Inagaw ng FBI ang Pitong Domain na Ginamit sa mga Kagamitang Panghacking ng Tsina na Tumatarget sa mga Unibersidad at Network ng Enerhiya sa Taiwan

Inagaw ang pitong domain; tinukoy na mga biktima ang humigit-kumulang 20 unibersidad sa Taiwan

Inanunsyo ng FBI at Kagawaran ng Hustisya ng US noong Oktubre 8, 2026, na inagaw nila ang pitong internet domain na sumusuporta sa mga kagamitang panghacking na pinatatakbo ng Integrity Technology Group, isang kompanya ng cybersecurity na Tsino na may mga kontrata sa pamahalaan. Isang tool, ang Microscan, ay naghahanap ng mga kahinaan sa mga network ng mga kompanya ng enerhiya sa Taiwan, mga paliparan sa Japan at Poland, at isang kompanya ng kuryente sa South Carolina. Ang isa pa, ang FishHub, ay iniugnay sa mga kumpirmadong pagpasok sa humigit-kumulang 20 unibersidad sa Taiwan.

Tinarget ng operasyon ang imprastrakturang nasa likod ng kampanya ng hacking na kilala bilang Flax Typhoon. Ayon sa anunsyo noong Oktubre 8 ng Kagawaran ng Hustisya, nakasaad sa mga dokumento ng korte na inalis sa pagkakasekreto sa Western District of Pennsylvania na bumuo at nagpatakbo ang Integrity Technology Group ng mga tool na ginamit ng mga kliyente nito upang tukuyin ang mga mahinang network, makakuha ng di-awtorisadong access at magnakaw ng mga file.

Ayon sa FBI, hindi na magamit ang mga tool dahil sa operasyon. Hindi ito nangangahulugang ligtas na ngayon ang bawat nakompromisong network: napuputol ng pag-agaw sa mga domain ang imprastraktura ng mga umaatake, pero hindi nito awtomatikong inaalis ang malware, mga ninakaw na kredensyal o software para sa malayuang access na nasa loob na ng mga sistema ng mga biktima.

Itinatangi rin ng ebidensya ang mga network na sinuri sa mga network na matagumpay na napasok. Tinukoy ng mga awtoridad bilang mga target ng Microscan ang mga kompanya ng natural gas at kuryente sa Taiwan, ang utility sa South Carolina, mga paliparan sa Japan at Poland, at isang multinasyonal na organisasyong hindi pampamahalaan. Hindi nila isiniwalat kung matagumpay na nakompromiso ang bawat isa sa mga organisasyong iyon.

Mas tiyak ang ebidensya tungkol sa mga unibersidad. Inilalarawan sa isang affidavit ng FBI ang matagumpay na pagpasok sa dalawang unibersidad sa Taiwan matapos silang siyasatin ng Microscan noong Agosto 2022 at Marso 2023. Hiwalay dito, tinukoy ng Kagawaran ng Hustisya ang humigit-kumulang 20 unibersidad sa Taiwan bilang mga kumpirmadong biktima ng aktibidad ng FishHub. Hindi pa isinasapubliko ang mga pangalan ng mga institusyon, at hindi basta maaaring pagsamahin ang dalawang grupo dahil hindi isiniwalat kung ilan ang magkakapareho.

Ano talaga ang itinigil ng aksyon ng korte

Pinahintulutan ng isang pederal na mahistrado ang pag-agaw noong Oktubre 6, dalawang araw bago ang pampublikong anunsyo. Iniutos ng warrant sa mga rehistro ng domain na i-lock ang mga domain, i-redirect ang mga ito sa mga server na kontrolado ng FBI at magpakita ng mga abiso ng pag-agaw. Dahil dito, hindi na magamit ng mga operator ang mga address na sumusuporta sa pag-scan, paghahatid ng malware at patuloy na access sa mga nakompromisong network.

Inililista sa anunsyo ng pag-agaw ng Western District of Pennsylvania ang pitong domain. Ang isa, c0cc[.]cc, ay nagbigay ng access sa Microscan. Lima ang tumulong sa paghahatid ng malware na FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com at linkedinns[.]net. Ang natitirang domain na 98aiblog[.]com ay iniugnay sa software na SoftEther, na ginamit upang mapanatili ang malayuang access.

Ayon sa sinumpaang salaysay na sumusuporta sa kaso, nilabag ang Computer Fraud and Abuse Act, batas ng US na sumasaklaw sa di-awtorisadong pag-access sa mga computer. Nakasaad din dito na ginamit sa pagbili o pag-renew ng mga domain ang perang nagmula sa labas ng Estados Unidos. Walang inihayag na pag-aresto o kasong kriminal kasabay ng mga pag-agaw. Ang mga paratang sa mga dokumento ng korte ay hindi hatol ng pagkakasala.

Ginawang network para sa pagmamanman ng mga nahawaang device ang Microscan

Ang Microscan ay isang web application na isinulat sa Python, isang malawakang ginagamit na programming language, at naglalaman ng mahigit 1,300 script para subukan ang mga kahinaan sa seguridad. Lehitimong magagamit ang ganitong mga script sa mga awtorisadong pagsusuri sa seguridad. Sa kasong ito, ayon sa mga imbestigador, ginamit ang mga ito upang suriin ang mga sistema ng ibang organisasyon at hanapin ang mga kahinaang maaaring pagsamantalahan ng mga kliyente ng Integrity Tech.

Sinuri ng software ang mga website at serbisyong gumagamit ng mga produkto kabilang ang OpenSSL, Oracle WebLogic Server, WordPress, Jenkins at Apache Struts. Ayon sa mga imbestigador, nagagamit pa ang Microscan sa pamamagitan ng c0cc[.]cc noong Setyembre 9, 2026, at maaaring ginagamit na ito noon pang 2017.

Dumaan ang ilang pag-scan sa mga device ng mamimili na nahawahan ng isang variant ng Mirai malware. Sama-samang bumuo ng botnet ang mga device na ito, isang pangkat ng mga nakompromisong makina na kinokontrol ng isang operator. Nakatulong ang pagdaan ng trapiko sa mga device ng ibang tao upang maitago ang pinagmulan ng pag-scan at makapagbigay ng imprastrakturang nakakalat sa maraming lokasyon.

Tinutukoy sa kalakip na babala sa cybersecurity ang walong kahinaang madalas na tinatarget, na may mga identifier mula 2014 hanggang 2023. Kabilang dito ang mga kahinaan sa GNU Bash, Apache Struts, Pulse Secure VPN at GitLab. Dahil sa ilan sa mga ito, maaaring magbasa ng mga file o magpatakbo ng mga command ang umaatake sa isang mahinang sistema nang walang pahintulot. Ipinakikita ng saklaw ng mga kahinaan na hindi lamang mga bagong tuklas na depekto ang tinarget ng kampanya; nagbigay rin ng mga pagkakataon ang mas luma at hindi na-update na software.

Sinuportahan ng FishHub ang pagpasok at pagnanakaw matapos ang unang paglusot

Iba ang layunin ng FishHub kumpara sa Microscan. Ayon sa mga awtoridad, sinuportahan nito ang spear phishing, mga mapanlinlang na mensaheng nakatuon sa partikular na mga tatanggap, at pag-download ng karagdagang malware matapos mapasok ang isang network. Maaaring magbigay ang malware na iyon sa mga kliyente ng Integrity Tech ng malayuang access o maghanap ng mga piling file at ipadala ang mga ito sa mga server na kontrolado ng kompanya.

Kabilang sa diumano'y proseso ng pagnanakaw ng mga file ang paglilista ng mga dokumento, paghahanap ng partikular na materyal, pag-compress ng mga file at pagpapadala ng mga ito palabas sa network ng biktima. Dahil dito, hindi lamang mekanismo ng paghahatid ang FishHub: sinuportahan din nito ang pangangalap at pagkuha ng impormasyon matapos makapasok ang mga umaatake.

Inilalarawan sa affidavit ng FBI ang datos at mga file ng mahigit 20 organisasyon sa isang server na iniugnay sa FishHub, kabilang ang anim na unibersidad sa Taiwan. Mas makitid ang saklaw ng natuklasang ito kaysa sa bilang na humigit-kumulang 20 unibersidad sa Taiwan na iniulat ng Kagawaran ng Hustisya bilang mga biktima. Tumutukoy ang anim na unibersidad sa ebidensyang nakita sa isang server, samantalang inilalarawan ng mas malaking bilang ang kumpirmadong aktibidad ng FishHub. Hindi pinatutunayan ng alinman sa mga bilang ang kabuuang dami ng mga organisasyong naapektuhan sa buong mundo.

Maaaring maglaman ang mga network ng unibersidad ng pananaliksik, mga rekord ng administrasyon at mga sulatan, pero hindi isiniwalat ng mga opisyal kung anong mga uri ng impormasyon ang kinuha mula sa mga institusyon sa Taiwan. Hindi rin tinukoy sa pampublikong ulat kung gaano karaming datos ang ninakaw o kung sinu-sinong indibidwal ang maaaring naapektuhan.

Nakatulong sa mga umaatake na manatili sa mga network ang lehitimong software

Inilalarawan sa pinagsamang babala ng FBI, Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency at mga pandaigdigang katuwang ang ilang paraan ng pagkuha ng mga kredensyal at pagpapanatili ng access ng mga aktor. Kabilang dito ang cross-site scripting, na maaaring magsamantala sa mahinang website upang makuha ang impormasyon ng mga gumagamit, at password spraying laban sa mga sistema ng Microsoft Exchange. Sa password spraying, sinusubukan ang iilang karaniwang password sa maraming account sa halip na paulit-ulit na hulaan ang password ng iisang account.

Inilarawan din ng mga imbestigador ang pag-install ng SoftEther VPN software sa mga nakompromisong sistema upang mapanatili ang access, kung minsan ay nagkukunwari itong lehitimong mga Windows file. Lumilikha ang VPN ng koneksyon sa network na maaaring gamitin sa karaniwang malayuang trabaho. Kapag walang pahintulot na na-install, maaari itong magbigay sa umaatake ng tuloy-tuloy na daan papasok sa mga sistema ng isang organisasyon.

Ginamit ang iba pang mga tool upang mangalap ng mga kredensyal sa Active Directory at kumuha ng email mula sa mga account sa Exchange at Microsoft 365. Pinamamahalaan ng Active Directory ang mga pagkakakilanlan ng gumagamit at access sa maraming organisasyon, kaya maaaring magbukas ng access lampas sa unang nakompromisong computer ang mga ninakaw na kredensyal. Natuklasan din ng mga imbestigador ang isang pasadyang web application na nagbigay-daan sa mga ikatlong partido na mag-browse ng mga ninakaw na email nang hindi direktang ina-access ang mga apektadong account.

Ipinaliwanag ni Chen Yun-nung, propesor ng computer science sa National Taiwan University, kung bakit mahirap matukoy ang malisyosong aktibidad na gumagamit ng umiiral na software:

Nagtatago ang malisyosong programa sa umiiral na software sa pamamahala at gumagamit ng lehitimong software para sa masasamang gawain. Halimbawa, maaari nitong i-download at ilabas ang inyong datos, kaya mas mahirap itong matukoy dahil wala kayong makikitang karagdagang programang tumatakbo, kundi ang mga orihinal na programang naroon na.

Mahalaga ang pagkakaibang ito sa paglilinis ng mga sistema. Maaaring hindi mapansin ang di-awtorisadong paggamit ng software na karaniwang pinagkakatiwalaan ng mga administrador kung hindi pamilyar na mga programa lamang ang hahanapin.

Kompanya, hindi lamang indibidwal na mga hacker, ang nasa likod ng kampanya

Inilalarawan ng mga awtoridad ng US ang Integrity Technology Group bilang isang negosyong sumusuporta sa mga operasyong cyber na iniugnay sa pamahalaan ng Tsina. Naka-base sa Beijing ang kompanya at mayroon itong mga kontrata sa pamahalaan ng Tsina. Itinuturing ito ng FBI na organisasyong nasa likod ng aktibidad na kilala sa pribadong sektor bilang Flax Typhoon.

Inilarawan ni Brett Leatherman, assistant director ng Cyber Division ng FBI, ang papel ng kompanya sa anunsyo ng Kagawaran ng Hustisya:

Umaasa ang PRC sa mga kompanyang kontratista at tagapagtaguyod upang palawakin ang abot at laki ng malisyosong aktibidad nito sa cyberspace. Sa pagbubunyag at pagpigil sa mga tagapagtaguyod na ito, pinahihirapan naming puntiryahin ng PRC ang mga network at imprastraktura ng Amerika.

Inilalarawan sa babala ang aktibidad na nagkakapatong sa mga operasyong sinusubaybayan bilang Flax Typhoon, Ethereal Panda at Red Juliett. Nagbabala ito na hindi nangangahulugang maiuugnay sa Integrity Tech ang lahat ng magkakapatong na aktibidad. Kaya hindi dapat ituring ang mga pangalan ng kampanyang ito bilang patunay na iisang kompanya ang nagsagawa ng bawat kaugnay na paglusot.

Direktang inilarawan ni Jason Bilnoski, deputy assistant director ng Cyber Division ng FBI, ang estratehiya sa pagpapatupad ng batas:

Layunin naming alisin ang kakayahan ng mga aktor ng banta. Tinutarget namin ang kanilang imprastraktura, pera at mga tool.

Tinawag ni Bilnoski na "walang pinipili at iresponsable" ang operasyon ng hacking. Inilalarawan sa mas malawak na babala ng mga ahensya ang mga target sa pamahalaan, pagmamanupaktura, pangangalagang pangkalusugan, teknolohiya ng impormasyon, pagpapatupad ng batas, edukasyon at mga organisasyong panrelihiyon, na may aktibidad sa Timog-Silangang Asya, Africa at Hilagang Amerika.

Pagkakasunod ng pinakahuling pag-agaw sa naunang aksyon

Ikalawang pampublikong teknikal na pagpigil ng Kagawaran ng Hustisya sa imprastraktura ng hacking ng Integrity Tech ang operasyon noong Oktubre. Tinarget ng una, noong Setyembre 2024, ang isang Mirai botnet na may mahigit 200,000 device ng mga mamimili sa buong mundo, kabilang ang mga kamera, video recorder at router sa bahay at opisina.

Nagbibigay ang mga rekord ng imbestigasyon ng mas detalyadong larawan noong Hunyo 5, 2024. Naglaman ang isang database ng mahigit 1.2 milyong rekord ng mga nahawaang device, kabilang ang mahigit 385,000 natatanging device ng mga biktima sa US. Mahigit 260,000 device ang aktibong nahawahan sa petsang iyon, kabilang ang humigit-kumulang 126,000 sa Estados Unidos. Magkaibang bagay ang sinusukat ng mga rekord sa database at ng mga aktibong impeksiyon, kaya hindi dapat unawain ang bilang na 1.2 milyon bilang dami ng mga device na sabay-sabay na kontrolado ng mga operator.

Ipinakikita ng mahahalagang petsa ang kampanya at tugon ng mga awtoridad na umabot ng ilang taon:

• Agosto 2022 at Marso 2023: Nauna ang mga pag-scan ng Microscan sa matagumpay na pagpasok sa dalawang unibersidad sa Taiwan, ayon sa affidavit ng FBI.
• Setyembre 2024: Pinutol ng mga awtoridad ng US ang Mirai botnet ng Integrity Tech na may mahigit 200,000 device ng mga mamimili.
• Enero 2025: Nagpataw ng parusa ang Kagawaran ng Pananalapi ng US sa Integrity Technology Group dahil sa pagkakasangkot nito sa mga cyber intrusion na tumarget sa imprastraktura ng US.
• 2025 at 2026: Nagpataw rin ng parusa sa kompanya ang United Kingdom at European Union, ayon sa pagkakasunod, dahil sa aktibidad ng mga cyberattack.
• Setyembre 9, 2026: Kinumpirma ng mga imbestigador na nagagamit pa ang Microscan sa pamamagitan ng c0cc[.]cc.
• Oktubre 6, 2026: Pinahintulutan ng isang pederal na mahistrado ang pag-agaw sa mga domain.
• Oktubre 8, 2026: Inanunsyo ng Kagawaran ng Hustisya at FBI ang operasyon at ang isang pinagsamang babala sa cybersecurity.

Tinarget ng pinakahuling aksyon ang imprastraktura para sa pag-scan, paghahatid ng malware at malayuang access, sa halip na mag-anunsyo ng panibagong pagtanggal sa isang malaking botnet ng mga device ng mamimili. Iba't ibang bahagi ng diumano'y operasyon ang pinuntirya ng mga hakbang na ito.

Hindi patunay ng pagkawala ng serbisyo ang mga babala tungkol sa kritikal na imprastraktura

Dahil kabilang sa mga target ang mga kompanya ng kuryente, negosyo ng natural gas at mga paliparan, lagpas sa pagnanakaw ng datos ang panganib na dulot ng kampanya. Nagbabala si Chris Butera, gumaganap na executive assistant director para sa cybersecurity ng CISA, tungkol sa posibleng layunin ng pag-access sa mga kritikal na sistema:

Patuloy na nagpoposisyon ang mga aktor na kaugnay ng pamahalaan ng Tsina sa loob ng mga network ng kritikal na imprastraktura, kabilang ang mga sistema ng operational technology (OT), upang maputol ang mahahalagang operasyon sa panahong sila mismo ang pipiliin sa hinaharap.

Tumutukoy ang operational technology sa mga sistemang sumusubaybay o kumokontrol sa mga pisikal na proseso, gaya ng mga kagamitang pang-industriya. Iba ang mga panganib ng pag-access sa mga sistemang ito kumpara sa pag-access sa karaniwang email sa opisina.

Inilalarawan ng babala ni Butera ang isang banta, hindi isang konklusyon na nagdulot ang kampanyang ito ng pagkawala ng kuryente, pagkaantala sa mga paliparan o paghinto ng suplay ng gas sa Taiwan. Hindi isiniwalat ng mga awtoridad kung matagumpay na napasok ang bawat pinangalanang target na imprastraktura, at hindi pinatutunayan ng anunsyo na nakompromiso ang mga sistemang pang-operasyon ng mga organisasyong iyon.

Pinakamalakas ang pampublikong ebidensya tungkol sa pag-scan, di-awtorisadong pag-access at pagnanakaw ng impormasyon. Sa paghihiwalay ng mga natuklasang ito sa posibilidad ng panghihimasok sa hinaharap, naiiwasang palakihin ang ipinakitang ebidensya ng mga imbestigador.

Ano ang dapat suriin ng mga tagapagtanggol matapos ang pag-agaw

Naglalaman ang pinagsamang babala ng mga domain, IP address, hash ng malware at paglalarawan ng mga tool upang matulungan ang mga organisasyon na siyasatin ang posibleng paglusot. Lumahok sa paghahanda ng babala ang mga ahensya mula sa Estados Unidos, United Kingdom, Australia, Canada, Japan, New Zealand at Spain.

Kabilang sa mga inirerekomendang hakbang ang paglalapat ng mga update sa mga sistemang nakalantad sa internet, pag-aatas ng multi-factor authentication para sa webmail at access sa VPN, pag-disable sa mga serbisyong hindi ginagamit at pagsusuri sa mga log ng web application para sa mga pagtatangka ng pag-scan o pagsasamantala. Pinapayuhan din ang mga administrador na subaybayan ang di-awtorisadong software para sa malayuang access at ang di-inaasahang replikasyon ng Active Directory, na maaaring magpahiwatig ng mga pagtatangkang kumopya ng datos ng pagkakakilanlan.

May ilang indicator na nagmula pa noong 2016. Dapat siyasatin ang mga ito ayon sa konteksto sa halip na awtomatikong ituring na ebidensya ng kasalukuyang pagkompromiso. Makakatulong ang mga dating pagkakaugnay sa muling pagbuo ng daloy ng paglusot, pero hindi pinatutunayan ng lumang indicator lamang na kontrolado pa ng mga umaatake ang isang sistema ngayon.

Nagbabala si Wang Po-chi, associate professor ng criminal justice sa Ming Chuan University, na maaaring hindi mapigilan ng mga parusa at teknikal na pagpigil ang pagbabalik ng mga operator:

Kahit maparusahan ang kompanyang ito, maaari itong magtatag ng panibagong operasyon at ipagpatuloy ang parehong mga aktibidad. Maaaring isipin nitong kaunti lang ang dapat katakutan dahil maaaring nasa isang lugar ang kompanya, pero nasa ibang lugar naman ang mga server na ginagamit sa paglulunsad ng mga pag-atake.

Ayon kay Brett Lally, supervisory special agent ng FBI sa San Diego, susubaybayan ng kawanihan kung muling itatayo ng kompanya ang imprastraktura nito. Iniimbestigahan ito ng mga tanggapan ng FBI sa San Diego at Baltimore kasama ang Cyber Division ng FBI, at tumulong ang National Police Agency ng Japan. Sina Brendan McKenna at Jacques Singer-Emery ang mga tagausig na nangangasiwa sa kaso. Walang inanunsyong petsa ng susunod na pagdinig o deadline.

Mahahalagang Punto

• Inagaw ng FBI ang pitong domain na sumusuporta sa Microscan, FishHub at di-awtorisadong malayuang access na iniugnay sa Integrity Technology Group.
• Kumpirmadong biktima ng aktibidad ng FishHub ang humigit-kumulang 20 unibersidad sa Taiwan.
• Tinarget ng Microscan ang mga kompanya ng enerhiya sa Taiwan, isang kompanya ng kuryente sa South Carolina, mga paliparan sa Japan at Poland, mga unibersidad at isang multinasyonal na organisasyong hindi pampamahalaan.
• Hindi isiniwalat ng mga awtoridad kung matagumpay na napasok ang bawat pinangalanang target na imprastraktura.
• Kasunod ang mga pag-agaw sa pagpigil sa isang botnet noong Setyembre 2024 at sa mga parusang ipinataw ng Estados Unidos, United Kingdom at European Union.
• Pinuputol ng pag-agaw sa mga domain ang imprastraktura ng mga umaatake, pero hindi nito inaalis ang malware o mga ninakaw na kredensyal na nasa loob na ng mga network ng mga biktima.
• Walang inihayag na pag-aresto, kasong kriminal o petsa ng susunod na pagdinig kasabay ng operasyon.