Microscan at FishHub pinatigil—pero puwedeng bumalik ang Flax Typhoon

Ayon sa anunsiyo ng US Justice Department at FBI noong Oktubre 8, 2026, pinahintulutan ng hukuman ang pagsamsam sa mga domain na nagbigay ng access sa Microscan at tumulong maghatid ng malware ng FishHub. Ginamit ang mga tool ng mga aktor na nagtatrabaho para sa Integrity Technology Group, isang kumpanyang nakabase sa China at may kontrata sa pamahalaan nito. Ang aktibidad na ito ay kaugnay ng tinatawag ng pribadong sektor na Flax Typhoon: naghahanap ang Microscan ng kahinaan sa mga network, habang tumutulong ang FishHub sa spear phishing at paghahatid ng malware.

Sa ulat ng Associated Press, tinawag ni FBI Cyber Division Deputy Assistant Director Jason Bilnoski na “indiscriminate and reckless” ang operasyon; naging inoperable ang dalawang tool matapos ang seizure, at babantayan ng FBI kung muling magtatayo ng imprastraktura ang kumpanya. Para sa mga tagapagtanggol ng network, naputol ang access sa mga tool sa sinamsam na imprastraktura. Nananatili namang mahalagang siyasatin ang mga bakas ng pag-scan o pagpasok na maaaring naiwan bago iyon.

Ang mga domain na naputol sa operasyon

Ginamit ng Integrity Tech ang c0cc[.]cc upang ma-access ang Microscan. Kaugnay naman ng paghahatid ng malware sa pamamagitan ng FishHub ang 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com at linkedinns[.]net. Magkaiba ang tungkulin ng mga domain: ang isa ay daan papunta sa tool sa pag-scan, samantalang ang iba ay tumulong sa paghatid ng malware sa mga network na napasok. Ang pagsamsam sa mga daang iyon ang nagpatigil sa paggamit ng mga tool sa naturang imprastraktura.

May hangganan ang epekto ng seizure sa network ng biktima. Hindi binabawi ng pagkawala ng isang domain ang impormasyong maaaring nakuha na, at hindi nito kusang inaalis ang malware na maaaring naihatid na. Kung mayroon nang hindi awtorisadong access sa isang network, kailangang suriin ang nangyari roon nang hiwalay sa kasalukuyang estado ng mga sinamsam na domain. Posible ring gumamit ang mga operator ng bagong imprastraktura, kaya ang pagkaantala sa kanilang operasyon ay hindi katiyakan na tapos na ang banta.

Microscan: paghanap ng posibleng pasukan

Ang Microscan ang bahagi ng operasyon para sa reconnaissance o paunang paghanap ng kahinaan. Gumamit ang Integrity Tech ng botnet ng mga internet-connected device na nahawahan ng variant ng Mirai malware upang tumulong sa pag-scan. Hinanap ng tool ang mga kahinaang maaaring samantalahin ng mga kliyente ng kumpanya sa susunod. Hindi katumbas ng matagumpay na pagpasok ang bawat pag-scan: ipinapakita muna nito kung saan maaaring may pasukan at kung aling mga sistema ang maaaring pagtuunan ng karagdagang pagtatangka.

Kabilang sa mga pinuntirya ng pag-scan ang isang kumpanya ng kuryente sa South Carolina, mga paliparan sa Japan at Poland, isang multinasyonal na non-governmental organization, mga kumpanya ng natural gas at kuryente sa Taiwan, at mga pamantasan doon. Ipinapakita ng magkakaibang target kung bakit may saysay pa rin ang pagsusuri sa lumang aktibidad matapos maputol ang access sa tool. Maaaring makita sa mga tala ng isang organisasyon ang naunang pagtatangka sa pag-scan, kahit hindi na magamit ng operator ang dating domain upang maabot ang Microscan.

FishHub: spear phishing at malware matapos makapasok

Iba ang papel ng FishHub. Iniugnay ito sa spear phishing na tumulong sa pagsamantala sa mga network; matapos ang unang pagpasok, nag-download ang tool ng karagdagang malware sa network ng biktima. Ang malware na iyon ay nagbigay sa mga kliyente ng Integrity Tech ng hindi awtorisadong malayuang access, o naghanap ng partikular na mga file at nagpadala ng mga ito sa mga server na kontrolado ng kumpanya. Kabilang sa kumpirmadong biktima ng aktibidad ng FishHub ang humigit-kumulang 20 pamantasan sa Taiwan.

Hindi kailangang ipalagay na dumaan sa iisang pagkakasunod-sunod ang bawat target. Ang malinaw na pagkakaiba ay naghahanap ang Microscan ng kahinaang maaaring gamitin, samantalang may papel ang FishHub sa spear phishing at sa paghahatid ng malware kapag may paunang pagpasok na. Dahil dito, hindi sapat na tingnan lamang kung naaabot pa ang mga domain ng FishHub. Mas mahalaga para sa isang napasok na organisasyon kung may naiwang software, koneksiyon o pagkuha ng mga file habang aktibo pa ang mga ito.

Bakit may halaga pa rin ang mga IOC

Ang pinagsamang cybersecurity advisory ng FBI at mga katuwang na ahensiya ay naglalarawan sa MicroScan bilang isang Python-based web application na may mahigit 1,300 script para maghanap ng partikular na kahinaan sa mga website. Naglalaman din ito ng indicators of compromise o IOC: mga naobserbahang domain at iba pang teknikal na bakas na maaaring itugma sa mga tala ng network at device. Mas malawak ang saklaw ng advisory kaysa sa FishHub lamang; inilalarawan nito ang iba pang paraan ng pagpasok, pagpapanatili ng access at pagkuha ng datos na kaugnay ng aktibidad ng Integrity Tech.

Nagbibigay ang mga IOC ng paraan upang siyasatin ang nakaraan, hindi lamang harangin ang kasalukuyang koneksiyon. Halimbawa, maaaring magpakita ang mga tala kung may kahina-hinalang pag-scan sa isang web application, may koneksiyon sa isang naobserbahang domain, o may aktibidad na kasunod ng posibleng pagpasok. Mahalaga ang oras at konteksto ng bawat bakas: may mga IOC sa advisory na mula pa sa mga nakaraang taon, kaya inirerekomenda ng mga ahensiya ang pagsusuri bago gumawa ng hakbang gaya ng pag-block. Ang isang tugma lamang ay hindi awtomatikong patunay na nakontrol ang network.

Kung may makitang posibleng pagkompromiso, nakasalalay ang lawak ng insidente sa mga tala ng mga apektadong host, account at koneksiyon. Doon maaaring matukoy kung nagtapos ang aktibidad sa pag-scan, umabot sa pagpasok, o nagpatuloy sa malayuang access at pagkuha ng datos. Habang binabantayan ang posibleng muling pagtatayo ng imprastraktura ng Flax Typhoon, ang ganitong ebidensiya sa sariling network ang makapagsasabi kung may naiwang epekto ang operasyong naantala ng seizure.

Basahin din:

• BMBE registration online: libre, pero dalawang taon lang ang certificate
• Robotics plant sa Batangas: 200 trabaho, pero 2028 pa ang operasyon
• PERA tax credit: 5% ang benepisyo, pero kailangan itong hilingin