De FBI meldt dat China-gekoppelde hackers via een webportaal derden toegang gaven tot gestolen e-mail. Volgens een gezamenlijke advisory vielen slachtoffers onder meer binnen overheidsorganisaties, wetshandhaving, zorginstellingen en religieuze organisaties in Zuidoost-Azië. Daarbij beschrijven de autoriteiten vooral hoe de indringing plaatsvond, wat er werd buitgemaakt en welke signalen verdedigers kunnen zoeken.
Dit nieuws raakt organisaties die Microsoft 365 of Exchange gebruiken, maar ook teams die webapplicaties en externe toegang moeten beveiligen. Juist daarom past de aanpak van ARTEX AI pentesting bij datadiefstal goed bij het denken in misbruikroutes: van ontdekking en inlogpogingen tot het veilig blokkeren van laterale toegang en datakopieën.
Wat is er gemeld: webtoegang tot gestolen e-mail
De gezamenlijke instanties stellen dat de aanvallers e-mailinhoud verzamelden bij meerdere organisaties. Vervolgens zetten ze een webapplicatie in die “derde partijen” toegang kon geven tot die gestolen mailboxdata. Welke externe partijen precies toegang kregen, wordt in de advisory niet gespecificeerd.
Opvallend is dat de tekst van de advisory in de tegenwoordige tijd is opgesteld, maar geen harde datum noemt waarop de diefstal exact plaatsvond. Wel wordt duidelijk dat de campagne al sinds ten minste midden januari 2021 actief zou zijn.
Wie zit erachter: Integrity Technology Group en vervolgsignalen
De FBI en de andere deelnemende landen noemen Integrity Technology Group als een China-gebaseerd bedrijf met banden met de Chinese overheid. Het advies beschrijft dat medewerkers ofwel cybertools bouwen voor gebruik en verkoop, ook infrastructuur hosten en netwerken binnendringen.
In de Verenigde Staten en het Verenigd Koninkrijk is het bedrijf gesanctioneerd (respectievelijk in januari 2025 en december 2025). De advisory gebruikt één overkoepelende term (“the threat actors”) voor zowel het bedrijf als de actoren die het mogelijk maakt. Daardoor wordt niet per incident uitgesplitst welke partij precies de individuele inbraak uitvoerde.
Verder wordt de techniek vergeleken met patronen die beveiligingsbedrijven eerder toeschreven aan groepen zoals Flax Typhoon, Ethereal Panda en RedJuliett. Het advies benadrukt dat die namen niet één-op-één hoeven overeen te komen met hoe de overheid intern clusterlabels hanteert.
Hoe komen ze binnen: van scans tot bekende kwetsbaarheden
De indringing begint volgens de advisory vaak met het zoeken naar kwetsbaarheden in netwerkdiensten en webapplicaties. Daarbij gebruiken aanvallers open-source scanners, waaronder Nmap, masscan en WPScan. Hun focus ligt op veelvoorkomende poorten (zoals 21, 22, 53, 80, 443 en 1080), wat suggereert dat ze gericht opportunistisch zoeken naar systemen die snel te benaderen zijn.
Daarnaast is er een scanner genaamd MicroScan, een Python webapplicatie met meer dan 1.300 penetration testing scripts. Daarmee kunnen ze gericht websites scannen op bekende zwakke plekken in software en omgevingen. De advisory noemt onder meer tests tegen diensten zoals OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins en Apache Struts.
Volgens het bericht van het Britse NCSC (National Cyber Security Centre) zouden aanvallers ook geautomatiseerde scanning gebruiken met AI-achtige hulpmiddelen. De gezamenlijke advisory zelf legt die AI-koppeling echter minder expliciet uit.
Van exploit-code naar command-line tools
De aanvallers zouden vooral toegang verwerven met command-line tools die gebouwd zijn op exploitcode in talen als Python en Go. De advisory noemt acht bekende kwetsbaarheden die ze succesvol zouden hebben uitgebuit, waarbij die kwetsbaarheden terug te voeren zijn op wat de scripts ontdekten en testten.
Een deel van die kwetsbaarheden staat (volgens de advisory) als “nieuw toegevoegd” in de Known Exploited Vulnerabilities (KEV)-catalogus van CISA. Voor verdedigers is dat een belangrijk signaal: als iets al in KEV staat, is het doelwit vaak al in het wild actief.
Niet alleen patching: ook XSS en fake logins
Naast klassieke exploitroutes noemen de autoriteiten ook alternatieve toegangspaden. Zo werd een cross-site scripting (XSS)-payload teruggevonden die een kwetsbare webpagina aanpast met extra velden voor username en password.
Na het invullen biedt de pagina vervolgens een ZIP-bestand met een uitvoerbaar programma aan. Dat programma start weer een procesnaam die lijkt op een legitiem Windows-bestand (DiagTrack.exe), waarna er versleuteld verkeer wordt verstuurd naar een domein dat aan Integrity Technology Group wordt gekoppeld. De FBI stelt daarbij dat de malware waarschijnlijk mikt op e-mail doelen.
Verder wordt password spraying beschreven: aanvallers proberen een beperkte set veelgebruikte wachtwoorden tegen een groot aantal accounts. Voor Microsoft 365 en Exchange werd hierbij een tool genaamd EBurst gebruikt.
Hoe ze blijven: VPN-verhulling en datadiefstal op Windows/AD
Om toegang te behouden installeren de aanvallers een legitieme VPN-tool: SoftEther. Omdat het een bestaand product is, kan het minder verdacht ogen bij beveiligingssoftware. De advisory meldt dat ze daarnaast installatiebestanden soms hernoemen (zoals conhost.exe of dllhost.exe) om meer op gewone Windows-onderdelen te lijken. Ook wordt ingesteld dat de client telkens opnieuw verbinding maakt na een herstart.
Voor credential access wordt een techniek genoemd met DCSync, waarbij data uit een domeincontroller wordt gekopieerd via Active Directory replication. De tool DC.exe zou daarmee accountgegevens, groepslidmaatschappen en trustrelaties ophalen.
Dit is precies het soort stap dat je in een ARTEX AI pentesting bij datadiefstal-aanpak wilt modelleren: niet alleen “kun je inloggen?”, maar ook “wat gebeurt er nadat een aanvaller binnen is op identiteits- en directorylaag?”.
Wat ze meenemen: mailboxen, compressie en herhaalde Microsoft 365 toegang
Voor e-mail verzamelen de aanvallers data via Exchange Web Services (EWS). Ze bouwen daarbij een bot rondom een PHP-script (met een bestandsnaam in de richting van Curlc4.txt) dat mailboxinhoud ophaalt, comprimeert en soms encrypt. Vervolgens wordt de verzamelde data geüpload naar een remote server.
Daarnaast wordt een tweede tool genoemd, office-cli, die opnieuw periodiek teruggaat naar Microsoft 365 om mail uit verschillende tijdsperiodes op te halen. Deze tool werkt vanuit configuratiebestanden met onder meer client ID, tenant ID en een secret. De autoriteiten geven aan dat het gebruik van legitieme toegangspaden bedoeld is om detectie te ontwijken.
Ook rapporteert de advisory dat er in sommige gevallen databases werden gedownload, of dat data handmatig werd “getrokken” uit e-mail.
Welke verdediging wordt aangeraden
De adviespunten zijn praktisch en richten zich op zowel preventie als opsporing. De instanties adviseren om in het eigen netwerk te zoeken naar signalen van deze activiteit en om de omgeving te verharden.
- Schakel ongebruikte services en poorten uit, zoals remote access en file sharing.
- Sanitize user input in webapplicaties om XSS te blokkeren.
- Forceer multi-factor authentication (MFA), vooral voor webmail, VPN-toegang en accounts met toegang tot kritieke systemen.
- Let op onverwachte Active Directory-replicatie, een aanwijzing voor DCSync-achtige technieken.
- Controleer cloudaccounts op verbonden applicaties die bestanden en e-mail kunnen lezen.
- Bekijk webapplicatie-logs op aanvalspogingen.
- Patch door: toepassen van updates voor de genoemde kwetsbaarheden.
- Vervang verouderde producten die niet meer worden bijgewerkt.
Bij een vermoeden van compromittering adviseren de auteurs: isoleer de getroffen systemen, onderzoek hoe ver de inbraak ging, verzamel voldoende hunting-data en meld volgens nationale regels. Pas daarna wordt volledige verwijdering en verdere hardening uitgevoerd.
Waarom dit extra relevant is voor pentesting en ARTEX AI pentesting
Wat dit bericht zo herkenbaar maakt voor beveiligingsteams is dat de route niet stopt bij één “exploitmoment”. De keten omvat scanning, misbruik van kwetsbaarheden of invoerafhandeling, toegang tot account-interfaces, credential access via directorymechanismen en vervolgens het exfiltreren van e-mail via legitiem ogende paden.
Dat maakt ARTEX AI pentesting bij datadiefstal interessant vanuit een risicoperspectief: je wilt testen of een aanvaller daadwerkelijk door kan naar de fase waarin data wordt gekopieerd en later gedeeld. Alleen kwetsbaarheden vinden is niet genoeg; de opdracht is om te bewijzen (of te weerleggen) dat de aanval ook leidt tot datadiefstal.
Als je dit onderwerp verbreedt naar e-mail- en datadiefstalroutes, kan het nuttig zijn om ook te kijken naar eerder gepubliceerde analyses, zoals ARTEX AI pentesting bij datadiefstal en hoe pentesting helpt om zwakke schakels in de praktijk bloot te leggen.
Praktische start: meteen checken waar het mis kan gaan
Wil je vandaag nog concrete stappen zetten, begin dan bij de onderdelen die in deze advisory meerdere keren terugkomen. Denk aan webapplicatie-veiligheid (XSS en inputvalidatie), log- en alertbaarheid op loginpogingen en verdachte toegangspatronen, en het correct afstellen van MFA voor webmail en VPN.
Daarnaast is het verstandig om te controleren of er geen “connected apps” in de cloud bestaan die e-mail of bestanden kunnen lezen zonder dat je dat doel bewust hebt ingericht. Tot slot: zorg dat kwetsbaarheden die als actief uitgebuit worden niet blijven liggen, ook als de implementatie complex is.
Tot slot: mocht je willen verdiepen in gerelateerde aanvalspatronen rond e-mail en misbruik van interfaces, dan is web datalekken door API-misbruik: Japan in alarm een nuttige aanvulling om te zien hoe vaak “toegang via derde partijen” een rode draad is.
Conclusie
De FBI-waarschuwing laat zien hoe een aanval zich kan uitrollen van scouting naar inbraak, en vervolgens naar het verzamelen van e-mail en het aanbieden van die inhoud via een webportaal. De combinatie van webscanners, exploit-aanpak, credential access en herhaalde Microsoft 365-toegang maakt dit een campagne die veel verder gaat dan één incident.
Door je verdedigingsstrategie te koppelen aan ketenlogica—zoals bij ARTEX AI pentesting bij datadiefstal—kun je sneller vaststellen waar aanvallers door kunnen groeien. Met patching, strikte MFA, inputvalidatie en gerichte hunting vergroot je de kans dat je een datadiefstalroute vroeg afremt.
Bron: https://thehackernews.com/2026/10/fbi-says-china-linked-hackers-ran.html
