos de Japón y Polonia, entidades de infraestructura crítica y universidades de Taiwán. FishHub permitía a los clientes de Integrity Tech acceder de forma remota a las redes de las víctimas, buscar archivos específicos y exfiltrarlos, y se usó contra al menos 20 universidades de Taiwán.
Las autoridades incautaron los dominios que los atacantes usaban para acceder a las herramientas, entre ellos c0cc[.]cc, 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com y linkedinns[.]net. No es la primera acción contra la empresa: en 2024 Estados Unidos desarticuló su botnet Raptor Train, en 2025 la sancionó por proveer productos de ciberseguridad a grupos chinos como Flax Typhoon, y la Unión Europea la sancionó en marzo de 2026.
Lo que dice la alerta conjunta
Un nuevo aviso conjunto de organismos de Estados Unidos, Reino Unido, Australia, Canadá, Japón, Nueva Zelanda y España indica que MicroScan está activo desde al menos 2017 y apunta a servicios como Apache Struts, Juniper ScreenOS, Jenkins, OpenSSL, Oracle, Rejetto HFS, WebLogic Server y WordPress. El documento lo describe como una aplicación web en Python con más de 1.300 scripts de pruebas de penetración para escanear sitios en busca de vulnerabilidades específicas. Se asoció sobre todo con Flax Typhoon, también conocido como Ethereal Panda, Red Juliett, Storm-0919 y UNC5007, aunque se cree que Integrity Tech trabajaba con otros grupos chinos.
Flax Typhoon además usó herramientas como BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe y WPScan para el reconocimiento, utilidades de línea de comandos y la herramienta EBurst, de ataques de contraseñas contra Microsoft Exchange, para el acceso inicial. Para la persistencia desplegó herramientas de VPN como SoftEther, y para robar correos usó el script PHP Curlc4.txt y la utilidad office-cli, además de DC.ex para extraer datos sensibles de Active Directory.
Según el aviso, los atacantes recolectan credenciales y exfiltran correos de sistemas locales y servicios en la nube. Entre las víctimas del robo de correos hay organizaciones gubernamentales, fuerzas de seguridad, sistemas de salud e instituciones religiosas del sudeste asiático, y en algunos casos restringieron el acceso a los datos robados a direcciones IP de Xiamen, China.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.