Um consórcio de agências de cibersegurança liderado pelo FBI e pela CISA publicou em 8 de outubro de 2026 o alerta conjunto AA26-281A sobre atores de ameaça vinculados ao governo chinês. O documento atribui à Integrity Technology Group, empresa chinesa com fins lucrativos, o papel de habilitar invasões que combinam varredura automatizada, botnets de grande escala, software de VPN e técnicas living-off-the-land para roubar e-mails e credenciais de organizações em vários continentes. Os alvos incluem serviços governamentais, manufatura, saúde e tecnologia nos Estados Unidos, além de organizações da área de aplicação da lei, de educação e religiosas, com vítimas no Sudeste Asiático, na África e na América do Norte. Para uma equipe defensiva, a prioridade é objetiva: inventariar clientes de VPN nos endpoints e revisar acessos anômalos aos protocolos de webmail corporativo.
Como o fornecedor opera
A Integrity Technology Group não é um grupo de extorsão: é uma empresa que adquire e constrói ferramentas de invasão para uso próprio e para venda, hospeda infraestrutura e sustenta invasões rastreadas como atividade maliciosa de origem chinesa. Segundo o alerta, os atores por ela habilitados usam táticas compatíveis com as atividades publicamente conhecidas como Flax Typhoon, Ethereal Panda e Red Juliett — com a ressalva expressa dos autores de que o rastreamento de empresas privadas não corresponde um a um ao do governo americano. O portal já detalhou como o Flax Typhoon mantém acesso com clientes VPN disfarçados; o alerta novo amplia essa evidência com ferramentas, domínios e indicadores próprios, colhidos em investigações do FBI.
Da varredura à credencial
A operação começa barata. Ferramentas abertas de varredura como masscan, dirsearch, wpscan, NMAP e Fscan procuram serviços expostos, com foco nas portas 21, 22, 53, 80, 443 e 1080 e na enumeração de páginas PHP e ASP. Desde 2017, os atores também usam a aplicação Python MicroScan, um painel web com um acervo de mil e trezentos scripts de teste de invasão voltados a serviços como Oracle WebLogic, Jenkins, WordPress e Apache Struts. A leitura defensiva é direta: a cadeia depende de falhas antigas e conhecidas — as oito CVEs listadas no alerta vão de 2014 a 2023 — e não exige dia zero, então superfície exposta e correção em dia resolvem a maior parte do risco de entrada.
Com o alvo escolhido, a credencial sai de dois caminhos. O primeiro é um payload de cross-site scripting recuperado pelo FBI: executado em um site vulnerável, ele injeta campos de usuário e senha na página e, depois do preenchimento, entrega um arquivo.zip protegido por senha contendo o executável live700_v1.exe. Esse binário inicia um processo com o mesmo nome do componente legítimo DiagTrack.exe do Windows e estabelece comunicação cifrada por HTTP com o domínio dns.studiocloud.xyz, atribuído à Integrity Tech, com funções voltadas a consultar caixas de correio. O segundo caminho é o EBurst, ferramenta Python aberta que faz password spraying e adivinhação de senha contra contas do Microsoft Exchange por múltiplas interfaces — ECP, EWS, OWA, Autodiscover, MAPI e ActiveSync, entre outras listadas no readme da própria ferramenta.
Persistência disfarçada de VPN
A etapa que mais interessa ao triage de endpoints é a persistência. Os atores instalam clientes do software de VPN aberto SoftEther nos dispositivos comprometidos, baixando os instaladores com PowerShell ou binários nativos no Windows e com curl ou wget no Linux. O cliente é configurado para reconectar automaticamente na inicialização e, em vários casos, os instaladores recebem os nomes conhost.exe ou dllhost.exe para se assemelharem a executáveis comuns do Windows. Como o SoftEther é um produto legítimo, o alerta observa que ferramentas de detecção de endpoint têm menos chance de marcá-lo. O resultado é um túnel persistente, difícil de atribuir, que serve de rota para comando e controle e para a exfiltração posterior — e que sobrevive a reinicializações e a limpezas rasas.
O duto de exfiltração
O produto final da operação é o e-mail. Os atores organizam bases roubadas com nomes discretos — 001.gif, Css.js, Include.png — para dificultar a identificação dos pacotes de dados. O componente mais revelador é o script PHP Curlc4.txt, um bot que conversa com a API EWS da Microsoft para ler mensagens, calendários e contatos, procura um diretório gravável no servidor web comprometido, renomeia o processo filho para crypto e comprime — às vezes cifrando com RC4 ou AES-128-CBC — os e-mails antes de enviá-los ao domínio natcloudservice.com. Em paralelo, o utilitário de linha de comando office-cli acessa contas do Outlook 365 de forma contínua usando arquivos de configuração com client_id, tenant_id e secret, ou seja, credenciais de aplicativo legítimas; o alerta destaca que o programa evita detecção justamente por usar métodos de acesso legítimos. Para o Active Directory, o DC.exe executa a técnica DCSync por RPC e copia credenciais, membros de grupos e relações de confiança do controlador de domínio. Os autores ainda mantêm uma aplicação web que revende o conteúdo roubado a terceiros e, em parte dos casos, restringiram o acesso aos dados a endereços IP de Xiamen, na China.
Checklist de caça imediata
A tabela abaixo condensa os sinais que o alerta sustenta com evidência técnica e onde procurá-los. Trate os itens P1 como critérios de parada: qualquer positivo exige isolamento do host e abertura de resposta a incidentes antes da limpeza, para não destruir evidência de escopo.
| Sinal | Onde procurar | Prioridade |
|---|---|---|
| Processo chamado conhost.exe ou dllhost.exe fora dos diretórios do sistema, mantendo conexão de saída persistente | Inventário de processos e linha de base de tráfego nos endpoints | P1 |
| Consultas DNS ou conexões a domínios citados no alerta, como natcloudservice.com e dns.studiocloud.xyz | Logs de DNS resolvido e de firewall de perímetro | P1 |
| Acessos a EWS, OWA e Autodiscover em horários atípicos ou de endereços incomuns | Logs de autenticação do Exchange e do webmail | P1 |
| Replicação inesperada do Active Directory, padrão DCSync, por conta sem papel de replicação | Monitoramento dos controladores de domínio | P1 |
| Arquivos.zip criados em diretórios graváveis do servidor web com nomes de imagem ou de script | Auditoria de /var/www e de diretórios de upload | P2 |
| Aplicativos conectados ao tenant com client_id e tenant_id sem dono declarado | Revisão de consentimento de aplicativos na nuvem | P2 |
| Volume alto de upload em estações de trabalho que normalmente só baixam | Linha de base de tráfego e alertas de anomalia | P2 |
| Enumeração de páginas PHP e ASP e tentativas de injeção ou traversal | Análise dos logs de acesso das aplicações públicas | P2 |
Contenções com efeito real
As mitigações do alerta seguem os Cross-Sector Cybersecurity Performance Goals da CISA e do NIST e têm cabeçalho claro: exigir autenticação multifator em webmail, VPN e contas com acesso a sistemas sensíveis; desativar serviços e portas não usados, incluindo acesso remoto e protocolos de compartilhamento; substituir senhas padrão; e aplicar correções em dia, já que a invasão depende de falhas conhecidas. Na detecção, o documento pede monitoramento do uso não autorizado de ferramentas nativas — a essência do living-off-the-land — e da replicação anômala do Active Directory. Telemetria de criação de processo no estilo do Sysmon ajuda a enxergar instaladores renomeados e processos com nome de componente legítimo do Windows.
Na camada de aplicação, sane a entrada do usuário para eliminar injeção de XSS — o vetor que transforma sites vulneráveis em coletores de credenciais — e monitore as contas em nuvem atrás de aplicativos conectados com acesso a e-mail e arquivos. Segmente a rede para que um host comprometido não alcance recursos de outra unidade, monitore volumes anormais de tráfego de saída e mantenha cópias de backup protegidas e fora do alcance do sistema original. Se a caça confirmar comprometimento, o alerta recomenda isolar os hosts, coletar evidência antes de expulsar o ator e montar o plano de despejo com a ferramenta de estratégias de evacuação da CISA, que mapeia contramedidas às táticas do invasor. Por fim, exercite os controles existentes contra as técnicas mapeadas no MITRE ATT&CK citadas no documento — testar detecção é parte do ciclo, não um extra.