Taiwanese organisaties zijn het doelwit van een vanuit China opererende spionagegroep die gebruikmaakt van kwetsbaarheden in VPN-, Java-, SQL- en webapplicaties om organisaties binnen te dringen en vervolgens in Windows aanwezige tools gebruikt om netwerken verder te compromitteren. Dat meldt Microsoft, dat de groep de naam Flax Typhoon heeft gegeven. Wat het doel van de aanvallers precies is, is onbekend, maar Microsoft vermoedt dat het om spionage gaat.

De groep richt zich op Taiwanese overheidsinstanties, onderwijsinstellingen en it-organisaties. Ook heeft Microsoft slachtoffers in Zuidoost-Azië waargenomen, alsmede in Noord-Amerika en Afrika. Via de kwetsbare applicaties installeert Flax Typhoon een webshell op de onderliggende server en voert daarvandaan verdere aanvallen uit. In het geval het gecompromitteerde proces met onvoldoende rechten draait, gebruikt de groep malware die van verschillende kwetsbaarheden gebruikmaakt om de rechten te verhogen.

Vervolgens wordt de rest van het netwerk via aanwezige Windows-tools aangevallen. Wat volgens Microsoft opvalt is dat de groep nauwelijks malware gebruikt en geen verdere activiteiten uitvoert, zoals het stelen van data. Het uiteindelijke doel is dan ook onbekend. Wel stelt Microsoft dat het om een Chinese 'nation-state actor' gaat en wil naar eigen zeggen met de analyse voor meer bewustzijn over de gebruikte technieken zorgen. Het techbedrijf heeft ook verschillende indicators of compromise gegeven waarmee organisaties kunnen kijken of ze zijn gecompromitteerd.