Redaktionelle Analyse · Primärquellen
Von Integrity Tech unterstützte Kampagnen: neue gemeinsame Warnung, kein einzelner neuer Sicherheitsvorfall
Eine 58-seitige gemeinsame Warnung bündelt Erkenntnisse aus mehreren Ermittlungen zu langjährigen Kampagnen, die automatisierte Scans, kompromittierte Infrastruktur und manuelle Ausnutzung kombinierten, um weltweit sensible Daten zu stehlen.
Bestätigte Fakten und Zeitachse
Am 8. Oktober 2026 veröffentlichten FBI, CISA, NSA und Partnerbehörden eine gemeinsame Warnung auf Grundlage technischer Beweise aus mehreren FBI-Ermittlungen. Demnach zielten von Integrity Technology Group unterstützte Akteure in mehreren Regionen auf Behörden, kritische Fertigung, Gesundheitswesen, öffentliche Gesundheit, Informationstechnologie, Strafverfolgung, Bildung und religiöse Organisationen. Die Aktivität reicht mindestens bis Januar 2021 zurück; es handelt sich um eine neue Offenlegung und ein neues Verteidigungspaket, nicht um den Nachweis eines einzelnen neuen Eindringens am 8. Oktober. [1] [2] [3]
Wer sollte die eigene Exposition prüfen?
Vorrangig prüfen sollten Organisationen mit internetseitig erreichbaren Webanwendungen, VPN- oder Fernzugriffsdiensten, Microsoft-Exchange-Schnittstellen und Altsystemen im Zusammenhang mit den in der Warnung aufgeführten CVEs. Verteidiger sollten die veröffentlichten Indikatoren mit vorhandener DNS-, Proxy-, Identitäts-, Endpunkt- und E-Mail-Telemetrie abgleichen. Ein Treffer ist dabei ein Ermittlungsansatz und kein Beweis für eine Kompromittierung. Ein fehlender Treffer schafft keine Sicherheit, wenn relevante Protokolle bereits abgelaufen sind. [1]
Auswirkungen auf Auftrag und Governance
Das Kampagnenmodell zielt auf sensible Daten und dauerhaften Zugang, nicht nur auf unmittelbare Störungen. Für CISOs lautet die Governance-Frage, ob Verantwortliche für kritische Daten, exponierte Dienste und Incident Response über ein gemeinsames, verbindliches Inventar und einen klaren Entscheidungsweg verfügen. Aufsichtsgremien sollten fragen, ob nicht mehr unterstützte Dienste einen genehmigten Risikoverantwortlichen haben, ob Identitätskontrollen alle Exchange- und Fernzugriffsschnittstellen abdecken und ob die Telemetrie lange genug für historische Untersuchungen aufbewahrt wird.
Reaktionsprioritäten und offene Fragen
Zuerst Beweise sichern, danach anhand der vollständigen Warnung und der maschinenlesbaren Indikatoren suchen; privilegierte Konten und Dienstkonten, unerwartete VPN-Software, verdächtige Postfachzugriffe und ungewöhnliche Datenbereitstellung prüfen. Exponierte Altdienste patchen oder außer Betrieb nehmen, ungenutzte Ports und Schnittstellen deaktivieren, soweit möglich phishingresistente MFA verlangen und Eindämmung üben, ohne forensische Artefakte zu zerstören. Die Behörden ordnen das unterstützende Ökosystem zu und beschreiben Aktivitäten, die mit mehreren öffentlichen Clusternamen übereinstimmen, warnen jedoch vor einer Eins-zu-eins-Zuordnung kommerzieller Bezeichnungen. Die Warnung enthält weder eine vollständige Opferliste noch beweist sie, dass jede Organisation mit einem betroffenen Produkt kompromittiert wurde. [1]
Quellen
- FBI, CISA, NSA and international partners — Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data, AA26-281A, 8 October 2026 (accessed 9 October 2026)
- UK National Cyber Security Centre — China-linked malicious actors called out by UK and international partners for targeting sensitive data globally, 8 October 2026 (accessed 9 October 2026)
- U.S. National Security Agency — NSA Joins FBI and Others to Provide Guidance to Mitigate Chinese Government-linked Actors Targeting Sensitive Data, 8 October 2026 (accessed 9 October 2026)