Flax Typhoon: MicroScan și FishHub de la Integrity Tech, confiscate

Pe 8 octombrie 2026, Departamentul de Justiție și FBI au anunțat confiscarea a șapte domenii folosite pentru a opera două instrumente de atac, MicroScan și FishHub. Potrivit autorităților americane, acestea au fost dezvoltate și administrate de Integrity Technology Group (Integrity Tech), o companie chineză cu contracte cu guvernul de la Beijing, și au fost folosite de grupuri legate de statul chinez, în special de cel cunoscut ca Flax Typhoon. Confiscările au fost autorizate de o instanță din districtul de vest al Pennsylvaniei.

Odată cu confiscările a apărut un aviz comun al FBI, CISA și NSA, semnat și de Australia, Canada, Japonia, Noua Zeelandă, Regatul Unit și Spania. Potrivit The Record, are 58 de pagini și descrie instrumente și tehnici folosite în ultimii șase ani.

Cele două instrumente

MicroScan este o platformă de scanare a vulnerabilităților. Potrivit avizului, este o aplicație web în Python cu peste 1.300 de scripturi de penetration testing, activă cel puțin din 2017. Scripturile vizează software foarte răspândit: Apache Struts, Oracle WebLogic, Jenkins, WordPress, Juniper ScreenOS, OpenSSL, Rejetto HFS și altele. Pentru scanări, Integrity Tech se baza pe un botnet de dispozitive IoT infectate cu o variantă Mirai.

Potrivit documentelor instanței, în jurul datelor de 26 aprilie și 29 decembrie 2022, MicroScan a fost folosit împotriva rețelelor unei companii de energie electrică din Carolina de Sud, ale unui ONG multinațional, ale unor aeroporturi din Japonia și Polonia și ale cel puțin două companii taiwaneze din sectoarele gazelor și energiei. FBI nu a spus dacă aceste organizații au fost compromise. A confirmat în schimb intruziuni reușite după scanări la două universități din Taiwan, în august 2022 și în martie 2023.

FishHub servea campaniilor de spear phishing. După accesul inițial descărca un fișier care, prin domeniile confiscate, prelua alte programe malițioase. Malware-ul lista fișierele, căuta documente anume, le comprima și le trimitea către servere controlate de atacatori, oferind totodată acces de la distanță la rețea. Sursele diferă în privința numărului de victime: potrivit BleepingComputer, pe un server legat de FishHub se aflau date de la peste 20 de organizații, între care șase universități taiwaneze; potrivit The Record, The Register și SecurityWeek, victimele sunt circa 20 de universități din Taiwan.

Domeniile confiscate

• c0cc[.]cc: acces la MicroScan, încă activ în septembrie 2026 potrivit BleepingComputer;
• 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net: distribuirea malware-ului FishHub, până în martie potrivit The Register;
• 98aiblog[.]com: legat de software-ul VPN SoftEther instalat pe sistemele compromise pentru a păstra accesul.

Tehnici și vulnerabilități exploatate

Avizul tratează activități care se suprapun cu cele urmărite ca Flax Typhoon, Ethereal Panda, Red Juliett, Storm-0919 și UNC5007 și precizează că nu toate sunt neapărat legate de Integrity Tech. Țintele includ instituții guvernamentale, producția critică, sănătatea, IT-ul, forțele de ordine, educația și organizațiile religioase. Potrivit The Record, CISA și NSA indică drept țintă tipică dispozitivele de margine puțin supravegheate.

Lanțul descris de surse:

• recunoaștere cu MicroScan și instrumente publice precum Nmap, masscan, Fscan, dirsearch, WPScan, OneForAll și ksubdomain;
• acces inițial cu exploit-uri din linia de comandă, cross-site scripting și password spraying împotriva Microsoft Exchange cu instrumentul EBurst;
• persistență prin SoftEther VPN;
• colectare: furt de e-mailuri din sisteme locale și servicii cloud cu scriptul PHP Curlc4.txt și utilitarul office-cli, extragere de date din Active Directory cu DC.ex. FBI a găsit și o aplicație web care permitea terților să consulte e-mailurile furate, iar în unele cazuri accesul la date era limitat la adrese IP din Xiamen.

Potrivit BleepingComputer, vulnerabilitățile exploatate cel mai des sunt opt. The Register relatează că CISA le-a adăugat pe primele cinci în catalogul KEV:

• CVE-2015-3306 (ProFTPD, citire neautorizată de fișiere);
• CVE-2015-5477 (ISC BIND, refuz al serviciului);
• CVE-2016-3081 (Apache Struts, execuție de cod la distanță);
• CVE-2021-3199 (ONLYOFFICE Document Server, scriere neautorizată de fișiere);
• CVE-2023-22894 (Strapi, divulgare de informații);
• CVE-2014-6278 (GNU Bash, Shellshock);
• CVE-2019-11510 (Pulse Secure VPN, citire arbitrară de fișiere);
• CVE-2021-22205 (GitLab, execuție de cod la distanță).

Tehnicile MITRE ATT&CK corespunzătoare (corespondența ne aparține, nu este din aviz) sunt T1595.002 (scanarea vulnerabilităților), T1584.005 (botnet), T1190 (exploatarea aplicațiilor expuse), T1566 (phishing), T1110.003 (password spraying), T1114 (colectarea e-mailurilor) și T1560 (arhivarea datelor colectate).

Contextul

Nu este prima acțiune împotriva Integrity Tech. În septembrie 2024, Departamentul de Justiție a destructurat botnetul său bazat pe Mirai: peste 200.000 de dispozitive potrivit BleepingComputer, peste 260.000 potrivit The Record și The Register. Statele Unite au sancționat compania în 2025 și, potrivit BleepingComputer, la fel a făcut Regatul Unit; Uniunea Europeană a sancționat-o în 2026, în martie potrivit SecurityWeek.

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în Italia, dar printre țintele scanărilor se află aeroporturi poloneze, iar Spania semnează avizul. Vulnerabilitățile exploatate sunt în mare parte vechi și cunoscute: riscul privește pe oricine mai are expuse servere Struts, WebLogic, GitLab, VPN Pulse Secure sau Exchange neactualizate. Pentru entitățile NIS2 din energie, transporturi și sănătate, ca și pentru universități și centre de cercetare, este un caz concret de gestionare a vulnerabilităților pe sistemele expuse.

Ce să faci acum

1. Caută indicatorii din avizul comun (adrese IP, domenii, hash-uri) în jurnalele DNS, proxy, firewall și de e-mail, începând cu cele șapte domenii enumerate.
2. Corectează cele opt CVE enumerate, începând cu cele cinci din catalogul KEV, și verifică să nu ai versiuni fără suport expuse pe internet.
3. Dezactivează serviciile expuse care nu sunt necesare și verifică dispozitivele de margine.
4. Activează autentificarea multifactor pe e-mail și VPN și caută, în jurnalele Exchange, rafale de autentificări eșuate pe multe conturi.
5. Verifică instalările neautorizate de SoftEther VPN și transferurile neobișnuite de arhive comprimate către exterior.

Cum ajută ARXDOME

ARX Expose arată serviciile publice cu vulnerabilități cunoscute, ARX Shield scoate în evidență vulnerabilitățile deja exploatate pe mașinile monitorizate, iar ARX Horizon îți permite să cauți indicatori de compromitere din portal. ARX Sentry grupează în paginile SOC autentificările eșuate și rafalele de încercări, utile pentru a recunoaște un password spraying.

Ultima actualizare: 9 octombrie 2026