FBI, Çin bağlantılı Flax Typhoon'un tarama ve oltalama araçlarına ait yedi alan adına el koydu

ABD Adalet Bakanlığı ve FBI, Çin bağlantılı Flax Typhoon grubunun kullandığı yedi alan adına 9 Ekim’de el koydu. Alan adları, internete açık sistemleri tarayan MicroScan, oltalama sonrasında zararlı yazılım dağıtan FishHub ve bir uzaktan yönetim aracıyla bağlantılıydı. Adalet Bakanlığı bu araçları, Çin hükümetine hizmet veren Pekin merkezli Integrity Technology Group ile ilişkilendiriyor.

Haberlere yansıyan FBI belgelerine göre MicroScan, 1.300’den fazla sızma testi betiği içeren bir tarama aracı ve WordPress, Jenkins, Oracle WebLogic, Apache Struts ve OpenSSL gibi yazılımlardaki açıkları arıyordu. FishHub ile yürütülen oltalama saldırılarının kurbanları arasında Tayvan’daki 20 üniversite var. Grup ayrıca izini gizlemek ve geniş ölçekte tarama yapmak için ele geçirilmiş yönlendiriciler ve akıllı cihazlardan oluşan, Mirai türevi bir botnet kullandı. Haziran 2024 tarihli botnet veritabanında 1,2 milyondan fazla cihaz kaydı vardı ve bunların 260 binden fazlası o tarihte aktif olarak enfekteydi. Flax Typhoon’un daha önce kullandığı Raptor Train botnet’i Eylül 2024’te çökertilmişti. El koyma, zaten ele geçirilmiş cihazlardaki zararlı yazılımı temizlemiyor.

Operasyon, ABD, İngiltere, Avustralya, Kanada, Japonya, Yeni Zelanda ve İspanya’nın 8 Ekim’de yayımladığı ortak uyarıyla aynı haftaya denk geldi. Uyarıya göre grup otomatik taramayı elle yürütülen sızmalarla birleştiriyor, Microsoft Exchange sunucularına parola denemesi yapıyor, kalıcılık için VPN yazılımı kullanıyor ve e-postalarla kimlik bilgilerini çalıyor. Uyarıyla birlikte CISA, grubun kullandığı beş açığı aktif istismar edilen açıklar kataloğuna ekledi:

• CVE-2015-3306, ProFTPD: uzaktan dosya okuma ve yazma
• CVE-2016-3081, Apache Struts: Dynamic Method Invocation açıkken komut çalıştırma
• CVE-2015-5477, ISC BIND: sunucuyu hizmet dışı bırakma
• CVE-2021-3199, ONLYOFFICE Docs: dizin aşma, kod çalıştırmaya kadar gidebiliyor
• CVE-2023-22894, Strapi: yönetim paneline erişen birinin kullanıcı bilgilerini görebilmesi

Grubun aynı kampanyada Shellshock (CVE-2014-6278), Pulse Connect Secure (CVE-2019-11510) ve GitLab (CVE-2021-22205) açıklarını da kullandığı belirtiliyor. Bu açıkların hepsinin yaması yıllardır mevcut. Liste, güncellenmeden internete açık bırakılan eski sunucuların devlet destekli gruplar için hâlâ kolay bir giriş kapısı olduğunu gösteriyor. Ortak uyarı, yamaların uygulanmasını, çok faktörlü doğrulamayı ve kullanılmayan servislerin kapatılmasını öneriyor. ABD Federal Ticaret Komisyonu da ev kullanıcılarına yönlendiricilerin yazılımını güncellemelerini, varsayılan parolaları değiştirmelerini ve gerekmiyorsa uzaktan yönetimi kapatmalarını tavsiye ediyor.