Két Flax Typhoon-eszközt foglaltak le – repülőtereket is célba vettek

Az amerikai igazságügyi minisztérium és az FBI 2026. október 8-i közleménye szerint bírósági engedéllyel lefoglalták a Flax Typhoonhoz kapcsolt két eszköz, a Microscan és a FishHub működését segítő domaineket; a Microscan célpontjai között japán és lengyel repülőterek, a FishHub igazolt áldozatai között pedig mintegy húsz tajvani egyetem szerepelt. A lépés megszakította a megnevezett domaineken át működő hozzáférést, de a korábban megszerzett hálózati hozzáférések megszüntetéséről önmagában nem ad bizonyítékot.

A két eszköz más-más ponton kapcsolódott a támadáshoz. A Microscan sérülékeny rendszereket kutatott fel, a FishHub pedig célzott adathalászattal elért kezdeti kompromittálódás után további kártevő letöltését segítette. A repülőterek felderítési célpontként szerepelnek az ügyben: ebből nem következik, hogy a hálózatukba a FishHub révén be is jutottak.

Mit vettek el a Microscan és a FishHub üzemeltetőitől?

A kínai Integrity Technology Group munkatársaihoz kötött Microscan a lehetséges belépési pontokat kereste. A vállalat Mirai-változattal megfertőzött, internetre kapcsolt eszközökből álló botnetet is használt a vizsgálatokhoz; az így érkező kérések több forrásból juthattak el a célpont hálózatához. Az egyik lefoglalt domain, a c0cc[.]cc a Microscan elérését szolgálta. Az amerikai hatóságok szerint a felderítés során talált hibákat a vállalat ügyfelei később kihasználhatták.

A FishHub a célzott adathalászattal indított behatolás utáni szakaszhoz tartozott. A kezdeti kompromittálódást követően további kártevőt juttatott az áldozat hálózatába; ez jogosulatlan távoli hozzáférést adhatott, vagy meghatározott fájlokat kereshetett és küldhetett az üzemeltetők szervereire. A lefoglalt domainek közül több a kártevő célba juttatásában vett részt. A lefoglalás ezért a működtetés és a terjesztés útvonalait érintette, nem a már fertőzött gépek automatikus megtisztítását.

Az eszközök szerepe egymás mellé téve adja ki a támadási láncot: előbb sérülékeny szolgáltatások azonosítása, majd egyes célpontoknál adathalászattal megszerzett első hozzáférés, végül távoli elérés vagy fájlok kivitele. Ez a sorrend a nyilvánosságra hozott módszert írja le, nem azt, hogy minden felsorolt szervezetnél valamennyi szakasz megtörtént.

Mit tudni a repülőterek és az egyetemek érintettségéről?

A Microscan célpontjai között a japán és lengyel repülőterek mellett egy dél-karolinai áramszolgáltató, tajvani földgáz- és villamosenergia-vállalatok, tajvani egyetemek és egy nemzetközi civil szervezet is szerepeltek. A felsorolás a vizsgált hálózatok körét mutatja. Egy sérülékenységkereső lekérdezés akkor is nyomot hagyhat a naplóban, ha nem jutottak tovább a szolgáltatás feltérképezésénél.

A FishHubnál a nyilvánosságra hozott megállapítás ennél szűkebb és erősebb: tajvani egyetemek tényleges áldozatok voltak. A repülőterekről a hatósági közlemény felderítést nevez meg, sikeres behatolást vagy járatüzemeltetési zavart nem. Az érintettség fokának különválasztása azért fontos, mert egy vizsgálati kísérlet, egy megszerzett fiók és egy tartós távoli hozzáférés eltérő nyomokat hagy.

Mekkora fennakadást okozhat a domainlefoglalás?

A bíróság által engedélyezett intézkedés azokat a domaineket vonta ki az üzemeltetők ellenőrzése alól, amelyeken keresztül a Microscanhoz hozzáfértek, illetve amelyek a FishHub kártevőjének továbbítását segítették. Ezzel csökkent az adott infrastruktúra használhatósága, és megnehezült ugyanennek az útvonalnak a fenntartása. Az intézkedés hatása a lefoglalt infrastruktúrához kötődik: más eszközök és egy korábbi sikeres behatolás után megmaradt hozzáférések külön kérdést jelentenek.

Brett Leatherman, az FBI kiberosztályának vezetője a CyberScoop által idézett nyilatkozatában így fogalmazott: „Under the FBI Cyber Strategy, we pursue both the actors who threaten critical infrastructure and the enterprises that support them.” Az Integrity Technology Groupot a lefoglalási iratok kínai állami szerződésekkel rendelkező vállalatként írják le, amelynek munkatársai üzemeltették az eszközöket. A lefoglalás ehhez a vállalathoz kötött infrastruktúrát érintette, nem minden, Flax Typhoon néven követett tevékenységet.

Milyen nyomokat hagyhatott a kétféle tevékenység?

A közös technikai figyelmeztetés szerint a Python-alapú MicroScan több mint 1300 sérülékenységvizsgáló szkriptet tartalmazott, és a szereplők már 2017-ben használták. A leírás a tágabb, Integrity Technology Grouphoz kapcsolt tevékenységre is kiterjed, ezért az ott szereplő minden jel nem rendelhető kizárólag a FishHubhoz. A lefoglalt domainekkel való korábbi kapcsolatot is a többi naplóadattal együtt lehet értékelni.

• Felderítés: a webalkalmazások hozzáférési naplóiban könyvtárbejárási, parancsbefecskendezési és oldalfelderítési kísérletek, a peremvédelmi naplókban ismétlődő portvizsgálatok kereshetők. Ezek azt jelezhetik, hogy egy rendszert felmértek, de önmagukban nem igazolnak behatolást.
• Hozzáférés és fennmaradás: a szokatlan fiókbejelentkezések, a váratlan jogosultságok és az ismeretlen VPN-kapcsolatok már mélyebb vizsgálatot indokolnak. A figyelmeztetés SoftEther-alapú tartós kapcsolatokat és a Microsoft Exchange elleni jelszópróbálgatást is leír a kapcsolódó tevékenységben.
• Adatmozgás: a megszokottnál nagyobb kimenő forgalom, különösen az egyébként ritkán feltöltő munkaállomásokról, lehetséges adatkiáramlási jel. A fiókok, érintett gépek és időpontok összekapcsolása segít eldönteni, történt-e tényleges hozzáférés vagy fájlmásolás.

Ha az elemzés kompromittálódásra utal, a releváns naplók és rendszeradatok megőrzése után kell behatárolni az érintett fiókokat és gépeket, majd elszigetelni őket. Az érintett szervezeteknél a korábbi hozzáférés sorsát a saját rendszerekben maradt nyomok döntik el.

Olvassa el ezt is:

• Calendly vagy Microsoft Bookings: az előfizetésben kapott eszköz nem tud mindent
• Az X új Live API-ja a teljes közvetítést átadja külső eszközöknek
• Az Adobe beköltözik a Geminibe és a Claude-ba – 80 eszköz jön egy chatbe