Το FBI κατέσχεσε τα Microscan και FishHub — οι στόχοι ήταν διεθνείς

Στις 8 Οκτωβρίου 2026, το FBI και το υπουργείο Δικαιοσύνης των ΗΠΑ ανακοίνωσαν τη δικαστικά εγκεκριμένη κατάσχεση επτά διαδικτυακών τομέων που έδιναν πρόσβαση στα Microscan και FishHub· περίπου 20 πανεπιστήμια της Ταϊβάν καταγράφονται μεταξύ των επιβεβαιωμένων θυμάτων δραστηριότητας του δεύτερου εργαλείου. Η επέμβαση έγινε στο πλαίσιο υπόθεσης στη δυτική Πενσιλβάνια και αφορούσε υποδομή που χρησιμοποιήθηκε για σάρωση, στοχευμένο ηλεκτρονικό ψάρεμα και παραβίαση δικτύων στις ΗΠΑ και εκτός αυτών.

Η ανταπόκριση του Associated Press συνδέει τα εργαλεία με την κινεζική Integrity Technology Group και τη δραστηριότητα που είναι γνωστή ως Flax Typhoon· ο αξιωματούχος του FBI Jason Bilnoski χαρακτήρισε τη δραστηριότητα των χάκερ «indiscriminate and reckless». Οι στόχοι εκτείνονταν από αμερικανικές ενεργειακές υποδομές έως αεροδρόμια και πανεπιστήμια στην Ασία και την Ευρώπη. Η κατάσχεση στέρησε πρόσβαση στη συγκεκριμένη υποδομή, ενώ το κρίσιμο ερώτημα για τους οργανισμούς είναι αν είχε ήδη αποκτηθεί πρόσβαση στα δικά τους συστήματα.

Πώς λειτουργούσαν τα δύο εργαλεία

Το Microscan χρησιμοποιούνταν για αναγνώριση ευπαθειών σε δίκτυα και διαδικτυακές εφαρμογές. Οι χειριστές του μπορούσαν να στέλνουν σαρώσεις μέσω δικτύου μολυσμένων συσκευών συνδεδεμένων στο διαδίκτυο, το οποίο είχε δημιουργήσει η Integrity Technology Group με παραλλαγή του κακόβουλου λογισμικού Mirai. Ένας από τους κατασχεμένους τομείς χρησίμευε για πρόσβαση στο Microscan, ενώ τα ευρήματα της αναγνώρισης μπορούσαν στη συνέχεια να αξιοποιηθούν από πελάτες της εταιρείας για παραβίαση στόχων.

Το FishHub κάλυπτε τη συνέχεια μιας διαφορετικής διαδρομής επίθεσης: διευκόλυνε το στοχευμένο ηλεκτρονικό ψάρεμα και, μετά την αρχική παραβίαση, κατέβαζε πρόσθετο κακόβουλο λογισμικό στο δίκτυο του θύματος. Το λογισμικό αυτό μπορούσε να δώσει μη εξουσιοδοτημένη απομακρυσμένη πρόσβαση ή να αναζητήσει ορισμένα αρχεία και να τα στείλει σε εξυπηρετητές υπό τον έλεγχο της Integrity Technology Group. Πέντε από τους κατασχεμένους τομείς χρησιμοποιούνταν για τη διανομή του, ενώ άλλος συνδεόταν με λογισμικό απομακρυσμένης διαχείρισης που συνέδεσε δίκτυα θυμάτων με εξυπηρετητή της εταιρείας.

Ποιοι οργανισμοί στοχοποιήθηκαν

Οι καταγεγραμμένοι στόχοι σάρωσης του Microscan περιλάμβαναν εταιρεία ηλεκτρικής ενέργειας στη Νότια Καρολίνα, αεροδρόμια στην Ιαπωνία και την Πολωνία, εταιρείες φυσικού αερίου και ηλεκτρισμού στην Ταϊβάν, δύο πανεπιστήμια της Ταϊβάν και πολυεθνική μη κυβερνητική οργάνωση. Η καταγραφή ενός οργανισμού ως στόχου σάρωσης περιγράφει αναγνωριστική κίνηση προς τα συστήματά του· δεν δηλώνει από μόνη της ότι οι χειριστές απέκτησαν πρόσβαση σε αυτά.

Για το FishHub η εικόνα είναι πιο συγκεκριμένη: καταγράφηκαν επιβεβαιωμένα θύματα μεταξύ πανεπιστημίων της Ταϊβάν. Έτσι, τα στοιχεία της υπόθεσης περιλαμβάνουν διαφορετικά στάδια επίθεσης, από την αναζήτηση ευπαθειών μέχρι την εγκατάσταση λογισμικού μετά την είσοδο σε δίκτυο. Αυτό έχει σημασία για φορείς κρίσιμων υποδομών, επειδή ένας έλεγχος μόνο για μηνύματα ηλεκτρονικού ψαρέματος θα άφηνε εκτός την προηγούμενη αναγνωριστική δραστηριότητα και την πιθανή παραμονή του εισβολέα.

Τεχνική, ένδειξη και άμυνα

Η κοινή κυβερνητική τεχνική οδηγία περιγράφει το MicroScan ως εφαρμογή Python με περισσότερα από 1.300 σενάρια ελέγχου ευπαθειών. Καλύπτει επίσης τις ενέργειες της Integrity Technology Group και των χειριστών που διευκόλυνε, σε κυβερνητικούς, βιομηχανικούς, υγειονομικούς και τεχνολογικούς οργανισμούς στις ΗΠΑ. Η αντιστοίχιση τεχνικής, ένδειξης και άμυνας αφορά αυτό το ευρύτερο πεδίο δραστηριότητας.

• Σάρωση — ασυνήθιστα αιτήματα — μικρότερη εκτεθειμένη επιφάνεια. Η απαρίθμηση διαδρομών ιστοσελίδων, οι δοκιμές σε εκτεθειμένες υπηρεσίες και οι απότομες αυξήσεις κίνησης μπορούν να φανούν στα αρχεία πρόσβασης και στα συστήματα ανίχνευσης. Οι προτεινόμενες άμυνες περιλαμβάνουν παρακολούθηση αυτών των σημάτων, εγκατάσταση ενημερώσεων και απενεργοποίηση υπηρεσιών και θυρών που δεν χρειάζονται.
• Έγχυση κώδικα — αλλαγή σελίδας — έλεγχος εισόδου. Στην τεκμηριωμένη δραστηριότητα περιλαμβάνεται επίθεση XSS που άλλαζε ευάλωτη ιστοσελίδα ώστε να εμφανίζει πεδία ονόματος χρήστη και κωδικού. Ύποπτες αλλαγές στο περιεχόμενο και κακόβουλα αιτήματα αποτελούν σημεία ελέγχου· η εξυγίανση της εισόδου στις εφαρμογές περιορίζει τη δυνατότητα εισαγωγής τέτοιου κώδικα.
• Κατάχρηση λογαριασμών — αφύσικες συνδέσεις — ισχυρότερη ταυτοποίηση. Οι επαναλαμβανόμενες δοκιμές κωδικών, οι συνδέσεις εκτός συνηθισμένων ωρών και η σχεδόν ταυτόχρονη πρόσβαση από μακρινές τοποθεσίες δικαιολογούν διερεύνηση. Τα μέτρα άμυνας περιλαμβάνουν πολυπαραγοντική ταυτοποίηση, ιδίως για webmail, VPN και λογαριασμούς με πρόσβαση σε κρίσιμα συστήματα, καθώς και περιορισμό των δικαιωμάτων διαχειριστή.
• Παραμονή και εξαγωγή — άγνωστο VPN ή μεγάλες αποστολές — περιορισμός πρόσβασης. Οι χειριστές εγκαθιστούσαν πελάτες SoftEther για επίμονη απομακρυσμένη σύνδεση και μπορούσαν να συλλέγουν αλληλογραφία ή άλλα δεδομένα. Η αναζήτηση μη αναμενόμενου λογισμικού VPN, ο έλεγχος συνδεδεμένων εφαρμογών που φτάνουν σε αρχεία και μηνύματα, η παρακολούθηση εξερχόμενης κίνησης και ο διαχωρισμός ευαίσθητων δικτύων απαντούν σε αυτή τη συμπεριφορά.

Οι δημοσιευμένοι δείκτες παραβίασης περιλαμβάνουν και παλαιότερες καταγραφές που χρειάζονται διερεύνηση πριν χρησιμοποιηθούν για αποκλεισμό. Μια ασυνήθιστη σύνδεση ή ένα κύμα σαρώσεων αποτελεί λόγο ελέγχου, όχι αυτομάτως απόδειξη ότι πίσω τους βρίσκεται η Flax Typhoon.

Τι αλλάζει για τα ήδη εκτεθειμένα δίκτυα

Η διακοπή των κατασχεμένων τομέων αφαιρεί από τους χειριστές έναν συγκεκριμένο τρόπο λειτουργίας, αλλά πρόσβαση που είχε ήδη αποκτηθεί σε δίκτυο θύματος χρειάζεται χωριστή αντιμετώπιση. Αν εμφανιστούν σχετικά σημάδια, η προτεινόμενη ακολουθία είναι να εντοπιστούν και να απομονωθούν οι επηρεασμένοι υπολογιστές, να συγκεντρωθούν αρχεία καταγραφής και άλλα στοιχεία για την έκταση της εισβολής και στη συνέχεια να εφαρμοστεί σχέδιο απομάκρυνσης του εισβολέα. Η σειρά αυτή διατηρεί τα στοιχεία που χρειάζονται για να εντοπιστούν πρόσθετοι λογαριασμοί ή συσκευές με μη εξουσιοδοτημένη πρόσβαση.

Για οργανισμούς στην Ελλάδα και την Κύπρο, οι περιγραφόμενες τεχνικές μπορούν να αναζητηθούν σε ιστορικά αρχεία υπηρεσιών που είναι εκτεθειμένες στο διαδίκτυο, λογαριασμών και εξερχόμενης κίνησης. Η έρευνα του FBI συνεχίζεται, ενώ παραμένει ανοικτό το ενδεχόμενο η εταιρεία να προσπαθήσει να ανασυστήσει την υποδομή της. Για έναν φορέα με κρίσιμα συστήματα, το άμεσο ζητούμενο είναι να διαπιστώσει αν η αναγνωριστική κίνηση είχε προχωρήσει σε πρόσβαση πριν από την κατάσχεση.

Διαβάστε επίσης:

• Slack ή Microsoft Teams: τα 500 εργασιακά σενάρια δεν έβγαλαν έναν νικητή
• Το δωρεάν Gemini χάνει Flash και Pro από τις 9 Οκτωβρίου
• Ko-fi ή Patreon: η μισή προμήθεια σημαίνει και λιγότερη υποδομή