Старые индикаторы компрометации (IOC) оказались куда живее, чем выглядели в свежем правительственном бюллетене. VulnCheck проверила IP-адреса из документа по Integrity Technology Group и нашла три адреса, которые продолжали атаковать уязвимые системы спустя месяцы и годы после указанных сроков активности.
Совместное предупреждение от 8 октября выпустили ФБР, Агентство кибербезопасности и защиты инфраструктуры США, АНБ и партнёры из нескольких стран. Ведомства связали описанную инфраструктуру с операторами, чьи методы совпадают с активностью Flax Typhoon, Ethereal Panda и Red Juliett, и предупредили, что опубликованные IOC требуют проверки перед блокировкой.
VulnCheck сопоставила адреса из отчёта со своими Canary-системами, которые имитируют реально уязвимые хосты. Три IP из списка атаковали такие приманки уже после сроков из бюллетеня. Самая свежая активность пришлась на май 2026 года, хотя в правительственном документе те же адреса последний раз фигурировали в период с марта 2023-го по май 2024-го.
Новые атаки не повторяли набор уязвимостей из бюллетеня. Два адреса использовали критическую CVE-2025-24893 в XWiki с оценкой 9,8 по CVSS 3.1. Ошибка позволяет гостевому пользователю удалённо выполнить код через SolrSearch, авторизация не требуется. Ранее та же уязвимость уже вызвала заметный рост атак на доступные из интернета серверы.
Зафиксированная цепочка выглядела не как простое сканирование. Запросы сначала проверяли возможность выполнить команды и прочитать /etc/passwd, после чего переходили к запуску reverse shell. В одном запросе оператор оставил незаполненный шаблон адреса, а другой раскрыл сервер управления (C2) 155.138.212.170. Через него VulnCheck нашла ещё два IP, которых не было в исходном бюллетене.
Третий адрес показал другую картину. Трафик содержал User-Agent libredtail-http, связанный с семейством RedTail, а тот же шаблон VulnCheck видит примерно у 5200 источников. Проверка управляющего сервера вывела ещё на 178 IP, которые использовали похожие цепочки как минимум до августа 2026 года. Такой масштаб больше похож на массовый ботнет, чем на ручную операцию одной группы.
Разница между кластерами меняет трактовку старых IOC. Совпадение IP с правительственным бюллетенем не доказывает принадлежность каждой новой атаки к Flax Typhoon. Инфраструктуру могли повторно использовать, перепродать или скомпрометировать другие операторы. На фоне расследования американские власти ранее изъяли домены MicroScan и FishHub, связанные с Integrity Technology Group.
Авторы бюллетеня советуют не ограничиваться блокировкой адресов. Защитникам предлагают искать следы компрометации, закрывать лишние сервисы и порты, ставить патчи, фильтровать ввод в веб-приложениях и включать многофакторную аутентификацию. Наблюдения VulnCheck показывают, что старый IOC полезнее использовать как отправную точку для поиска инфраструктуры, а не как статичную запись в чёрном списке.