FBI dezactivează Microscan și FishHub: infrastructura critică era în vizor

La 8 octombrie 2026, FBI și Departamentul Justiției al SUA au anunțat confiscarea autorizată de instanță a unor domenii folosite de Microscan și FishHub. Cele două instrumente sunt atribuite, în documentele judiciare, unor persoane care lucrau pentru Integrity Technology Group, companie din China asociată activității cunoscute drept Flax Typhoon. Măsura a blocat accesul prin infrastructura identificată; atribuirea operațiunii este o susținere a autorităților americane, nu o constatare definitivă a unei instanțe.

Microscan era folosit pentru a căuta vulnerabilități, inclusiv în rețeaua unei companii de electricitate din Carolina de Sud și în cele ale unor aeroporturi din Japonia și Polonia. FishHub facilita atacuri de phishing țintit și instalarea de programe malițioase care puteau oferi acces la distanță sau extrage fișiere. Activitatea atribuită FishHub a avut printre victime aproximativ 20 de universități din Taiwan. Aceste roluri distincte explică de ce confiscarea a afectat atât cercetarea țintelor, cât și o cale de intrare în rețele.

Microscan căuta vulnerabilități înaintea intruziunii

Microscan îndeplinea rolul de recunoaștere: examina rețelele pentru a găsi slăbiciuni pe care clienții Integrity Technology Group le-ar fi putut exploata. O parte din scanare era susținută de o rețea de dispozitive conectate la internet, infectate cu o variantă a programului malițios Mirai. Astfel, cererile de scanare puteau veni din numeroase dispozitive compromise, în timp ce operatorii foloseau instrumentul prin domeniul c0cc[.]cc, inclus în confiscare.

Țintele prezentate în dosar acoperă mai mult decât sectorul energetic american: o organizație neguvernamentală multinațională, companii taiwaneze de gaze naturale și electricitate, precum și două universități din Taiwan. Compania din Carolina de Sud și aeroporturile arată de ce infrastructura critică a intrat în centrul operațiunii. În cazul Microscan, însă, includerea pe lista de scanare indică interesul pentru vulnerabilități; nu stabilește, de una singură, că fiecare organizație enumerată a fost compromisă.

FishHub transforma phishingul în acces și furt de fișiere

FishHub avea o funcție diferită. Instrumentul ar fi sprijinit exploatarea rețelelor prin mesaje de phishing pregătite pentru destinatari anume. După compromiterea inițială, descărca programe malițioase suplimentare în rețeaua victimei. Acestea puteau oferi clienților companiei acces neautorizat de la distanță sau puteau căuta anumite fișiere și le trimiteau către servere controlate de Integrity Technology Group.

Universitățile taiwaneze sunt cazul în care autoritățile descriu victime confirmate ale activității FishHub, spre deosebire de organizațiile enumerate drept ținte ale scanării Microscan. Cinci domenii confiscate — 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com și linkedinns[.]net — ajutau la livrarea programelor malițioase. Distincția contează pentru reconstituirea atacului: domeniul c0cc[.]cc servea accesului operatorilor la instrumentul de scanare, în timp ce aceste domenii susțineau livrarea către rețelele vizate.

Confiscarea a întrerupt instrumentele, dar ancheta continuă

Ordinele obținute în Districtul Vestic al Pennsylvaniei au vizat infrastructura prin care instrumentele erau accesate sau prin care era livrat malware. Efectul imediat descris public este scoaterea lor din funcțiune prin domeniile confiscate. Programele instalate anterior în rețelele victimelor și accesul obținut prin alte mijloace necesită însă verificări separate; confiscarea domeniilor nu le elimină automat.

În relatarea Associated Press, responsabilul FBI Jason Bilnoski a numit activitatea hackerilor „indiscriminate and reckless”, iar purtătoarea de cuvânt a Ministerului chinez de Externe, Mao Ning, a respins ceea ce a descris drept dezinformare și manipulare politică. Un agent FBI din San Diego a spus că autoritățile vor urmări eventuale încercări de refacere a infrastructurii. Aceasta este și limita operațiunii de acum: accesul la instrumentele identificate a fost perturbat, dar capacitatea actorilor de a reveni rămâne o chestiune a anchetei.

Ce pot arăta urmele din rețelele vizate

Avizul tehnic comun al FBI și agențiilor partenere descrie metode folosite în activitatea asociată Integrity Technology Group, inclusiv scanarea, menținerea accesului prin clientul VPN SoftEther și extragerea mesajelor electronice. Avizul acoperă o activitate mai largă decât cele două instrumente confiscate. Prin urmare, o urmă legată de SoftEther sau de e-mail nu trebuie atribuită automat FishHub.

Indicatori de corelat

• Conexiuni istorice către domeniile confiscate, puse în legătură cu dispozitivele, conturile și momentul accesării lor. Un domeniu dintr-un jurnal vechi nu dovedește singur o compromitere actuală.
• Instalări neobișnuite ale clientului SoftEther, mai ales configurații care refac conexiunea la pornirea sistemului sau folosesc nume de fișiere asemănătoare unor componente obișnuite ale Windows.
• Acces neașteptat la căsuțe poștale, copierea mesajelor și transferuri de date din sisteme care nu au în mod normal acest comportament.

Acțiuni după identificarea unei compromiteri

• Izolarea dispozitivelor afectate și păstrarea jurnalelor pentru a stabili ce conturi au fost folosite, când a început accesul și ce date au părăsit rețeaua.
• Verificarea serviciilor expuse și a accesului persistent, urmată de actualizări și de autentificare multifactor pentru e-mail, VPN și conturile cu acces la sisteme critice.
• Investigarea programelor deja instalate înainte de închiderea incidentului: blocarea unui domeniu întrerupe o rută de comunicare, dar nu curăță automat dispozitivul compromis.

Pentru organizațiile din România și Republica Moldova, lista publică de ținte nu indică, prin ea însăși, că au fost afectate. Consecința practică a confiscării este că o parte din infrastructura cunoscută a devenit inutilizabilă, în timp ce eventualele intruziuni anterioare trebuie stabilite din urmele păstrate în fiecare rețea.

Citește și:

• UiPath leagă Snowflake fără copii de date, dar accesul rămâne critic
• Un dialog Microsoft autentic poate fura tokenul OAuth chiar după MFA