美國聯邦政府（Federal Government of the United States）查封了七網際網路網域名稱，一家與政府簽訂合約的中國公司利用這些網域名稱尋找易受攻擊的網路，透過魚叉式網絡釣魚傳播惡意軟體，並竊取受害者的檔案。這是美國兩年內第二次針對該公司的駭客基礎設施採取行動，北京一家與中國政府簽約的公司（誠信科技集團（Integrity Technology Group））經營兩款入侵工具MicroScan和FishHub，用於進行稱為Flax Typhoon的駭客活動。根據賓州西區聯邦地區法院公佈的法庭檔案，攻擊目標包括南卡羅來納州的一家電力公司、日本和波蘭的機場、台灣的天然氣和電力公司、大學以及跨國非政府組織。這些受國家支持的駭客持續在全球範圍內積極攻擊和入侵網路及系統，試圖識別和竊取檔案，並以其他方式利用受害者的漏洞。
查獲行動在短短幾年內第二次擾亂Integrity Tech的大規模運營，並再次向來自中國和其他地區的網路犯罪分子發出明確信號，表明司法部致力於捍衛和維護美國及海外的網路安全。2024年9月，當局破獲一個與該公司相關的Mirai殭屍網路，控制全球超過20萬台受感染的消費設備。該網路允許其運營者透過受感染的設備路由活動，從而掩蓋惡意流量的來源。美國財政部於2025年1月對 Integrity Technology Group實施制裁。
中國駭客入侵工具MicroScan是一款Python的Web應用程序，包含超過1300 個滲透測試腳本，檢測面向網際網路系統中的漏洞。據稱，駭客透過Mirai殭屍網路和其他基礎設施發送掃描命令，並將攻擊來源隱藏在被入侵的裝置之後。根據美國聯邦調查局 (Federal Bureau of Investigation, FBI)、網路安全和基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）、國家安全局（National Security Agency, NSA）和國際合作夥伴聯合發布的網路安全公告，該工具的目標軟體和服務包括OpenSSL、Oracle WebLogic Server、WordPress、Jenkins和Apache Struts。MicroScan檢查兩所台灣大學的網路後不久，這兩所大學的網路就遭到入侵。查獲的c0cc.cc網域在2026年9月仍提供對該掃描工具的存取權限。FBI網路部門助理主任Brett Leatherman在一份聲明：Integrity Technology Group為與中國有關聯的駭客提供用於進行廣泛漏洞掃描的能力，在某些情況下，還被用於入侵美國和外國的關鍵基礎設施。中國依靠承包商和輔助公司來擴大其惡意網路活動的範圍和規模。
美國聯邦調查局網路犯罪部門助理局長Brett Leatherman在一份聲明：誠信科技集團（Integrity Technology Group）向與中國有關聯的駭客提供進行大規模漏洞掃描的能力，並在某些情況下，還利用這些能力入侵美國和外國的關鍵基礎設施。中國依靠承包商和相關公司來擴大其網路活動的範圍和規模。FishHub透過魚叉式網路釣魚支持更有針對性的入侵。在最初的入侵之後，五個被查獲的網域傳播其他惡意程序，這些程序可以提供遠端存取權檔案列表、搜尋指定檔案、壓縮檔案並將其發送到駭客控制的伺服器。這五個網域分別是98aicai.com、98aicode.com、outlook3650.com、youtubecard.com和linkedinns.net，已確認的 FishHub受害者包括約20所台灣大學。第六個網域98aiblog.com與SoftEther遠端存取軟體配合使用，將受感染的系統連接到Integrity Tech的基礎設施並維持存取權限。
2026年10月6日，聯邦治安法官批准這項查封行動。搜索令指示域名註冊機構鎖定這些域名，將其重定向到聯邦調查局控制的伺服器，並張貼查封通知。支持性宣誓書指控這些網域助長違反電腦詐欺和濫用法案的行為，並且是用源自美國境外的資金購買或續約的。目前尚未宣布任何逮捕或刑事指控。政府將Flax Typhoon入侵描述為一個分層過程。駭客透過跨站腳本攻擊和密碼噴灑攻擊註1Microsoft Exchange伺服器來竊取憑證。使用SoftEther VPN軟體維持存取權限，有時軟體偽裝成合法的Windows檔案，然後複製Active Directory憑證並從Exchange和Microsoft 365帳戶中提取電子郵件。相關機構建議各組織機構修補面向網際網路的系統，要求對Web郵件和虛擬專用網路啟用多因素身分驗證，停用未使用的服務，並監控意外的Active Directory複製和未經授權的遠端存取軟體。安全人員還應審查網路應用程式日誌，以發現掃描和利用嘗試。
Flax Typhoon的部分指標可以追溯到2016年，在將其屏蔽之前應進行調查。奪取網域名稱會破壞駭客的基礎設施，但不會清除受害者網路中已安裝的惡意軟體或遠端存取工具。
註1:密碼噴灑攻擊:是一種暴力破解攻擊，惡意行為者會嘗試對多個帳戶使用同一個密碼，接著再嘗試另一個密碼。密碼噴灑攻擊的效果通常很好，因為許多使用者使用的都是簡單、易於猜測的密碼，例如，password或123456等。
本文參考自：https://www.bankinfosecurity.com/fbi-seizes-domains-used-in-flax-typhoon-attacks-a-33049