FBI išjungė „Microscan“ ir „FishHub“: taikiniai apėmė ir Lenkijos oro uostus

2026 m. spalio 8 d. JAV Teisingumo departamentas paskelbė, kad FBI teismo leidimu perėmė septynis domenus, susijusius su „Microscan“ ir „FishHub“ veikla; tarp „Microscan“ skenavimo taikinių buvo Lenkijos oro uostai, o „FishHub“ veiklos aukomis įvardyta maždaug 20 Taivano universitetų. „Microscan“ buvo naudojamas tinklų pažeidžiamumams ieškoti, o „FishHub“ padėjo vykdyti tikslinį viliojimą ir pristatyti kenkėjišką programinę įrangą. Lenkijos oro uostai įvardyti kaip skenavimo taikiniai, ne kaip patvirtintos įsilaužimo aukos.

Perėmimas nutraukė prieigą prie šių įrankių per teisėsaugos kontroliuojamą infrastruktūrą. FBI kibernetinio padalinio vadovo pavaduotojas Jasonas Bilnoski Associated Press reportaže operacijos tikslą nusakė taip: „We aim to remove the capability from the threat actors.“ Teisėsauga įrankių naudojimą sieja su Kinijoje įsikūrusia „Integrity Technology Group“ ir veikla, saugumo sektoriuje vadinama „Flax Typhoon“. Organizacijų administratoriams paskelbti techniniai požymiai leidžia ieškoti ankstesnės veiklos savo tinkluose.

Kokią infrastruktūrą perėmė FBI

Perimti domenai atliko skirtingus vaidmenis, todėl operacija apėmė daugiau nei vien įrankio prisijungimo adresą. Per vieną domeną „Integrity Technology Group“ pasiekdavo „Microscan“. Bendrovė skenavimui naudojo ir užkrėstų prie interneto prijungtų įrenginių tinklą: iš jų buvo galima siųsti užklausas į organizacijų viešai pasiekiamas sistemas ir ieškoti spragų, kuriomis vėliau galėtų pasinaudoti įsilaužėliai.

Su „FishHub“ susiję domenai buvo naudojami papildomai kenkėjiškai programinei įrangai pristatyti po pirminio patekimo į aukos tinklą. Tokia programa galėjo suteikti neteisėtą nuotolinę prieigą arba ieškoti pasirinktų failų ir perduoti juos užpuolikų valdomiems serveriams. Dar vienas perimtas domenas buvo susietas su neleistina nuotolinio administravimo programa, jungusia aukų tinklus su bendrovės serveriu. Dėl šių skirtingų paskirčių įtartinas ryšys gali žymėti skirtingą veiklos etapą.

Domenų perėmimas sutrikdė konkrečius prieigos ir programinės įrangos pristatymo kanalus. Tačiau ankstesni ryšiai, atsisiųsti failai ar užpuolikų įgyta prieiga aukų sistemose turi būti vertinami atskirai. Todėl administratoriui svarbu ne vien nustatyti, ar jo žurnaluose pasitaiko perimtas adresas, bet ir matyti, kas įvyko prieš tą ryšį bei po jo.

Kodėl Lenkijos oro uostai svarbūs Lietuvos organizacijoms

Viešai įvardytų „Microscan“ skenavimo taikinių geografija apima Pietų Karolinos energetikos bendrovę, Japonijos ir Lenkijos oro uostus, Taivano gamtinių dujų bei elektros sektorių bendroves, universitetus ir tarptautinę nevyriausybinę organizaciją. Lenkijos paminėjimas parodo, kad pažeidžiamumų paieška buvo nukreipta ir į transporto infrastruktūrą Lietuvos kaimynystėje. Konkretūs oro uostai nepaskelbti, todėl šis faktas neleidžia jų įvardyti ar spręsti apie jų tinklų būklę.

Skirtumas tarp skenavimo taikinio ir patvirtintos aukos čia lemia išvadą. Oro uostų atveju aprašyta žvalgyba: užklausos, skirtos aptikti pasiekiamas sistemas ir galimas spragas. Taivano universitetų atveju teisėsauga nurodo patvirtintas su „FishHub“ veikla susijusias aukas. Lietuvos organizacijoms Lenkijos pavyzdys yra artimas taikinių pasirinkimo kontekstas, bet savaime nėra pranešimas apie įsilaužimą į regiono oro uostus.

Kokius kompromitavimo požymius paskelbė teisėsauga

FBI ir partnerių techniniame perspėjime pateikti domenų, IP adresų ir failų indikatoriai bei aprašyti veikimo būdai; jame „MicroScan“ apibūdintas kaip „Python“ pagrindu veikianti programa, turinti daugiau kaip 1 300 scenarijų svetainių spragoms ieškoti. Perspėjimas apima platesnę su „Integrity Technology Group“ siejamą veiklą, todėl ne kiekvienas jo indikatorius žymi būtent perimtus domenus.

Aprašyta veiksmų seka suteikia indikatoriams kontekstą. Prieš bandymą patekti į tinklą galėjo būti skenuojami viešai pasiekiami servisai ir žiniatinklio programos; vėliau naudoti pašto paskyrų slaptažodžių spėjimo būdai. Po įsilaužimo užpuolikai diegdavo nuotolinės prieigos programas, rinkdavo elektroninius laiškus arba perduodavo duomenis į išorę. Šie požymiai leidžia atskirti pavienę žvalgybos užklausą nuo veiklos, kuri tęsėsi prisijungimais, naujais procesais ir duomenų perdavimu.

Indikatorių lentelėse yra ir senų įrašų. Perspėjimo rengėjai rekomenduoja juos ištirti prieš blokuojant, nes istorinis domeno ar IP adreso sutapimas vienas pats neatskleidžia dabartinės jo paskirties. Tiriant radinį svarbūs užklausos laikas, ryšį užmezgęs įrenginys ir to paties laikotarpio įvykiai kituose žurnaluose.

Patikros seka organizacijos tinkle

Lietuvos tinklų administratoriams naudinga pradėti nuo istorinių ryšių, o paskui ieškoti, ar jie siejasi su pažeidžiamumų skenavimu arba tiksliniu viliojimu. Toliau pateikta patikros seka yra redakcinė rekomendacija, pagrįsta paskelbtais veikimo būdais. Vienas sutapęs adresas nėra pakankamas pagrindas teigti, kad organizacijos tinklas buvo kompromituotas.

1. Palyginkite paskelbtus indikatorius su išsaugotais DNS, tarpinio serverio ir tinklo ryšių žurnalais. Kiekvienam radiniui nustatykite laiką, šaltinio įrenginį, ryšio kryptį ir, jei įmanoma, susijusią naudotojo paskyrą. Taip senas sutapimas įgauna tyrimui reikalingą aplinkybę.
2. To paties laikotarpio viešai pasiekiamų paslaugų žurnaluose ieškokite pasikartojančių užklausų skirtingiems adresams ar jautriems programų keliams. Patikrinkite, ar po tokių užklausų matyti bandymų pasinaudoti spraga, neįprastų prisijungimų arba naujai atsiradusių procesų.
3. Jei aptiktas įtartinas ryšys su vidiniu įrenginiu, sutikrinkite jo laiką su tikslinio viliojimo laiškais, pašto paskyrų prisijungimais, atsisiųstais failais ir netikėta nuotoline prieiga. Keli susiję požymiai gali parodyti, ar veikla perėjo nuo žvalgybos prie patekimo į tinklą.

Jei susidaro nuosekli įvykių grandinė, pirmiausia verta išsaugoti susijusius žurnalus ir nustatyti galimai paveiktus įrenginius bei paskyras. Perimta infrastruktūra nebegali atlikti ankstesnio vaidmens per tuos domenus, tačiau organizacijos žurnaluose išlikę jos veiklos pėdsakai gali parodyti, ar reikalingas platesnis incidento tyrimas.

Taip pat skaitykite:

• Kiteworks po visuotinio išjungimo: spraga rasta, įsilaužimo požymių nėra
• „Google Workspace“ ar „Microsoft 365“: pigesnė licencija negarantuoja sutaupymo
• „Assistants API“ jau išjungta: migracijoje neužtenka pakeisti galinio adreso