El Departamento de Justicia de EE.UU. y el FBI han anunciado la incautación (autorizada por mandato judicial) de dos herramientas de ciberataque, Microscan y FishHub, operadas por Flax Typhoon, un grupo de piratas informáticos de estado nación patrocinados por Pekín.
Ambas eran empleadas para escanear vulnerabilidades y realizar ataques de spear phishing (o phising dirigido) contra redes de infraestructuras críticas, instituciones académicas y organizaciones no gubernamentales tanto en el país norteamericano como en otros territorios.
Las investigaciones judiciales señalan como responsable a Integrity Technology Group (Integrity Tech), una empresa con sede en China contratada por el Gobierno del país asiático para ejecutar operaciones cibernéticas avanzadas.
Entre los objetivos detectados figuran instalaciones energéticas en EE.UU. y Taiwán, aeropuertos en Japón y Polonia, universidades y ONG globales.
Se trata de la segunda gran operación de desarticulación contra el marco tecnológico de esta compañía en dos años, tras la neutralización en septiembre de 2024 de una red de botnets de más de 200.000 dispositivos infectados.
Flax Typhoon (denominación asignada por la comunidad de ciberseguridad a esta amenaza persistente avanzada (APT)) suele utilizar red de bots, cuyos equipos de IoT (Internet de las Cosas) están infectados con variantes del malware Mirai para realizar reconocimiento masivo de vulnerabilidades y facilitar intrusiones remotas sin autorización.
«No permitiremos que China o sus intermediarios actúen contra los intereses de EE.UU. con impunidad en el ciberespacio. La División de Seguridad Nacional seguirá respondiendo con firmeza y utilizando todas las herramientas a nuestra disposición para interrumpir las amenazas de Flax Typhoon y desmantelar la infraestructura que las sostiene», ha señalado John A. Eisenberg, fiscal general adjunto para la Seguridad Nacional.
Por su parte, el subdirector de la División Cibernética del FBI, Brett Leatherman, ha destacado el papel del modelo de subcontratación del Gobierno chino. «La República Popular China confía en empresas contratistas y facilitadoras para ampliar el alcance y la escala de sus actividades cibernéticas maliciosas. Al exponer y desarticular a estos facilitadores, les dificultamos el objetivo de atacar las redes e infraestructuras estadounidenses», ha apuntado.
Asimismo, el fiscal federal del Distrito Oeste de Pensilvania, Troy Rivetti, ha enfatizado que la operación envía «un mensaje claro a los ciberdelincuentes de la República Popular China (RPC) sobre la dedicación del Departamento a defender la ciberseguridad dentro y fuera del país».
El código geográfico
El ‘apellido’ Typhoon también lo comparten otros ciberdelincuentes de origen mandarín. Microsoft y otros expertos en ciberseguridad les dan este apodo a los actores de amenazas estatales chinos. Así, en Escudo Digital hemos hablado de las tropelías de otros APT de la misma procedencia, como Volt Typhoon, Salt Typhoon o Silk Typhoon.
Se utilizan estos nombres para mostrar claramente su nacionalidad. Así, a los adversarios rusos suelen nombrarlos con la partícula Bear (oso) o Blizzard, a los norcoreanos como Sleet (aguanieve o granizo fino) y a los iraníes como Sandstorm (tormenta de arena).
Deja una respuesta