O FBI, a CISA e mais sete agências de segurança publicaram em 8 de outubro de 2026 o advisory conjunto AA26-281A sobre atores ligados ao governo chinês e habilitados pela Integrity Technology Group, empresa com contratos com Pequim. O relatório documenta uma cadeia de ataque que vai de varredura automatizada a roubo de e-mails, e o detalhe que mais interessa a uma equipe defensiva é a persistência: os invasores instalam o cliente VPN legítimo SoftEther renomeado como processo do Windows, o que reduz a chance de alerta no endpoint. Organizações de governo, manufatura crítica, saúde e tecnologia nos Estados Unidos e em outros países estão no escopo das vítimas observadas. A ação prioritária é caçar, hoje, instâncias de SoftEther não autorizadas e binários recém-nomeados em estações de trabalho.
Quem é o ator
A Integrity Technology Group é uma empresa chinesa com fins lucrativos que adquire e constrói ferramentas de intrusão, hospeda infraestrutura e compromete redes de vítimas globais, segundo o advisory. Os autores do relatório afirmam que os atores habilitados pela empresa usam TTPs consistentes com a atividade conhecida como Flax Typhoon, Ethereal Panda e Red Juliett, entre outras denominações comerciais, com a ressalva de que o rastreamento privado não tem correlação de um para um com o entendimento do governo americano.
No mesmo dia do advisory, o Departamento de Justiça e o FBI anunciaram apreensões autorizadas judicialmente das ferramentas Microscan e FishHub, operadas pela Integrity Tech para visar infraestrutura crítica dos EUA e de outros países. É a segunda interrupção pública da operação em dois anos: em setembro de 2024, o DOJ já havia desarticulado um botnet de mais de 200.000 dispositivos de consumo infectados com variante do Mirai. Como mostramos na cobertura do Kimwolf v7, apreensões degradam a operação, mas não encerram o ator — as técnicas descritas no advisory seguem válidas para defesa.
A técnica de persistência
O coração do relatório está na seção de persistência. Para manter acesso remoto contínuo e mascarar o tráfego de comando e controle, os atores instalam clientes VPN SoftEther diretamente nas máquinas das vítimas, renomeados como conhost.exe ou dllhost.exe, baixados com PowerShell ou binários LOTL em sistemas Windows e via curl ou wget em Linux. O cliente é configurado para reconectar automaticamente na inicialização do sistema, e os instaladores recebem nomes de executáveis comuns do Windows justamente para escapar da inspeção de analistas e de regras genéricas de antivírus.
O advisory é explícito sobre por que isso funciona: software de detecção de endpoint tende a não sinalizar o SoftEther porque é um produto VPN legítimo. Em casos observados, o programa ficava armazenado no próprio servidor comprometido, com conexões hospedadas em domínios como hmbcloud.net, twimg.co.uk e 98aiblog.com. Essa lógica de se abrigar em software confiável é a mesma família de truque que registramos no Cling, que disfarçava C2 como tráfego STUN do Google: quando o artefato é benigno por si só, a detecção precisa vir do comportamento e do contexto, não da assinatura.
Do acesso ao roubo de e-mails
A intrusão começa antes, na varredura. O MicroScan, aplicação web em Python usada pelos atores desde pelo menos 2017, contém mais de 1,300 scripts de teste de penetração voltados a serviços como OpenSSL, Oracle WebLogic, WordPress, Jenkins e Apache Struts. Segundo o DOJ, alvos da varredura incluíram uma companhia de energia dos EUA, aeroportos japonês e polonês e infraestrutura de gás e energia de Taiwan. A ferramenta de spear phishing FishHub entregava malware após o comprometimento inicial, com vítimas confirmadas que incluem cerca de 20 universidades taiwanesas.
Do lado do acesso a contas, o EBurst realiza password spraying e adivinhação de senha contra dez interfaces do Exchange, incluindo EWS, OWA, ECP e Autodiscover — interfaces que precisam estar no escopo de monitoramento de autenticação. Um payload de XSS recuperado pelo FBI injetava formulários de login em sites vulneráveis e entregava o executável live700_v1.exe, que iniciava um processo com o mesmo nome do DiagTrack legítimo do Windows e comunicava-se de forma cifrada com o domínio dns.studiocloud.xyz para consultas a caixas de correio.
Na coleta e exfiltração, o script PHP Curlc4.txt interfaceia com a API EWS da Microsoft para puxar e-mails, compacta o material e, em alguns casos, criptografa com RC4 ou AES-128-CBC antes de subir para o C2 natcloudservice.com. O utilitário office-cli automatiza acesso contínuo a contas do Outlook 365 com arquivos de configuração contendo client_id, tenant_id e secret — exfiltração por método legítimo de acesso. O DC.exe executa a replicação DCSync contra o controlador de domínio para copiar credenciais, associações de grupo e relações de confiança do Active Directory.
Sinais de comprometimento
O advisory traz STIX público com os indicadores, mas quatro famílias de sinal merecem regra própria no SIEM: instalação de cliente VPN em estações que nunca tiveram esse software; processos de reconexão automática apontando para domínios não corporativos; arquivos de staging com nomes como 001.gif, Css.js ou M2k.js associados a dumps MySQL; e tráfego EWS autenticado fora do padrão do usuário. A varredura dos atores concentra-se nas portas 21, 22, 53, 80, 443 e 1080, então volumes anômalos nessas portas no perímetro também são ponto de partida. Vale lembrar a ressalva dos autores: vários IOCs datam de até 2016 e devem ser investigados antes de bloqueio em massa.
Mitigações prioritárias
| Prioridade | Ação | Por quê |
|---|---|---|
| P1 | Inventariar e bloquear SoftEther e outros clientes VPN não aprovados; alertar sobre processos com nome de binário do Windows executando de caminho incomum | A persistência documentada depende de VPN legítima renomeada; a retirada do software quebra o acesso remoto |
| P1 | Exigir MFA em webmail, VPN e contas críticas; auditar autenticação nas dez interfaces do Exchange visadas pelo EBurst | As duas rotas de acesso a contas usam senha válida, não exploração de CVE |
| P1 | Monitorar replicação inesperada do Active Directory (DCSync) e uso não autorizado de ferramentas LOTL | O DC.exe copia credenciais do domínio via mecanismo de replicação legítimo |
| P2 | Sanitizar entrada de usuário em aplicações web contra XSS e revisar logs de acesso por enumeração e command injection | O XSS foi vetor de colheita de credenciais em sites de terceiros |
| P2 | Segmentar a rede, desabilitar serviços e portas não usados e monitorar upload anormal de estações de trabalho | Reduz o alcance do agente após o comprometimento e expõe a exfiltração |
Para a resposta a incidentes, o advisory recomenda isolar hosts comprometidos, fazer threat hunting para dimensionar a intrusão antes de evictar o ator e usar a Eviction Strategies Tool da CISA para montar o playbook de expulsão. O objetivo operacional é claro: como a persistência é software legítimo mal colocado, a vitória defensiva está em inventário, baseline e detecção comportamental, não em nova assinatura.