FBI Rampas Tujuh Domain di Sebalik Alat Penggodaman China yang Menyasarkan Universiti Taiwan dan Rangkaian Tenaga

Tujuh domain dirampas, kira-kira 20 universiti Taiwan disahkan sebagai mangsa

FBI dan Jabatan Kehakiman AS mengumumkan pada 8 Oktober 2026 bahawa mereka telah merampas tujuh domain internet yang menyokong alat penggodaman kendalian Integrity Technology Group, sebuah syarikat keselamatan siber China yang mempunyai kontrak kerajaan. Salah satu alat, Microscan, mencari kelemahan dalam rangkaian milik syarikat tenaga Taiwan, lapangan terbang di Jepun dan Poland serta sebuah syarikat utiliti elektrik di Carolina Selatan. Satu lagi alat, FishHub, dikaitkan dengan pencerobohan yang disahkan berlaku di kira-kira 20 universiti Taiwan.

Tindakan itu menyasarkan infrastruktur di sebalik kempen penggodaman yang dikenali sebagai Flax Typhoon. Menurut pengumuman 8 Oktober Jabatan Kehakiman, dokumen mahkamah yang dibuka kepada umum di Daerah Barat Pennsylvania mendakwa Integrity Technology Group membangunkan dan mengendalikan alat yang digunakan pelanggan syarikat itu untuk mengenal pasti rangkaian yang terdedah, mendapatkan akses tanpa kebenaran dan mencuri fail.

FBI berkata operasi itu menyebabkan alat berkenaan tidak lagi berfungsi. Namun, ini tidak bermakna semua rangkaian yang diceroboh kini selamat: perampasan domain mengganggu infrastruktur penyerang, tetapi tidak secara automatik menghapuskan perisian hasad, kelayakan log masuk yang dicuri atau perisian akses jauh yang sudah berada dalam sistem mangsa.

Bukti itu juga membezakan antara rangkaian yang diimbas dengan rangkaian yang berjaya diceroboh. Pihak berkuasa mengenal pasti syarikat gas asli dan elektrik Taiwan, syarikat utiliti di Carolina Selatan, lapangan terbang Jepun dan Poland serta sebuah pertubuhan bukan kerajaan multinasional sebagai sasaran Microscan. Mereka tidak mendedahkan sama ada setiap organisasi itu berjaya diceroboh.

Bagi universiti, buktinya lebih khusus. Afidavit FBI memperincikan pencerobohan berjaya susulan imbasan Microscan di dua universiti Taiwan pada Ogos 2022 dan Mac 2023. Secara berasingan, Jabatan Kehakiman mengenal pasti kira-kira 20 universiti Taiwan sebagai mangsa aktiviti FishHub yang disahkan. Nama institusi itu belum didedahkan kepada umum, dan kedua-dua kumpulan itu tidak boleh terus dijumlahkan kerana pertindihan antara mereka belum didedahkan.

Apa yang sebenarnya ditutup oleh tindakan mahkamah

Seorang hakim majistret persekutuan membenarkan perampasan itu pada 6 Oktober, dua hari sebelum pengumuman kepada umum. Waran itu mengarahkan pendaftar domain supaya mengunci domain berkenaan, mengalihkannya ke pelayan yang dikawal FBI dan memaparkan notis perampasan. Langkah ini menghalang pengendali daripada menggunakan alamat yang menyokong pengimbasan, penghantaran perisian hasad dan akses berterusan ke rangkaian yang telah diceroboh.

Pengumuman perampasan oleh Pejabat Peguam AS bagi Daerah Barat Pennsylvania menyenaraikan tujuh domain. Satu daripadanya, c0cc[.]cc, menyediakan akses kepada Microscan. Lima lagi membantu menyebarkan perisian hasad FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com dan linkedinns[.]net. Domain selebihnya, 98aiblog[.]com, dikaitkan dengan perisian SoftEther yang digunakan untuk mengekalkan akses jauh.

Afidavit sokongan itu mendakwa berlaku pelanggaran Akta Penipuan dan Penyalahgunaan Komputer, undang-undang AS yang meliputi akses tanpa kebenaran kepada komputer. Dokumen itu juga menyatakan pembelian atau pembaharuan domain berkenaan menggunakan wang yang berasal dari luar Amerika Syarikat. Tiada tangkapan atau pertuduhan jenayah diumumkan bersama perampasan itu. Dakwaan dalam dokumen mahkamah bukan penemuan bersalah.

Microscan menjadikan peranti yang dijangkiti sebagai rangkaian peninjauan

Microscan ialah aplikasi web yang ditulis menggunakan Python, bahasa pengaturcaraan yang digunakan secara meluas, dan mengandungi lebih daripada 1,300 skrip untuk menguji kelemahan keselamatan. Skrip sedemikian boleh digunakan secara sah dalam penilaian keselamatan yang dibenarkan. Dalam kes ini, penyiasat mendakwa skrip itu digunakan untuk memeriksa sistem organisasi lain bagi mencari kelemahan yang boleh dieksploitasi oleh pelanggan Integrity Tech.

Perisian itu mengimbas laman web dan perkhidmatan yang menjalankan produk termasuk OpenSSL, Oracle WebLogic Server, WordPress, Jenkins dan Apache Struts. Penyiasat berkata Microscan masih boleh diakses melalui c0cc[.]cc seawal 9 September 2026 dan mungkin telah digunakan sejak 2017.

Sesetengah imbasan disalurkan melalui peranti pengguna yang dijangkiti varian perisian hasad Mirai. Peranti itu bersama-sama membentuk botnet, iaitu kumpulan mesin yang diceroboh dan dikawal oleh pengendali. Menyalurkan trafik melalui peranti orang lain membantu menyembunyikan asal-usul imbasan serta menyediakan infrastruktur yang tersebar di banyak lokasi.

Nasihat keselamatan siber yang disertakan mengenal pasti lapan kelemahan yang lazim disasarkan, dengan nombor pengenal yang bermula dari 2014 hingga 2023. Antaranya ialah kelemahan dalam GNU Bash, Apache Struts, Pulse Secure VPN dan GitLab. Sesetengahnya membolehkan penyerang membaca fail tanpa kebenaran atau menjalankan arahan pada sistem yang terdedah. Julat tahun itu menunjukkan kempen berkenaan tidak terhad kepada kelemahan yang baru ditemui; perisian lama yang belum ditampal juga membuka peluang.

FishHub menyokong akses dan kecurian selepas pencerobohan awal

FishHub mempunyai tujuan yang berbeza daripada Microscan. Pihak berkuasa mendakwa alat itu menyokong spear phishing, iaitu mesej mengelirukan yang disasarkan kepada penerima tertentu, serta memuat turun perisian hasad tambahan selepas rangkaian mula-mula diceroboh. Perisian hasad itu boleh memberikan akses jauh kepada pelanggan Integrity Tech atau mencari fail tertentu dan menghantarnya ke pelayan yang dikawal syarikat itu.

Proses pencurian fail yang didakwa termasuk menyenaraikan dokumen, mencari bahan tertentu, memampatkan fail dan menghantarnya keluar dari rangkaian mangsa. Oleh itu, FishHub bukan sekadar mekanisme penghantaran: alat itu turut menyokong pengumpulan dan pengeluaran maklumat selepas penyerang memperoleh akses.

Afidavit FBI memperincikan data dan fail milik lebih daripada 20 organisasi pada sebuah pelayan yang dikaitkan dengan FishHub, termasuk enam universiti Taiwan. Dapatan ini lebih khusus berbanding angka kira-kira 20 universiti Taiwan yang dinyatakan Jabatan Kehakiman sebagai mangsa. Enam universiti itu merujuk kepada bukti yang ditemui pada satu pelayan, manakala angka yang lebih besar menggambarkan aktiviti FishHub yang disahkan. Kedua-dua angka itu tidak menunjukkan jumlah keseluruhan organisasi yang terjejas di seluruh dunia.

Rangkaian universiti boleh mengandungi penyelidikan, rekod pentadbiran dan surat-menyurat, tetapi pegawai belum mendedahkan jenis maklumat yang diambil daripada institusi Taiwan. Kenyataan kepada umum itu juga tidak menyatakan jumlah data yang dicuri atau mengenal pasti individu yang mungkin terjejas.

Perisian yang sah membantu penyerang kekal dalam rangkaian

Nasihat bersama FBI, Agensi Keselamatan Siber dan Infrastruktur (CISA), Agensi Keselamatan Negara serta rakan antarabangsa memperincikan beberapa cara pelaku mendapatkan kelayakan log masuk dan mengekalkan akses. Antaranya ialah skrip rentas tapak, yang boleh menyalahgunakan laman web terdedah untuk menangkap maklumat pengguna, serta serangan semburan kata laluan terhadap sistem Microsoft Exchange. Serangan semburan kata laluan mencuba sebilangan kecil kata laluan lazim terhadap banyak akaun, bukannya berulang kali meneka kata laluan bagi satu akaun.

Penyiasat turut memperincikan pemasangan perisian VPN SoftEther pada sistem yang diceroboh untuk mengekalkan akses, kadangkala dengan menyamar sebagai fail Windows yang sah. VPN mewujudkan sambungan rangkaian yang boleh menyokong kerja jarak jauh biasa. Jika dipasang tanpa kebenaran, ia boleh memberi penyerang laluan berterusan ke dalam sistem organisasi.

Alat lain digunakan untuk mengumpul kelayakan log masuk Active Directory dan mengeluarkan e-mel daripada akaun Exchange dan Microsoft 365. Active Directory mengurus identiti pengguna dan akses dalam banyak organisasi, maka kelayakan yang dicuri boleh membuka akses melebihi komputer pertama yang diceroboh. Penyiasat turut menemui aplikasi web tersuai yang membolehkan pihak ketiga menyemak e-mel yang dicuri tanpa mengakses akaun yang terjejas secara langsung.

Chen Yun-nung, profesor sains komputer di Universiti Nasional Taiwan, menjelaskan mengapa aktiviti berniat jahat yang menggunakan perisian sedia ada sukar dikesan:

Program berniat jahat itu bersembunyi dalam perisian pengurusan sedia ada dan menggunakan perisian yang sah untuk melakukan kegiatan jahat. Contohnya, ia boleh memuat turun dan mengeksport data anda, menjadikannya lebih sukar dikesan kerana anda tidak akan melihat sebarang program tambahan sedang berjalan, hanya program asal yang sudah sedia ada.

Perbezaan itu penting ketika melakukan pembersihan. Pemeriksaan yang hanya mencari program yang tidak dikenali mungkin terlepas penggunaan tanpa kebenaran terhadap perisian yang lazim dipercayai pentadbir.

Syarikat di sebalik kempen itu, bukan sekadar penggodam individu

Pihak berkuasa AS menggambarkan Integrity Technology Group sebagai sebuah syarikat yang menyokong operasi siber berkaitan kerajaan China. Syarikat itu berpangkalan di Beijing dan mempunyai kontrak dengan kerajaan China. FBI menganggapnya sebagai organisasi di sebalik aktiviti yang dikenali dalam sektor swasta sebagai Flax Typhoon.

Brett Leatherman, penolong pengarah Bahagian Siber FBI, menjelaskan peranan syarikat itu dalam pengumuman Jabatan Kehakiman:

Republik Rakyat China bergantung pada syarikat kontraktor dan syarikat pemudah cara untuk meluaskan jangkauan dan skala kegiatan siber berniat jahatnya. Dengan mendedahkan dan mengganggu pihak yang memudah cara ini, kami menyukarkan Republik Rakyat China daripada menyasarkan rangkaian dan infrastruktur Amerika.

Nasihat itu memperincikan aktiviti yang bertindih dengan operasi yang dijejaki sebagai Flax Typhoon, Ethereal Panda dan Red Juliett. Dokumen itu mengingatkan bahawa tidak semua aktiviti yang bertindih semestinya boleh dikaitkan dengan Integrity Tech. Oleh itu, nama kempen berkenaan tidak harus dianggap sebagai bukti bahawa setiap pencerobohan yang dikaitkan dengannya dilakukan oleh syarikat yang sama.

Penolong Pengarah Bahagian Siber FBI Jason Bilnoski memperincikan strategi penguatkuasaan secara terus terang:

Kami berusaha melumpuhkan keupayaan pelaku ancaman. Kami menyasarkan infrastruktur, wang dan alat mereka.

Bilnoski menyifatkan operasi penggodaman itu sebagai "tidak memilih sasaran dan melulu." Nasihat lebih luas daripada agensi berkenaan memperincikan sasaran dalam sektor kerajaan, pembuatan, penjagaan kesihatan, teknologi maklumat, penguatkuasaan undang-undang, pendidikan dan organisasi keagamaan, dengan aktiviti merentasi Asia Tenggara, Afrika dan Amerika Utara.

Bagaimana perampasan terbaharu menyusuli tindakan terdahulu

Operasi pada Oktober itu ialah gangguan teknikal kedua yang diumumkan Jabatan Kehakiman terhadap infrastruktur penggodaman Integrity Tech. Tindakan pertama, pada September 2024, menyasarkan botnet Mirai yang mengandungi lebih daripada 200,000 peranti pengguna di seluruh dunia, termasuk kamera, perakam video serta penghala rumah dan pejabat.

Rekod penyiasatan memberikan gambaran lebih terperinci pada 5 Jun 2024. Sebuah pangkalan data mengandungi lebih daripada 1.2 juta rekod peranti yang dijangkiti, termasuk lebih 385,000 peranti mangsa unik di AS. Lebih daripada 260,000 peranti dijangkiti secara aktif pada tarikh itu, termasuk kira-kira 126,000 di Amerika Syarikat. Rekod pangkalan data dan jangkitan aktif mengukur perkara yang berbeza, jadi angka 1.2 juta itu tidak harus dianggap sebagai jumlah peranti yang berada di bawah kawalan pengendali pada masa yang sama.

Tarikh utama menunjukkan kempen dan tindakan penguatkuasaan yang berlangsung selama beberapa tahun:

• Ogos 2022 dan Mac 2023: Imbasan Microscan mendahului pencerobohan berjaya di dua universiti Taiwan, menurut afidavit FBI.
• September 2024: Pihak berkuasa AS mengganggu botnet Mirai Integrity Tech yang terdiri daripada lebih 200,000 peranti pengguna.
• Januari 2025: Jabatan Perbendaharaan AS mengenakan sekatan terhadap Integrity Technology Group kerana penglibatannya dalam pencerobohan siber yang menyasarkan infrastruktur AS.
• 2025 dan 2026: United Kingdom dan Kesatuan Eropah masing-masing turut mengenakan sekatan terhadap syarikat itu berhubung aktiviti serangan siber.
• 9 September 2026: Penyiasat mengesahkan Microscan masih boleh diakses melalui c0cc[.]cc.
• 6 Oktober 2026: Seorang hakim majistret persekutuan membenarkan perampasan domain.
• 8 Oktober 2026: Jabatan Kehakiman dan FBI mengumumkan operasi itu serta nasihat keselamatan siber bersama.

Tindakan terbaharu menyasarkan infrastruktur pengimbasan, penghantaran perisian hasad dan akses jauh, bukannya mengumumkan satu lagi pelumpuhan botnet besar yang terdiri daripada peranti pengguna. Tindakan itu menyasarkan bahagian berlainan dalam operasi yang didakwa.

Amaran infrastruktur kritikal bukan bukti gangguan bekalan

Penglibatan syarikat elektrik, perniagaan gas asli dan lapangan terbang menjadikan kempen itu satu kebimbangan yang melangkaui kecurian data. Chris Butera, pemangku penolong pengarah eksekutif keselamatan siber CISA, memberi amaran tentang kemungkinan tujuan akses kepada sistem kritikal:

Pelaku yang bersekutu dengan kerajaan China terus menempatkan diri dalam rangkaian infrastruktur kritikal, termasuk sistem teknologi operasi (OT), dengan tujuan mengganggu fungsi kritikal pada masa hadapan yang mereka pilih.

Teknologi operasi merujuk kepada sistem yang memantau atau mengawal proses fizikal, seperti peralatan industri. Akses kepada sistem ini boleh membawa risiko yang berbeza daripada akses kepada e-mel pejabat biasa.

Amaran Butera itu menggambarkan ancaman, bukannya dapatan bahawa kempen ini menyebabkan gangguan bekalan elektrik, gangguan operasi lapangan terbang atau gangguan bekalan gas Taiwan. Pihak berkuasa belum mendedahkan sama ada semua sasaran infrastruktur yang dinamakan berjaya diceroboh, dan pengumuman itu tidak membuktikan sistem operasi organisasi berkenaan telah diceroboh.

Bukti kepada umum paling kukuh berkaitan pengimbasan, akses tanpa kebenaran dan kecurian maklumat. Membezakan dapatan itu daripada kemungkinan gangguan pada masa hadapan dapat mengelakkan dakwaan yang melampaui apa yang dibuktikan oleh penyiasat.

Perkara yang perlu diperiksa oleh pihak pertahanan selepas perampasan

Nasihat bersama itu menyertakan domain, alamat IP, nilai hash perisian hasad dan perihal alat untuk membantu organisasi menyiasat kemungkinan pencerobohan. Agensi dari Amerika Syarikat, United Kingdom, Australia, Kanada, Jepun, New Zealand dan Sepanyol menyertai usaha menyediakan nasihat tersebut.

Langkah yang disyorkan termasuk memasang tampalan pada sistem yang terdedah kepada internet, mewajibkan pengesahan berbilang faktor untuk akses mel web dan VPN, menyahdayakan perkhidmatan yang tidak digunakan serta menyemak log aplikasi web bagi mengesan percubaan pengimbasan atau eksploitasi. Pentadbir juga digesa memantau perisian akses jauh yang dipasang tanpa kebenaran dan replikasi Active Directory yang tidak dijangka, yang boleh menandakan percubaan menyalin data identiti.

Sesetengah penunjuk bertarikh sejak 2016. Penunjuk itu perlu disiasat mengikut konteks dan bukannya dianggap secara automatik sebagai bukti pencerobohan semasa. Hubungan sejarah boleh membantu membina semula pencerobohan, tetapi penunjuk lama semata-mata tidak membuktikan bahawa sistem kini dikawal oleh penyerang.

Wang Po-chi, profesor madya keadilan jenayah di Universiti Ming Chuan, memberi amaran bahawa sekatan dan gangguan teknikal mungkin tidak menghalang pengendali daripada kembali:

Walaupun syarikat ini dikenakan sekatan, ia mungkin menubuhkan operasi lain untuk memulakan kegiatan yang sama. Mereka mungkin merasakan tidak banyak yang perlu ditakuti kerana syarikat itu mungkin berpangkalan di satu tempat, sedangkan pelayan yang melancarkan serangan mungkin berada di tempat lain.

Ejen Penyelia Khas FBI San Diego Brett Lally berkata biro itu akan memantau sama ada syarikat tersebut membina semula infrastrukturnya. Pejabat lapangan San Diego dan Baltimore sedang menyiasat bersama Bahagian Siber FBI, manakala Agensi Polis Kebangsaan Jepun turut membantu. Pendakwa Brendan McKenna dan Jacques Singer-Emery mengendalikan kes itu. Tiada tarikh pendengaran seterusnya atau tarikh akhir diumumkan.

Perkara Utama

• FBI merampas tujuh domain yang menyokong Microscan, FishHub dan akses jauh tanpa kebenaran yang dikaitkan dengan Integrity Technology Group.
• Kira-kira 20 universiti Taiwan disahkan sebagai mangsa aktiviti FishHub.
• Microscan menyasarkan syarikat tenaga Taiwan, sebuah syarikat utiliti elektrik di Carolina Selatan, lapangan terbang di Jepun dan Poland, universiti serta sebuah pertubuhan bukan kerajaan multinasional.
• Pihak berkuasa tidak mendedahkan sama ada setiap sasaran infrastruktur yang dinamakan berjaya diceroboh.
• Perampasan itu menyusuli pelumpuhan botnet pada September 2024 serta sekatan yang dikenakan oleh Amerika Syarikat, United Kingdom dan Kesatuan Eropah.
• Perampasan domain mengganggu infrastruktur penyerang tetapi tidak menghapuskan perisian hasad atau kelayakan log masuk yang dicuri dan sudah berada dalam rangkaian mangsa.
• Tiada tangkapan, pertuduhan jenayah atau tarikh pendengaran seterusnya diumumkan bersama operasi itu.