Avizul AA26-281A: actori legați de China folosesc vulnerabilități vechi de ani de zile, cu UK NCSC și CNI din Spania printre semnatari

• Firma Integrity Technology Group este descrisă ca o companie chineză cu scop lucrativ, cu legături cu guvernul chinez, care achiziționează sau construiește instrumente cibernetice, găzduiește infrastructură și compromite rețele. Avizul avertizează că denumirile folosite de producători pentru activitate nu se potrivesc neapărat unu la unu cu cele ale guvernului american și că actorii pot desfășura și activitate fără legătură cu firma.
• Ținte: infrastructura critică din SUA (servicii guvernamentale, producție critică, sănătate, IT), poliție, educație și organizații religioase, plus organizații din Asia de Sud-Est, Africa și America de Nord. Avizul nu numește Europa drept regiune țintă.
• Metode, la nivel înalt: scanere open-source și un set de instrumente de testare de penetrare, folosite împreună cu infrastructură de tip botnet; instrumente de exploatare din linia de comandă; XSS pe site-uri terțe pentru colectarea de credențiale; atacuri de tip password spraying și ghicire de parole împotriva conturilor Exchange și Microsoft 365.
• Persistență și mișcare: software VPN legitim instalat sub nume înșelătoare, care ascunde traficul de comandă și control; replicare Active Directory pentru extragerea credențialelor; instrumente automate care descarcă emailuri din cutii poștale în cloud.
• Un portal web personalizat dădea terților acces la conținutul emailurilor furate. Potrivit avizului, unele date furate erau restricționate la adrese IP dintr-un anumit oraș din China.
• Avizul spune că nu numește victime și nu descrie amploarea compromiterilor, și că mulți indicatori datează din 2016, deci trebuie verificați înainte de blocare.

Anexa B a avizului listează vulnerabilități exploatate cu succes: CVE-2014-6278 (GNU Bash), CVE-2015-3306 (ProFTPD), CVE-2015-5477 (ISC BIND), CVE-2016-3081 (Apache Struts), CVE-2019-11510 (Pulse Connect Secure VPN), CVE-2021-22205 (GitLab), CVE-2021-3199 (ONLYOFFICE) și CVE-2023-22894 (Strapi). Avizul nu spune care vulnerabilitate a fost folosită în ce intruziune.

În catalogul KEV al CISA, cinci dintre ele au fost adăugate pe 8 octombrie: ISC BIND, Apache Struts, Strapi, ONLYOFFICE și ProFTPD, cu termen 11 octombrie pentru agențiile federale americane. Nu e un detaliu administrativ: spune că atacatori reali le-au folosit recent, nu că sunt doar în liste vechi.

• BleepingComputer și The Record relatează că Departamentul de Justiție și FBI au confiscat șapte domenii folosite pentru două platforme: MicroScan, un scaner de vulnerabilități, și FishHub, folosit pentru phishing și livrare de programe malițioase după compromitere. Avizul nu descrie această acțiune, iar noi nu am putut citi comunicatul Departamentului de Justiție, deci atribuim detaliile relatărilor.
• Printre țintele scanate, potrivit presei, s-au aflat o companie de energie din Carolina de Sud, aeroporturi din Japonia și Polonia și companii taiwaneze de gaze și energie. Faptul că au fost scanate nu înseamnă că au fost compromise, iar FBI nu a spus dacă au fost.
• Aproximativ 20 de universități din Taiwan ar fi fost vizate prin FishHub, potrivit relatărilor.

Pe 16 martie 2026, Consiliul UE a sancționat Integrity Technology Group, alături de alte două entități și două persoane. Potrivit BleepingComputer, Consiliul a legat firma de un sprijin tehnic și material în 2022 și 2023 care a dus la compromiterea a peste 65.000 de dispozitive din șase state membre. Măsurile includ înghețarea activelor și interdicția de a pune fonduri sau resurse economice la dispoziția celor listați.

Pentru o organizație din UE, asta ridică o întrebare de achiziții și conformitate pe care avizul nu o pune: știi dacă un produs, un serviciu sau un furnizor din lanțul tău de aprovizionare are legături cu o entitate sancționată? Răspunsul se verifică cu juristul și cu lista oficială de sancțiuni, nu din acest articol, care nu este consultanță juridică.

• Câte organizații au fost compromise și în ce țări. Avizul nu numește victime, iar Europa nu este descrisă drept țintă.
• Dacă confiscările au eliminat accesul deja obținut. Nu avem o evaluare oficială a eficienței.
• Ce vulnerabilitate a fost folosită în ce intruziune.
• Dacă toată activitatea asociată cu aceste instrumente și cu grupurile cu denumiri suprapuse (Flax Typhoon și altele) duce la aceeași firmă. Agențiile spun că nu neapărat.

• Inventarul software vechi: caută în rețea componentele din lista anexei B, în special servere BIND, ProFTPD, Apache Struts, Strapi, ONLYOFFICE și GitLab, plus acces VPN Pulse Connect Secure. „Vechi” nu înseamnă „dispărut”. O aplicație uitată pe un server de test este tocmai ținta unui scaner automat.
• Expunere: ce servicii sunt accesibile din internet fără motiv? Avizul recomandă dezactivarea serviciilor și porturilor nefolosite și limitarea informațiilor afișate de paginile de autentificare și de bannere.
• Autentificare: autentificare multifactor pentru webmail, VPN și sisteme critice, parole implicite înlocuite și drepturi administrative limitate. Atacurile de tip password spraying împotriva Exchange și Microsoft 365 sunt exact ce oprește MFA.
• Căutare în jurnale: autentificări eșuate repetate pe multe conturi dintr-o singură sursă, autentificări în afara orelor sau din locuri imposibile și aplicații conectate la cutiile poștale cu acces la email și fișiere.
• Active Directory: replicare neașteptată de directoare între mașini care nu sunt controlere de domeniu, un semnal clasic de extragere de credențiale.
• VPN neautorizat: caută software VPN instalat pe stații sau servere sub nume neobișnuite.
• Trafic de ieșire: încărcări mari de pe stații de lucru către destinații necunoscute.
• Furnizori: dacă un terț găzduiește sau administrează sisteme cu componentele de mai sus, cere în scris versiunile, data corecțiilor și dacă serviciile sunt expuse.

Pentru entitățile esențiale și importante, NIS2 include gestionarea vulnerabilităților, securitatea lanțului de aprovizionare și autentificarea multifactor printre măsurile de gestionare a riscurilor. În România, directiva a fost transpusă prin OUG 155/2024, aprobată prin Legea 124/2025, cu DNSC drept autoritate. Dacă verificările găsesc o compromitere într-un serviciu esențial, evaluează imediat dacă incidentul este semnificativ. Dacă da, se aplică termenele de 24 de ore pentru avertizarea timpurie și de 72 de ore pentru raportul inițial, de la momentul în care ai luat cunoștință.

Awarely Monitor poate urmări intrările KEV relevante pentru inventarul tău, inclusiv componentele vechi, și poate semnala când o vulnerabilitate din 2015 apare din nou în catalog. Corecțiile, investigația și raportarea rămân ale organizației.