何が起きたか
2026年10月8日、米司法省と FBI は、攻撃ツール Microscan と FishHub の運用に使われた 7つのドメインを裁判所の許可を得て押収 したと発表しました。ペンシルベニア州西部地区で開示された裁判資料によると、ツールは 中国政府と契約を持つ 北京の企業 Integrity Technology Group(Integrity Tech) の従業員が運用していました。民間では Flax Typhoon(Ethereal Panda、Red Juliett と重複)として知られる活動です。
押収は10月6日に許可され、ドメインには現在 FBI の押収通知が表示されています。GovInfoSecurity によると、同社のインフラに対する米国の措置は 2年で2回目 です。
ツールの中身
Microscan: インターネットに公開されたシステムの脆弱性を探す 1,300以上の侵入テスト用スクリプト を備えた Python 製 Web アプリ。スキャンは Mirai 亜種に感染した IoT 機器のボットネット を経由し、発信元を隠していました。
FishHub: スピアフィッシング 用ツール。侵入後に 遠隔操作、ファイル一覧の取得、特定文書の検索・圧縮・送信を行うマルウェアを送り込みます。確認された被害は台湾の大学約 20校。
標的に日本も
司法省によると、Microscan のスキャン対象には次が含まれていました。
- 米サウスカロライナ州の電力会社
- 多国籍 NGO
- 日本 とポーランドの 空港
- 台湾のガス・電力の重要インフラ企業
- スキャン直後に侵入された台湾の大学2校
スキャンは侵入ではありません。発表は日本の空港が侵害されたとは述べておらず、スキャンされたとしているだけです。ただし 日本のインフラが標的リストにある ことは確かで、同じ週に日本を含む7か国が出した共同勧告とも符合します。
押収されたドメイン
c0cc[.]cc (Microscan)
98aicai[.]com (FishHub)
98aicode[.]com (FishHub)
outlook3650[.]com (FishHub)
youtubecard[.]com (FishHub)
linkedinns[.]net (FishHub)
98aiblog[.]com (SoftEther VPN)
(リンク化を防ぐため [.] で表記。)DNS やプロキシのログで検索し、ブロックしましょう。
対策
- 上記ドメインを過去の DNS、プロキシ、メールのログ で検索
- サーバーや端末に 無許可の SoftEther VPN がないか確認
- 公開範囲を縮小: Microscan のようなスキャンは未修正のシステムを大量に見つけます
- ルーター、カメラ、IoT の保護: ボットネットはこうした機器でできていました。初期パスワードの変更とファームウェア更新を
- 大学、エネルギー、物流などで スピアフィッシング訓練
- ドメイン押収でインフラは止まっても、すでにネットワーク内にあるマルウェアは消えません
出典
- 米司法省: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- BleepingComputer(2026年10月8日): https://www.bleepingcomputer.com/news/security/fbi-disrupts-chinese-hacking-tools-used-to-breach-critical-infrastructure/
- GovInfoSecurity: https://www.govinfosecurity.com/fbi-seizes-domains-used-in-flax-typhoon-attacks-a-33049
- Help Net Security(2026年10月9日): https://www.helpnetsecurity.com/2026/10/09/fbi-flax-typhoon-microscan-fishhub-domains/
自社ネットワークにこのキャンペーンの痕跡がないか確認したいですか?KGA IT は無料相談を受け付けています:kga-it.com