Flax Typhoon: sequestrati MicroScan e FishHub di Integrity Tech

L’8 ottobre 2026 il Dipartimento di Giustizia e l’FBI hanno annunciato il sequestro di sette domini usati per far funzionare due strumenti d’attacco, MicroScan e FishHub. Secondo le autorità statunitensi li ha sviluppati e gestiti Integrity Technology Group (Integrity Tech), società cinese con contratti con il governo di Pechino, e li hanno usati gruppi legati allo Stato cinese, in particolare quello noto come Flax Typhoon. I sequestri sono stati autorizzati da un tribunale del distretto occidentale della Pennsylvania.

Insieme ai sequestri è uscito un avviso congiunto di FBI, CISA e NSA, firmato anche da Australia, Canada, Giappone, Nuova Zelanda, Regno Unito e Spagna. Secondo The Record è lungo 58 pagine e descrive strumenti e tecniche usati negli ultimi sei anni.

I due strumenti

MicroScan è una piattaforma di scansione delle vulnerabilità. Secondo l’avviso è un’applicazione web in Python con oltre 1.300 script di penetration test, attiva almeno dal 2017. Gli script colpiscono software molto diffusi: Apache Struts, Oracle WebLogic, Jenkins, WordPress, Juniper ScreenOS, OpenSSL, Rejetto HFS e altri. Per le scansioni Integrity Tech si appoggiava a una botnet di dispositivi IoT infettati da una variante di Mirai.

Secondo i documenti del tribunale, MicroScan è stato usato, intorno al 26 aprile e al 29 dicembre 2022, contro le reti di una società elettrica della Carolina del Sud, di una ONG multinazionale, di aeroporti in Giappone e in Polonia e di almeno due aziende taiwanesi del gas e dell’energia. L’FBI non ha detto se queste organizzazioni siano state violate. Ha invece confermato intrusioni riuscite dopo le scansioni in due università taiwanesi, nell’agosto 2022 e nel marzo 2023.

FishHub serviva alle campagne di spear phishing. Dopo l’accesso iniziale scaricava un file che, tramite i domini sequestrati, recuperava altri programmi malevoli. Il malware elencava i file, cercava documenti specifici, li comprimeva e li inviava a server controllati dagli attaccanti, dando anche accesso remoto alla rete. Sul numero delle vittime le fonti divergono: secondo BleepingComputer, su un server collegato a FishHub c’erano dati di oltre 20 organizzazioni, tra cui sei università taiwanesi; secondo The Record, The Register e SecurityWeek le vittime sono una ventina di università di Taiwan.

I domini sequestrati

• c0cc[.]cc: accesso a MicroScan, ancora attivo a settembre 2026 secondo BleepingComputer;
• 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net: distribuzione del malware di FishHub, secondo The Register fino a marzo;
• 98aiblog[.]com: legato al software VPN SoftEther installato sui sistemi compromessi per mantenere l’accesso.

Tecniche e vulnerabilità sfruttate

L’avviso riguarda attività che si sovrappongono a quelle tracciate come Flax Typhoon, Ethereal Panda, Red Juliett, Storm-0919 e UNC5007, e precisa che non tutte sono necessariamente legate a Integrity Tech. I bersagli includono enti governativi, manifattura critica, sanità, informatica, forze dell’ordine, istruzione e organizzazioni religiose. Secondo The Record, CISA e NSA indicano come bersaglio tipico i dispositivi di confine poco sorvegliati.

La catena descritta dalle fonti:

• ricognizione con MicroScan e strumenti pubblici come Nmap, masscan, Fscan, dirsearch, WPScan, OneForAll e ksubdomain;
• accesso iniziale con exploit da riga di comando, cross-site scripting e password spraying contro Microsoft Exchange con lo strumento EBurst;
• persistenza tramite SoftEther VPN;
• raccolta: furto di email da sistemi locali e servizi cloud con lo script PHP Curlc4.txt e l’utilità office-cli, estrazione di dati da Active Directory con DC.ex. L’FBI ha trovato anche un’applicazione web che permetteva a terzi di consultare le email rubate e, in alcuni casi, l’accesso ai dati era limitato a indirizzi IP di Xiamen.

Secondo BleepingComputer, le vulnerabilità sfruttate più spesso sono otto. The Register riporta che CISA ha aggiunto le prime cinque al catalogo KEV:

• CVE-2015-3306 (ProFTPD, lettura non autorizzata di file);
• CVE-2015-5477 (ISC BIND, negazione del servizio);
• CVE-2016-3081 (Apache Struts, esecuzione di codice remoto);
• CVE-2021-3199 (ONLYOFFICE Document Server, scrittura non autorizzata di file);
• CVE-2023-22894 (Strapi, divulgazione di informazioni);
• CVE-2014-6278 (GNU Bash, Shellshock);
• CVE-2019-11510 (Pulse Secure VPN, lettura arbitraria di file);
• CVE-2021-22205 (GitLab, esecuzione di codice remoto).

Le tecniche MITRE ATT&CK corrispondenti (mappatura nostra, non dell’avviso) sono T1595.002 (scansione delle vulnerabilità), T1584.005 (botnet), T1190 (sfruttamento di applicazioni esposte), T1566 (phishing), T1110.003 (password spraying), T1114 (raccolta di email) e T1560 (archiviazione dei dati raccolti).

Il contesto

Non è la prima azione contro Integrity Tech. Nel settembre 2024 il Dipartimento di Giustizia aveva smantellato la sua botnet basata su Mirai: più di 200.000 dispositivi secondo BleepingComputer, oltre 260.000 secondo The Record e The Register. Gli Stati Uniti l’hanno sanzionata nel 2025 e, secondo BleepingComputer, anche il Regno Unito; l’Unione europea l’ha sanzionata nel 2026, a marzo secondo SecurityWeek.

Impatto per le aziende europee e italiane

Le fonti non citano vittime in Italia, ma tra i bersagli delle scansioni ci sono aeroporti polacchi e la Spagna firma l’avviso. Le vulnerabilità sfruttate sono in buona parte vecchie e note: il rischio riguarda chiunque abbia ancora esposti server Struts, WebLogic, GitLab, VPN Pulse Secure o Exchange senza aggiornamenti. Per i soggetti NIS2 dei settori energia, trasporti e sanità, e per università e centri di ricerca, è un caso concreto di gestione delle vulnerabilità sui sistemi esposti.

Cosa fare subito

1. Cerca gli indicatori dell’avviso congiunto (indirizzi IP, domini, hash) nei log di DNS, proxy, firewall e posta, a partire dai sette domini elencati.
2. Correggi le otto CVE elencate, a partire dalle cinque nel catalogo KEV, e verifica di non avere versioni non più supportate esposte su Internet.
3. Disattiva i servizi esposti non necessari e controlla i dispositivi di confine.
4. Attiva l’autenticazione a più fattori su posta e VPN e cerca, nei log di Exchange, raffiche di accessi falliti su molti account.
5. Controlla le installazioni di SoftEther VPN non autorizzate e i trasferimenti insoliti di archivi compressi verso l’esterno.

Come aiuta ARXDOME

ARX Expose mostra i servizi pubblici con vulnerabilità note, ARX Shield mette in evidenza le vulnerabilità già sfruttate sulle macchine monitorate e ARX Horizon permette di cercare gli indicatori di compromissione dal portale. ARX Sentry raggruppa nelle pagine del SOC accessi falliti e raffiche di tentativi, utili a riconoscere un password spraying.

Ultimo aggiornamento: 9 ottobre 2026