O que aconteceu
Em 8 de outubro de 2026, o Departamento de Justiça e o FBI anunciaram a apreensão, com autorização judicial, de sete domínios usados para operar duas ferramentas de ataque, Microscan e FishHub. Segundo documentos judiciais abertos no Distrito Oeste da Pensilvânia, as ferramentas eram operadas por funcionários da Integrity Technology Group (Integrity Tech), empresa de Pequim com contratos com o governo chinês. A atividade é conhecida no setor privado como Flax Typhoon (com sobreposição a Ethereal Panda e Red Juliett).
Um juiz autorizou as apreensões em 6 de outubro. Os domínios agora exibem um aviso de apreensão do FBI. É a segunda ação dos EUA em dois anos contra a infraestrutura da empresa, segundo a GovInfoSecurity.
As ferramentas
Microscan: aplicação web em Python com mais de 1.300 scripts de teste de invasão para achar falhas em sistemas expostos na internet. As varreduras passavam por uma botnet de dispositivos IoT infectados com uma variante do Mirai, escondendo a origem.
FishHub: ferramenta de spear-phishing. Depois da invasão inicial, baixava malware que dava acesso remoto, listava arquivos, procurava documentos específicos, compactava e enviava para servidores da Integrity Tech. Vítimas confirmadas: cerca de 20 universidades de Taiwan.
Alvos, incluindo o Japão
Segundo o Departamento de Justiça, os alvos de varredura do Microscan incluíram:
- uma empresa de energia na Carolina do Sul (EUA);
- uma ONG multinacional;
- aeroportos do Japão e da Polônia;
- empresas de infraestrutura crítica de gás e energia em Taiwan;
- duas universidades de Taiwan, invadidas pouco depois das varreduras.
Varredura não é invasão: o comunicado não diz que os aeroportos japoneses foram comprometidos, apenas que foram escaneados. Mas mostra que infraestrutura japonesa está no radar, o que se encaixa no alerta conjunto de sete países, incluindo o Japão, publicado na mesma semana.
Os domínios apreendidos
c0cc[.]cc (Microscan)
98aicai[.]com (FishHub)
98aicode[.]com (FishHub)
outlook3650[.]com (FishHub)
youtubecard[.]com (FishHub)
linkedinns[.]net (FishHub)
98aiblog[.]com (SoftEther VPN)
(Escritos com [.] para não virarem links.) Vale bloquear e procurar esses nomes em logs de DNS e proxy.
O que fazer
- Busque os domínios acima nos logs históricos de DNS, proxy e e-mail.
- Procure SoftEther VPN instalado sem autorização em servidores e estações.
- Reduza a superfície exposta: varreduras como as do Microscan acham sistemas sem patch em escala.
- Proteja roteadores, câmeras e IoT: a botnet usada era feita desses aparelhos. Troque senhas padrão e atualize firmware.
- Treine contra spear-phishing, especialmente em universidades, energia e logística.
- Lembre: a apreensão derruba a infraestrutura, mas não remove malware já instalado dentro das redes.
Fontes
- Departamento de Justiça dos EUA: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- BleepingComputer (8/10/2026): https://www.bleepingcomputer.com/news/security/fbi-disrupts-chinese-hacking-tools-used-to-breach-critical-infrastructure/
- GovInfoSecurity: https://www.govinfosecurity.com/fbi-seizes-domains-used-in-flax-typhoon-attacks-a-33049
- Help Net Security (9/10/2026): https://www.helpnetsecurity.com/2026/10/09/fbi-flax-typhoon-microscan-fishhub-domains/
Quer verificar se sua rede tem sinais dessa campanha? A KGA IT oferece uma consulta gratuita: kga-it.com.