США изъяли 7 доменов хакеров, связанных с Integrity Tech

Подробно

Что именно изъяли ФБР и Минюст США?

В деле 26-mj-1564 Окружного суда США по Западному округу Пенсильвании перечислены семь доменов: c0cc.cc, 98aiblog.com, 98aicai.com, 98aicode.com, outlook3650.com, youtubecard.com и linkedinns.net. Ордер выдала магистратский судья США Морин П. Келли 6 октября 2026 года в 13:00 в Питтсбурге, срок исполнения - до 20 октября.

Ордер предписывает перенаправить домены на серверы ns1.fbi.seized.gov и ns2.fbi.seized.gov и показывать на них уведомление ФБР об изъятии. До завершения процедуры конфискации домены запрещено изменять и передавать. Минюст и ФБР объявили об изъятии 8 октября. В опубликованной копии ордера акт возврата не заполнен, поэтому точное время исполнения неизвестно.

По материалам ФБР, домены распределялись по инструментам так:

• c0cc.cc - адрес доступа к Microscan. По словам специального агента ФБР Адама Джеймса, 9 сентября 2026 года страница входа по адресу x.c0cc.cc ещё работала;
• 98aicai.com, 98aicode.com, outlook3650.com, youtubecard.com и linkedinns.net - пять доменов, через которые FishHub загружал дополнительный код;
• 98aiblog.com - в деле его связывают с программой удалённого администрирования SoftEther. По версии следствия, её установили после несанкционированного доступа в сети двух тайваньских университетов.

Расследование ведут отделения ФБР в Сан-Диего и Балтиморе вместе с киберподразделением ФБР. По данным Минюста, помогало Национальное полицейское агентство Японии.

«Соединённые Штаты не позволят Китаю или его посредникам безнаказанно действовать против американских интересов в киберпространстве», - заявил помощник генерального прокурора США по вопросам национальной безопасности Джон А. Айзенберг.

Как работали Microscan и FishHub?

В совместном техническом предупреждении от 8 октября MicroScan описан как веб-приложение на Python, в котором более 1300 сценариев проверки уязвимостей. По оценке авторов документа, связанные с Integrity Tech операторы пользовались им как минимум с 2017 года. По версии ФБР, иногда Microscan сканировал сети через ботнет из устройств интернета вещей, заражённых вариантом Mirai. Так было проще скрыть, откуда идут запросы.

FishHub, по данным ФБР, не позднее марта 2026 года работал на сервере с IP-адресом 207.148.92.220. Сначала злоумышленники проникали в сеть через адресный фишинг, затем с пяти изъятых доменов загружался дополнительный код. ФБР изучило исходный код этих программ. По его данным, они давали удалённый доступ, могли составлять списки файлов, искать нужные документы, сжимать их и отправлять на сервер операторов.

В показаниях агента есть ещё одна деталь. Примерно 13 марта 2024 года за регистрацию пяти доменов заплатили 139,50 доллара США, три из этих доменов вошли в нынешнее изъятие. Это только стоимость регистрации по данным регистратора, а не ущерб, доход или сумма конфискации. Следствие утверждает, что часть регистраций и продлений оплачивали из-за пределов США, в том числе через Alipay. В заявлении агента это названо основанием для версии о возможном отмывании денег.

Кого атаковали с помощью этих инструментов?

ФБР изучило данные сервера Microscan. По ним, примерно с 26 апреля по 29 декабря 2022 года инструмент сканировал сети энергетической компании из Южной Каролины, международной НКО, аэропортов в Японии и Польше и как минимум двух тайваньских компаний в газовой и электроэнергетической сферах. Сам факт сканирования не доказывает, что каждую из этих сетей взломали. Названия организаций в судебных документах не приводятся.

Отдельно в показаниях описаны два тайваньских университета. Сеть первого, в уезде Синьчжу, сканировали примерно 21 марта 2023 года, второго, в посёлке Пули, - примерно 7 августа 2022 года. Следствие утверждает, что вскоре после сканирования обе сети были взломаны.

Минюст называет подтверждёнными жертвами FishHub около 20 тайваньских университетов. В показаниях агента приведена более узкая находка: на одном связанном с FishHub сервере нашли данные более чем 20 организаций, а команды с этого сервера касались шести университетов Тайваня. Это разные выборки, и складывать эти числа нельзя.

«Integrity Technology Group предоставляла связанным с Китаем операторам возможности для масштабного сканирования уязвимостей и, в некоторых случаях, проникновения в американскую и зарубежную критическую инфраструктуру», - заявил помощник директора киберподразделения ФБР Бретт Лезерман.

Что известно об Integrity Tech и Flax Typhoon?

По заявлению Минюста и показаниям агента ФБР, Integrity Technology Group базируется в Китае, у компании есть контракты с правительством КНР. Это атрибуция американских ведомств, а не вина, установленная судом. Авторы технического предупреждения сопоставляют действия операторов, которых обеспечивала Integrity Tech, с тактиками групп Flax Typhoon, Ethereal Panda и Red Juliett. При этом они предупреждают, что названия из разных исследований и правительственная атрибуция не обязательно совпадают один к одному.

У сюжета есть предыстория:

• 24 августа 2023 года Microsoft Threat Intelligence описала Flax Typhoon как группу, которая атакует в основном организации Тайваня и использует легитимные инструменты для скрытого долгосрочного доступа. Вероятной целью Microsoft назвала шпионаж;
• 18 сентября 2024 года Минюст США объявил, что по решению суда нарушена работа связанного с Integrity Tech ботнета на базе Mirai. По данным ведомства, в него входило более 200 000 заражённых устройств;
• 3 января 2025 года OFAC Минфина США внёс Integrity Technology Group в санкционный список. Это административная мера, а не приговор;
• 9 декабря 2025 года санкции против компании ввела Великобритания.

«Это уже второе за два года пресечение масштабных операций Integrity Tech», - отметил федеральный прокурор Западного округа Пенсильвании Трой Риветти.

Что ответили Китай и Integrity Tech?

На брифинге 9 октября Reuters спросил официального представителя МИД КНР Мао Нин об изъятии семи доменов. Она заявила, что Китай «последовательно решительно выступает против хакерской деятельности и борется с ней по закону», и выступила против распространения ложной информации «в политических целях». Мао Нин также призвала США отказаться от «двойных стандартов». Технические доказательства из ордера она по отдельности не разбирала.

По данным Reuters, Integrity Technology Group на запрос агентства не ответила. Последнее найденное публичное опровержение компании датировано 6 января 2025 года и касается прежних санкций: тогда совет директоров заявил, что санкции OFAC «не имеют фактических оснований».

Что изменит изъятие доменов?

По данным Associated Press, представители ФБР сообщили, что после изъятия затронутые инструменты перестали работать. ФБР будет следить, не попытается ли компания восстановить инфраструктуру. Заместитель помощника директора киберподразделения ФБР Джейсон Билноски назвал операцию хакеров «неизбирательной и безрассудной».

«Мы стремимся лишить операторов этих возможностей. Мы нацеливаемся на их инфраструктуру, деньги и инструменты», - сказал Билноски в интервью AP.

Изъятие семи доменов не означает, что вся деятельность Integrity Tech прекращена. Оно также не удаляет программы с уже заражённых компьютеров и не закрывает злоумышленникам доступ к ранее взломанным сетям. Одновременно с изъятием 8 октября ФБР, CISA, NSA и партнёры из Великобритании, Австралии, Канады, Японии, Новой Зеландии и Испании выпустили предупреждение AA26-281A с индикаторами компрометации и мерами защиты.

«Масштаб раскрытой сегодня вредоносной кибердеятельности и услуг Integrity Tech должен вызывать серьёзную обеспокоенность у всех защитников сетей», - заявил директор по операциям Национального центра кибербезопасности Великобритании Пол Чичестер.