Un ciudadano chino presuntamente involucrado en una ola de ataques masivos en la era de la pandemia que comprometió a casi 13.000 organizaciones estadounidenses fue extraditado de Italia a Estados Unidos y acusado formalmente en un tribunal federal, dijo el lunes el Departamento de Justicia.

Xu Zewei y sus cómplices están acusados ​​de explotar una serie de vulnerabilidades de día cero en Microsoft Exchange Server para robar investigaciones sobre vacunas, tratamientos y pruebas de COVID-19 durante la ola inicial y el posterior pico de la pandemia.

Sus presuntos crímenes, dirigidos por los servicios de inteligencia de China, fueron parte de una campaña de espionaje más amplia conocida como HAFNIUM, dirigida a expertos en enfermedades infecciosas, bufetes de abogados, universidades, contratistas de defensa y grupos de expertos en políticas, según un acusación presentó una demanda contra Xu y Zhang Yu, quien sigue en libertad.

El grupo de amenazas patrocinado por el estado de China detrás de esos ataques contra los clientes de Microsoft, y los clientes de muchos otros proveedores desde entonces, ahora es más conocido como Silk Typhoon.

«Xu ahora responderá por su presunto papel en HAFNIUM, un grupo responsable de una vasta campaña de intrusión dirigida por el Ministerio de Seguridad del Estado de China que comprometió a más de 12.700 organizaciones estadounidenses», dijo en un comunicado Brett Leatherman, subdirector de la División Cibernética del FBI.

«Él es uno de los muchos contratistas que el gobierno chino utiliza para ocultar su participación en las operaciones cibernéticas, y otros que hacen lo mismo corren el mismo riesgo», añadió.

Xu supuestamente cometió los ataques mientras trabajaba para Shanghai Powerock Network, una de las muchas empresas que llevaron a cabo ataques para diversos servicios de inteligencia de China, según registros judiciales.

Las autoridades italianas arrestaron a Xu a petición de Estados Unidos en Milán en julio. Su captura subraya una ventana de oportunidad que los funcionarios y aliados de Estados Unidos pueden aprovechar cuando los atacantes de estados-nación viajan a países que cooperan con Estados Unidos.

Italia extraditó a Xu a Estados Unidos el sábado, pero no dio a conocer sus órdenes de extradición hasta el lunes, dijo a CyberScoop Simona Candido, su abogada en Italia.

Las autoridades dijeron que el lunes fue la primera aparición de Xu en el Tribunal de Distrito de Estados Unidos para el Distrito Sur de Texas. Actualmente se encuentra recluido en una prisión federal en Houston.

«Hemos perseguido este momento a lo largo de años y continentes, y el mensaje que esta oficina envía hoy es el mismo que enviamos cuando abrimos por primera vez esta acusación: trabajaremos para proteger al pueblo estadounidense», dijo en un comunicado John GE Marck, fiscal federal interino para el Distrito Sur de Texas.

Xu supuestamente trabajó bajo la dirección de la Oficina de Seguridad Estatal de Shanghai del Ministerio de Seguridad del Estado de China para irrumpir en las redes de organizaciones estadounidenses, robar datos e implantar webshells para un acceso remoto persistente. Los funcionarios también acusan a Xu de robar información sobre los responsables políticos y las agencias gubernamentales estadounidenses de una firma de abogados global con oficinas en Washington.

Microsoft advirtió por primera vez a los clientes sobre la Campaña HAFNIO en marzo de 2021. El FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad siguieron poco después con un asesoramiento conjunto sobre el compromiso generalizado de Microsoft Exchange Server.

«La acción policial de hoy demuestra las consecuencias en el mundo real de esta actividad dirigida por el Estado, impulsada por una vasta red de empresas privadas que operan bajo la dirección del gobierno chino», dijo a CyberScoop Aaron Shraberg, líder del equipo senior de inteligencia global en Flashpoint.

«Extraditar a estos individuos de países en coordinación con las fuerzas del orden internacionales demuestra una postura unida ante estas acciones y la importancia de traer consecuencias en el mundo real a los notorios ataques de China no sólo contra el pueblo estadounidense y sus empresas, sino también contra personas de todo el mundo», añadió Shraberg.

Xu está acusado de conspiración para cometer fraude electrónico; dos cargos de fraude electrónico; conspiración para causar daño y obtener información mediante acceso no autorizado a computadoras protegidas, cometer fraude electrónico y cometer robo de identidad; dos cargos de obtención de información mediante acceso no autorizado a computadoras protegidas; dos cargos de daño intencional a una computadora protegida; y robo de identidad agravado.

El hombre de 34 años enfrenta hasta 62 años de prisión por sus presuntos delitos.