1. De FBI en het Amerikaanse Ministerie van Justitie hebben op 8 oktober 2026 zeven domeinen in beslag genomen die verband houden met Microscan en FishHub, twee hackertools die naar verluidt worden beheerd door de in China gevestigde Integrity Technology Group. De actie, goedgekeurd door een rechtbank, is erop gericht de toegang tot systemen te beperken die worden gebruikt om kritieke infrastructuur te scannen, spearphishing te ondersteunen en bestanden te stelen van gecompromitteerde netwerken.
2. Rechtbankdocumenten uit het Western District of Pennsylvania leggen een verband tussen deze activiteiten en Flax Typhoon, een hackgroep die door beveiligingsonderzoekers wordt gevolgd.
3. Integrity Technology Group heeft contracten met de Chinese overheid en leverde tools waarmee klanten zwakke systemen konden vinden en ongeautoriseerde toegang konden verkrijgen. Het bedrijf bouwde een botnet van geïnfecteerde internetverbonden apparaten met een variant van de Mirai-malware.
4. Dit botnet werd gebruikt, samen met andere infrastructuur, om Microscan te draaien tegen potentiële doelwitten en om zwakheden te identificeren die klanten konden uitbuiten.
5. MicroScan is een op Python gebaseerde webapplicatie met meer dan 1.300 scripts voor penetratietesten. Deze scripts controleerden websites en diensten op specifieke kwetsbaarheden, waaronder zwakheden in Oracle WebLogic Server, WordPress, Jenkins, Apache Struts, OpenSSL en Juniper ScreenOS. Het gebruik ervan is terug te traceren tot ten minste 2017. Het dashboard toonde kwetsbaarheidstotaal, scanstatus en pluginranglijsten, waarmee beheerders grote aantallen bevindingen konden beheren via een centrale interface.
6. Het in beslag genomen domein c0cc[.]cc bood toegang tot Microscan. Een scan kan mogelijke toegangspunten tot een netwerk vinden, maar bewijst niet dat het netwerk is gecompromitteerd.
7. FishHub ondersteunde spearphishing en downloadde aanvullende malware nadat aanvallers een eerste voet aan de grond hadden gekregen. De malware kon klanten van Integrity Tech toegang op afstand tot netwerken geven of specifieke bestanden lokaliseren en overdragen naar servers die door het bedrijf werden beheerd.
8. Vijf in beslag genomen domeinen ondersteunden malwarelevering: 98aicai[.]com, 98aicode[.]com, linkedinns[.]net, outlook3650[.]com en youtubecard[.]com. Een zevende domein, 98aiblog[.]com, was gekoppeld aan SoftEther VPN-software die werd gebruikt om ongeautoriseerde toegang op afstand te onderhouden. De domeinen 98aiblog[.]com en c0cc[.]cc boden dekking voor scan-toegang, malwarelevering en persistente verbindingen met gecompromitteerde systemen.
9. Enkele van de doelwitten voor deze scans omvatten een energiebedrijf in South Carolina, luchthavens in Japan en Polen, aardgas- en energiebedrijven in Taiwan, een multinationale NGO en twee universiteiten in Taiwan. Onder de bevestigde FishHub-slachtoffers bevonden zich ongeveer 20 Taiwanese universiteiten.
10. Naast Microscan observeerden onderzoekers password spraying tegen Microsoft Exchange-interfaces, VPN-gebaseerde persistentie en geautomatiseerde e-mail diefstal.
11. De recente inbeslagnames volgen op de ontwrichting in september 2024 van een botnet van Integrity Tech, goedgekeurd door een rechtbank, dat meer dan 200.000 consumentenapparaten wereldwijd bevatte, waaronder routers, IP-camera's, digitale videorecorders en network-attached storage-apparaten.
12. De FBI-geleide advisering bevat indicatoren van compromittering en details van gerelateerde inbraakmethoden. De bureaus bevelen aan om blootgestelde systemen te patchen, ongebruikte services uit te schakelen, multifactorauthenticatie te vereisen en cloudapplicaties met toegang tot gevoelige gegevens te beoordelen. Ze raden ook aan om te monitoren op onverwachte VPN-installaties, ongebruikelijke accountactiviteit en grote uitgaande overdrachten. Organisaties die tekenen van compromittering vinden, moeten getroffen hosts isoleren, relevante logs bewaren en het volledige incident onderzoeken voordat ze de toegang van de aanvaller beëindigen.