FBI称与中国有关的黑客运营门户网站，允许第三方访问被盗电子邮件

与一家中国网络安全公司有关的黑客窃取了东南亚政府机构、执法机构、医疗系统和宗教机构的电子邮件，FBI和其他6个国家的机构在10月8日表示。

该公司Integrity Technology Group已被美国和英国制裁。黑客使用包含1300多个脚本的工具扫描网站以寻找漏洞，猜测Microsoft 365和Exchange账户的密码，并使用设计用于收集邮件的工具复制邮箱。

根据机构的联合通告，这些黑客自2021年1月中旬以来一直在入侵网络。通告以现在时描述了黑客行为，但没有提供任何盗窃的日期，也没有具体说明有多少组织受到影响。

同样的黑客还针对美国政府服务、关键制造业、医疗保健和IT组织，以及美国执法、教育和宗教团体。东南亚、非洲和北美的组织也成为目标。

黑客还运营一个网络应用程序，该程序“提供第三方访问被盗电子邮件内容”，通告中提到。它没有识别这些第三方。

在2024年9月，FBI破坏了一个僵尸网络，即被劫持设备的网络，美国司法部表示该网络由Integrity Technology Group控制。它控制了超过200,000个路由器、摄像头和其他消费设备，Lumen研究人员将其命名为Raptor Train。

2024年的行动处理了该僵尸网络。新的通告涵盖了黑客如何进入网络以及他们窃取了什么。它基于FBI在与该公司相关的多个调查中恢复和观察到的证据。

谁在背后

机构将Integrity Technology Group描述为“与中国政府有联系的中国境内营利公司”，其员工构建或获取网络工具“用于使用和销售”，托管基础设施，并入侵网络。

通告对该公司及其所支持的黑客使用了一个单一标签“威胁行为者”。它没有说明其中哪些人实施了每次入侵。

美国财政部在2025年1月因其在针对美国受害者的多起计算机入侵中的角色对该公司实施了制裁。英国在2025年12月对其进行了制裁。

当时的FBI局长Christopher Wray在2024年表示，该公司的“董事长公开承认，多年来他的公司为中国政府安全机构收集情报和进行侦察。”

通告中提到，黑客的手法与安全公司追踪的Flax Typhoon、Ethereal Panda和RedJuliett等活动“一致”。这些名称可能与美国政府自己的追踪不完全一致，同样的黑客也可能进行与Integrity Technology Group无关的工作。

Flax Typhoon是微软对一个中国境内团体的称呼，微软在2023年描述该团体针对台湾的组织。

Integrity Technology Group在2025年1月否认了美国的指控。它告诉上海证券交易所，美国的举动没有事实依据，美联社报道。根据同一报道，一位中国外交部发言人被问及制裁时表示，中国坚决反对美国的行动。

黑客如何入侵

通告中提到，黑客使用开源扫描器如Nmap、masscan和WPScan寻找网络和网络应用程序中的漏洞。他们的扫描主要集中在21、22、53、80、443和1080端口。

“使用通常在GitHub上找到的开源工具表明，威胁行为者倾向于寻找更脆弱的目标，”机构表示。

黑客自2017年起还使用了一种名为MicroScan的扫描器。它是一个包含1300多个渗透测试脚本的Python网络应用程序，旨在扫描网站特定的漏洞。黑客已将这些脚本用于包括OpenSSL、Oracle WebLogic Server、Rejetto HFS、WordPress、Juniper ScreenOS、Jenkins和Apache Struts在内的服务。

英国国家网络安全中心是通告背后的机构之一，在其新闻稿中表示，黑客“独特地使用AI工具，如自动扫描。”通告本身没有提到AI。

黑客主要使用基于Python和Go等语言编写的漏洞利用代码构建的命令行工具入侵。通告列出了8个已成功利用的已知漏洞。这些漏洞是在黑客的渗透测试脚本中发现的。

表格显示了通告中给出的受影响版本，以及在可以确认的情况下，修复该漏洞的版本。

漏洞

产品

通告中的受影响版本

修复于

CVE-2014-6278

GNU Bash

通过4.3 bash43-026

未确认

CVE-2015-3306*

ProFTPD

1.3.5

1.3.5a

CVE-2015-5477*

ISC BIND

9.x在9.9.7-P2之前和9.10.x在9.10.2-P3之前

9.9.7-P2或9.10.2-P3

CVE-2016-3081*

Apache Struts

2.3.19到2.3.20.2，2.3.21到2.3.24.1，以及2.3.25到2.3.28

2.3.20.3，2.3.24.3，或2.3.28.1

CVE-2019-11510

Pulse Connect Secure

8.2在8.2R12.1之前，8.3在8.3R7.1之前，以及9.0在9.0R3.4之前

8.2R12.1，8.3R7.1，或9.0R3.4，来自通告的范围

CVE-2021-22205

GitLab

从11.9开始的所有版本

13.8.8，13.9.6，或13.10.3，按其NVD记录

CVE-2021-3199*

ONLYOFFICE Document Server

5.1.5到5.6.2

5.6.3

CVE-2023-22894*

Strapi

高达4.5.5

4.8.0

通告将8个漏洞中标记了5个，并将其描述为新添加到已知利用漏洞（KEV）目录中，该目录是美国网络安全和基础设施安全局（CISA）表示已在攻击中使用的漏洞列表。当《黑客新闻》在10月8日18:05 UTC检查时，这些漏洞不在CISA在GitHub上发布的目录数据（版本2026.10.04）中。

Strapi自己的通告给出的范围比联合通告更广。它表示从3.2.1到4.7.9的版本，但不包括4.8.0，受到影响。

两个漏洞依赖于一个设置。Struts漏洞仅在动态方法调用时生效。

相关漏洞

CVE-2026-88772 CVSS 9.5 CRITICAL Analyzed

CVE-2026-88772 - Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability - [Actively Exploited]

Vulnerability in Citrix NetScaler ADC and Citrix NetScaler Gateway. This issue affects ADC: before 14.1-73.37, before 13.1-64.23, before 14.1-73.37 FIPS, and before 13.1.37.279 FIPS and NDcPP; Gateway: before 14.1-73.37 and before 13.1-64.23 leading to Remote Code Execution or Denial of Service

CVE-2023-22894 CVSS 9.8 CRITICAL Analyzed

CVE-2023-22894 - Strapi Cleartext Storage of Sensitive Information Vulnerability - [Actively Exploited]

Strapi through 4.5.5 allows attackers (with access to the admin panel) to discover sensitive user details by exploiting the query filter. The attacker can filter users by columns that contain sensitive information and infer a value from API responses. If the attacker has super admin access, then this can be exploited to discover the password hash and password reset token of all users. If the attacker has admin panel access to an account with permission to access the username and email of API users with a lower privileged role (e.g., Editor or Author), then this can be exploited to discover sensitive information for all API users but not other admin accounts.

CVE-2021-22205 CVSS 10 CRITICAL Analyzed

CVE-2021-22205 - GitLab Community and Enterprise Editions Remote Code Execution Vulnerability - [Actively Exploited]

An issue has been discovered in GitLab CE/EE affecting all versions starting from 11.9. GitLab was not properly validating image files that were passed to a file parser which resulted in a remote command execution.

CVE-2021-3199 CVSS 9.8 CRITICAL Analyzed

CVE-2021-3199 - ONLYOFFICE Docs Server Path Traversal Vulnerability - [Actively Exploited]

Directory traversal with remote code execution can occur in /upload in ONLYOFFICE Document Server before 5.6.3, when JWT is used, via a /.. sequence in an image upload parameter.

CVE-2019-11510 CVSS 10 CRITICAL Analyzed

CVE-2019-11510 - Ivanti Pulse Connect Secure Arbitrary File Read Vulnerability - [Actively Exploited]

In Pulse Secure Pulse Connect Secure (PCS) 8.2 before 8.2R12.1, 8.3 before 8.3R7.1, and 9.0 before 9.0R3.4, an unauthenticated remote attacker can send a specially crafted URI to perform an arbitrary file reading vulnerability .

CVE-2016-3081 CVSS 9.3 HIGH Analyzed

CVE-2016-3081 - Apache Struts Command Injection Vulnerability - [Actively Exploited]

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.

CVE-2015-5477 CVSS 7.8 HIGH Analyzed

CVE-2015-5477 - ISC BIND Data Processing Errors Vulnerability - [Actively Exploited]

named in ISC BIND 9.x before 9.9.7-P2 and 9.10.x before 9.10.2-P3 allows remote attackers to cause a denial of service (REQUIRE assertion failure and daemon exit) via TKEY queries.

CVE-2015-3306 CVSS 10 CRITICAL Analyzed

CVE-2015-3306 - ProFTPD Improper Access Control Vulnerability - [Actively Exploited]

The mod_copy module in ProFTPD 1.3.5 allows remote attackers to read and write to arbitrary files via the site cpfr and site cpto commands.

CVE-2014-6278 CVSS 10 HIGH Analyzed

CVE-2014-6278 - GNU Bash OS Command Injection Vulnerability - [Actively Exploited]

GNU Bash through 4.3 bash43-026 does not properly parse function definitions in the values of environment variables, which allows remote attackers to execute arbitrary commands via a crafted environment, as demonstrated by vectors involving the ForceCommand feature in OpenSSH sshd, the mod_cgi and mod_cgid modules in the Apache HTTP Server, scripts executed by unspecified DHCP clients, and other situations in which setting the environment occurs across a privilege boundary from Bash execution. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-6271, CVE-2014-7169, and CVE-2014-6277.

FBI称与中国有关的黑客运营门户网站，允许第三方访问被盗电子邮件

相关漏洞

更多来自 The Hacker News