Flax Typhoon: incautados MicroScan y FishHub de Integrity Tech

El 8 de octubre de 2026 el Departamento de Justicia y el FBI de Estados Unidos anunciaron la incautación de siete dominios usados para hacer funcionar dos herramientas de ataque, MicroScan y FishHub. Según las autoridades estadounidenses, las desarrolló y gestionó Integrity Technology Group (Integrity Tech), empresa china con contratos con el gobierno de Pekín, y las usaron grupos vinculados al Estado chino, en particular el conocido como Flax Typhoon. Las incautaciones fueron autorizadas por un tribunal del distrito oeste de Pensilvania.

Junto a las incautaciones se publicó un aviso conjunto del FBI, la CISA y la NSA, firmado también por Australia, Canadá, Japón, Nueva Zelanda, el Reino Unido y España. Según The Record tiene 58 páginas y describe herramientas y técnicas usadas en los últimos seis años.

Las dos herramientas

MicroScan es una plataforma de escaneo de vulnerabilidades. Según el aviso, es una aplicación web en Python con más de 1.300 scripts de pruebas de penetración, activa al menos desde 2017. Los scripts atacan software muy extendido: Apache Struts, Oracle WebLogic, Jenkins, WordPress, Juniper ScreenOS, OpenSSL, Rejetto HFS y otros. Para los escaneos, Integrity Tech se apoyaba en una botnet de dispositivos IoT infectados con una variante de Mirai.

Según los documentos judiciales, hacia el 26 de abril y el 29 de diciembre de 2022 MicroScan se usó contra las redes de una compañía eléctrica de Carolina del Sur, una ONG multinacional, aeropuertos de Japón y Polonia y al menos dos empresas taiwanesas del gas y la energía. El FBI no ha dicho si estas organizaciones fueron vulneradas. Sí ha confirmado intrusiones logradas tras los escaneos en dos universidades taiwanesas, en agosto de 2022 y marzo de 2023.

FishHub servía para campañas de spear phishing. Tras el acceso inicial descargaba un archivo que, a través de los dominios incautados, obtenía otros programas maliciosos. El malware listaba los archivos, buscaba documentos concretos, los comprimía y los enviaba a servidores controlados por los atacantes, y además daba acceso remoto a la red. Sobre el número de víctimas las fuentes difieren: según BleepingComputer, en un servidor vinculado a FishHub había datos de más de 20 organizaciones, entre ellas seis universidades taiwanesas; según The Record, The Register y SecurityWeek, las víctimas son una veintena de universidades de Taiwán.

Los dominios incautados

• c0cc[.]cc: acceso a MicroScan, todavía activo en septiembre de 2026 según BleepingComputer;
• 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net: distribución del malware de FishHub, hasta marzo según The Register;
• 98aiblog[.]com: vinculado al software VPN SoftEther instalado en los sistemas comprometidos para mantener el acceso.

Técnicas y vulnerabilidades explotadas

El aviso trata actividades que se solapan con las rastreadas como Flax Typhoon, Ethereal Panda, Red Juliett, Storm-0919 y UNC5007, y precisa que no todas están necesariamente vinculadas a Integrity Tech. Entre los objetivos hay organismos gubernamentales, fabricación crítica, sanidad, informática, fuerzas del orden, educación y organizaciones religiosas. Según The Record, la CISA y la NSA señalan como objetivo típico los dispositivos perimetrales poco vigilados.

La cadena descrita por las fuentes:

• reconocimiento con MicroScan y herramientas públicas como Nmap, masscan, Fscan, dirsearch, WPScan, OneForAll y ksubdomain;
• acceso inicial con exploits de línea de comandos, cross-site scripting y password spraying contra Microsoft Exchange con la herramienta EBurst;
• persistencia mediante SoftEther VPN;
• recopilación: robo de correos de sistemas locales y servicios en la nube con el script PHP Curlc4.txt y la utilidad office-cli, y extracción de datos de Active Directory con DC.ex. El FBI encontró también una aplicación web que permitía a terceros consultar los correos robados y, en algunos casos, el acceso a los datos estaba limitado a direcciones IP de Xiamen.

Según BleepingComputer, las vulnerabilidades explotadas con más frecuencia son ocho. The Register informa de que la CISA añadió las cinco primeras al catálogo KEV:

• CVE-2015-3306 (ProFTPD, lectura no autorizada de archivos);
• CVE-2015-5477 (ISC BIND, denegación de servicio);
• CVE-2016-3081 (Apache Struts, ejecución remota de código);
• CVE-2021-3199 (ONLYOFFICE Document Server, escritura no autorizada de archivos);
• CVE-2023-22894 (Strapi, divulgación de información);
• CVE-2014-6278 (GNU Bash, Shellshock);
• CVE-2019-11510 (Pulse Secure VPN, lectura arbitraria de archivos);
• CVE-2021-22205 (GitLab, ejecución remota de código).

Las técnicas MITRE ATT&CK correspondientes (mapeo nuestro, no del aviso) son T1595.002 (escaneo de vulnerabilidades), T1584.005 (botnet), T1190 (explotación de aplicaciones expuestas), T1566 (phishing), T1110.003 (password spraying), T1114 (recopilación de correo) y T1560 (archivado de los datos recopilados).

El contexto

No es la primera acción contra Integrity Tech. En septiembre de 2024 el Departamento de Justicia desmanteló su botnet basada en Mirai: más de 200.000 dispositivos según BleepingComputer, más de 260.000 según The Record y The Register. Estados Unidos la sancionó en 2025 y, según BleepingComputer, también el Reino Unido; la Unión Europea la sancionó en 2026, en marzo según SecurityWeek.

Impacto para las empresas europeas e italianas

Las fuentes no citan víctimas en Italia, pero entre los objetivos de los escaneos hay aeropuertos polacos y España firma el aviso. Las vulnerabilidades explotadas son en su mayoría antiguas y conocidas: el riesgo afecta a cualquiera que aún tenga expuestos servidores Struts, WebLogic, GitLab, VPN Pulse Secure o Exchange sin actualizar. Para las entidades NIS2 de los sectores de energía, transporte y sanidad, y para universidades y centros de investigación, es un caso concreto de gestión de vulnerabilidades en sistemas expuestos.

Qué hacer ya

1. Busca los indicadores del aviso conjunto (direcciones IP, dominios, hashes) en los registros de DNS, proxy, firewall y correo, empezando por los siete dominios citados.
2. Corrige las ocho CVE citadas, empezando por las cinco del catálogo KEV, y comprueba que no tienes versiones sin soporte expuestas a Internet.
3. Desactiva los servicios expuestos innecesarios y revisa los dispositivos perimetrales.
4. Activa la autenticación multifactor en correo y VPN y busca, en los registros de Exchange, ráfagas de inicios de sesión fallidos en muchas cuentas.
5. Revisa las instalaciones de SoftEther VPN no autorizadas y las transferencias inusuales de archivos comprimidos hacia el exterior.

Cómo ayuda ARXDOME

ARX Expose muestra los servicios públicos con vulnerabilidades conocidas, ARX Shield destaca las vulnerabilidades ya explotadas en las máquinas monitorizadas y ARX Horizon permite buscar indicadores de compromiso desde el portal. ARX Sentry agrupa en las páginas del SOC los inicios de sesión fallidos y las ráfagas de intentos, útiles para reconocer un password spraying.

Última actualización: 9 de octubre de 2026