FBI apreende sete domínios ligados a ferramentas de espionagem chinesas que miravam universidades e redes de energia de Taiwan

Sete domínios apreendidos; cerca de 20 universidades taiwanesas confirmadas como vítimas

O FBI e o Departamento de Justiça dos Estados Unidos anunciaram em 8 de outubro de 2026 que haviam apreendido sete domínios de internet que davam suporte a ferramentas de invasão operadas pela Integrity Technology Group, uma empresa chinesa de cibersegurança com contratos governamentais. Uma das ferramentas, a Microscan, buscava vulnerabilidades em redes de empresas de energia taiwanesas, aeroportos no Japão e na Polônia e uma concessionária de energia da Carolina do Sul. Outra, a FishHub, foi associada a invasões confirmadas em cerca de 20 universidades taiwanesas.

A ação teve como alvo a infraestrutura por trás da campanha de invasão conhecida como Flax Typhoon. Segundo o anúncio de 8 de outubro do Departamento de Justiça, documentos judiciais tornados públicos no Distrito Oeste da Pensilvânia alegam que a Integrity Technology Group desenvolveu e operou ferramentas usadas por seus clientes para identificar redes vulneráveis, obter acesso não autorizado e roubar arquivos.

O FBI informou que a operação tornou as ferramentas inoperantes. Isso não significa que todas as redes comprometidas agora estejam seguras: apreender domínios interrompe a infraestrutura dos invasores, mas não remove automaticamente malware, credenciais roubadas ou programas de acesso remoto que já estejam nos sistemas das vítimas.

As evidências também diferenciam as redes examinadas das redes efetivamente invadidas. As autoridades identificaram empresas taiwanesas de gás natural e energia elétrica, a concessionária da Carolina do Sul, aeroportos japoneses e poloneses e uma organização não governamental multinacional como alvos da Microscan. Não informaram se cada uma dessas organizações foi efetivamente comprometida.

No caso das universidades, as evidências são mais específicas. Uma declaração juramentada do FBI descreve invasões bem-sucedidas após análises da Microscan em duas universidades taiwanesas, em agosto de 2022 e março de 2023. Separadamente, o Departamento de Justiça identificou cerca de 20 universidades taiwanesas como vítimas confirmadas de atividades da FishHub. As instituições não foram identificadas publicamente, e os dois grupos não podem simplesmente ser somados, pois não foi informado se há sobreposição entre eles.

O que a ação judicial realmente desativou

Um juiz magistrado federal autorizou as apreensões em 6 de outubro, dois dias antes do anúncio público. O mandado determinou que os registros de domínios os bloqueassem, os redirecionassem para servidores controlados pelo FBI e exibissem avisos de apreensão. Isso impediu os operadores de usar endereços que davam suporte à varredura, à distribuição de malware e à manutenção do acesso a redes comprometidas.

O anúncio da apreensão da Promotoria Federal do Distrito Oeste da Pensilvânia especifica sete domínios. Um deles, c0cc[.]cc, dava acesso à Microscan. Cinco ajudavam a distribuir o malware FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com e linkedinns[.]net. O domínio restante, 98aiblog[.]com, estava associado ao software SoftEther, usado para manter o acesso remoto.

A declaração juramentada que fundamenta a ação alega violações da Lei de Fraude e Abuso de Computadores, legislação dos EUA que trata do acesso não autorizado a computadores. Ela também afirma que as compras ou renovações dos domínios foram pagas com recursos provenientes de fora dos Estados Unidos. Nenhuma prisão ou acusação criminal foi anunciada junto com as apreensões. As alegações nos documentos judiciais não constituem condenações.

A Microscan transformava dispositivos infectados em uma rede de reconhecimento

A Microscan era uma aplicação web escrita em Python, uma linguagem de programação amplamente utilizada, com mais de 1.300 scripts para testar falhas de segurança. Esses scripts podem ter usos legítimos em avaliações de segurança autorizadas. Neste caso, os investigadores alegam que eram usados para examinar os sistemas de outras organizações em busca de vulnerabilidades que os clientes da Integrity Tech pudessem explorar.

O software examinava sites e serviços que executavam produtos como OpenSSL, Oracle WebLogic Server, WordPress, Jenkins e Apache Struts. Os investigadores disseram que a Microscan continuava acessível por meio de c0cc[.]cc até 9 de setembro de 2026 e pode ter sido usada já em 2017.

Parte das varreduras passava por dispositivos de consumo infectados com uma variante do malware Mirai. Em conjunto, esses dispositivos formavam uma botnet, ou seja, um grupo de máquinas comprometidas controladas por um operador. O encaminhamento do tráfego por dispositivos de terceiros ajudava a ocultar a origem das varreduras e fornecia uma infraestrutura distribuída por diversos locais.

O alerta de cibersegurança que acompanha o anúncio identifica oito vulnerabilidades frequentemente exploradas, com identificadores que vão de 2014 a 2023. Entre elas estão falhas no GNU Bash, Apache Struts, Pulse Secure VPN e GitLab. Algumas permitem que um invasor leia arquivos sem autorização ou execute comandos em um sistema vulnerável. Essa variedade mostra que a campanha não se limitava a falhas recém-descobertas: softwares antigos sem correções também ofereciam oportunidades.

A FishHub facilitava o acesso e o roubo após a invasão inicial

A FishHub tinha uma função diferente da Microscan. Segundo as autoridades, ela dava suporte a ataques de spear phishing, mensagens enganosas direcionadas a destinatários específicos, e baixava outros malwares após o comprometimento inicial de uma rede. Esses programas podiam dar aos clientes da Integrity Tech acesso remoto ou buscar arquivos específicos e transmiti-los a servidores controlados pela empresa.

O processo de roubo de arquivos descrito incluía listar documentos, buscar materiais determinados, compactar arquivos e enviá-los para fora da rede da vítima. Assim, a FishHub era mais do que um meio de distribuição: ela apoiava a coleta e a extração de informações depois que os invasores obtinham acesso.

A declaração juramentada do FBI descreve dados e arquivos pertencentes a mais de 20 organizações em um servidor associado à FishHub, incluindo seis universidades taiwanesas. Esse achado é mais restrito do que a contagem de cerca de 20 universidades taiwanesas vítimas apresentada pelo Departamento de Justiça. As seis universidades correspondem a evidências encontradas em um servidor, enquanto o número maior se refere a atividades confirmadas da FishHub. Nenhuma das contagens indica o total de organizações afetadas no mundo todo.

Redes universitárias podem conter pesquisas, registros administrativos e correspondência, mas as autoridades não informaram quais tipos de dados foram extraídos das instituições taiwanesas. O relato público também não quantifica o volume de dados roubados nem identifica as pessoas cujas informações podem ter sido afetadas.

Softwares legítimos ajudaram os invasores a permanecer nas redes

O alerta conjunto do FBI, da Agência de Segurança Cibernética e de Infraestrutura (CISA), da Agência de Segurança Nacional e de parceiros internacionais descreve várias formas pelas quais os agentes obtiveram credenciais e mantiveram o acesso. Entre elas estavam o cross-site scripting, que pode explorar um site vulnerável para capturar informações de usuários, e ataques de password spraying contra sistemas Microsoft Exchange. O password spraying testa um pequeno conjunto de senhas comuns em muitas contas, em vez de tentar repetidamente adivinhar a senha de uma única conta.

Os investigadores também descreveram a instalação do software de VPN SoftEther em sistemas comprometidos para manter o acesso, às vezes disfarçado de arquivos legítimos do Windows. Uma VPN cria uma conexão de rede que pode dar suporte ao trabalho remoto comum. Quando instalada sem autorização, pode oferecer a um invasor uma rota permanente para os sistemas de uma organização.

Outras ferramentas foram usadas para coletar credenciais do Active Directory e extrair e-mails de contas do Exchange e do Microsoft 365. O Active Directory gerencia identidades de usuários e permissões de acesso em muitas organizações; por isso, credenciais roubadas podem abrir caminhos para além do primeiro computador comprometido. Os investigadores também encontraram uma aplicação web personalizada que permitia a terceiros consultar e-mails roubados sem acessar diretamente as contas afetadas.

Chen Yun-nung, professor de ciência da computação da Universidade Nacional de Taiwan, explicou por que pode ser difícil detectar atividades maliciosas que usam softwares já existentes:

O programa malicioso se esconde em softwares de gerenciamento já existentes e usa programas legítimos para fins maliciosos. Por exemplo, pode baixar e exportar seus dados, o que dificulta a detecção, porque você não verá nenhum programa adicional em execução, apenas os programas originais que já estavam lá.

Essa distinção é importante para a remoção das ameaças. Procurar apenas programas desconhecidos pode não revelar o uso não autorizado de softwares que os administradores normalmente consideram confiáveis.

Uma empresa por trás da campanha, não apenas hackers individuais

As autoridades dos EUA descrevem a Integrity Technology Group como uma empresa que dá suporte a operações cibernéticas ligadas ao governo chinês. A empresa tem sede em Pequim e contratos com o governo chinês. O FBI a considera a organização por trás das atividades conhecidas no setor privado como Flax Typhoon.

Brett Leatherman, diretor-assistente da Divisão Cibernética do FBI, descreveu o papel da empresa no anúncio do Departamento de Justiça:

A República Popular da China depende de empresas contratadas e de apoio para ampliar o alcance e a escala de suas atividades cibernéticas maliciosas. Ao expor e interromper as operações desses facilitadores, dificultamos que a República Popular da China ataque redes e infraestruturas americanas.

O alerta descreve atividades que se sobrepõem a operações monitoradas como Flax Typhoon, Ethereal Panda e Red Juliett. Ele ressalva que nem todas as atividades coincidentes podem ser atribuídas à Integrity Tech. Portanto, esses nomes de campanha não devem ser considerados prova de que todas as invasões associadas foram realizadas pela mesma empresa.

Jason Bilnoski, diretor-assistente adjunto da Divisão Cibernética do FBI, descreveu de forma direta a estratégia de aplicação da lei:

Nosso objetivo é retirar a capacidade de ação dos agentes de ameaça. Miramos a infraestrutura, o dinheiro e as ferramentas deles.

Bilnoski classificou a operação de invasão como "indiscriminada e imprudente". O alerta mais amplo das agências descreve alvos nos setores governamental, industrial, de saúde, tecnologia da informação, aplicação da lei, educação e organizações religiosas, com atividades no Sudeste Asiático, na África e na América do Norte.

Como a apreensão mais recente se soma às ações anteriores

A operação de outubro é a segunda interrupção técnica pública do Departamento de Justiça contra a infraestrutura de invasão da Integrity Tech. A primeira, em setembro de 2024, teve como alvo uma botnet Mirai com mais de 200 mil dispositivos de consumo no mundo todo, incluindo câmeras, gravadores de vídeo e roteadores domésticos e de escritório.

Registros da investigação oferecem um retrato mais detalhado de 5 de junho de 2024. Um banco de dados continha mais de 1,2 milhão de registros de dispositivos infectados, incluindo mais de 385 mil dispositivos únicos de vítimas nos EUA. Mais de 260 mil dispositivos estavam infectados naquele dia, incluindo cerca de 126 mil nos Estados Unidos. Os registros do banco de dados e as infecções ativas medem coisas diferentes; portanto, o número de 1,2 milhão não deve ser interpretado como a quantidade de dispositivos simultaneamente sob o controle dos operadores.

As principais datas mostram uma campanha e uma resposta das autoridades que se estenderam por vários anos:

• Agosto de 2022 e março de 2023: varreduras da Microscan precederam invasões bem-sucedidas em duas universidades taiwanesas, segundo a declaração juramentada do FBI.
• Setembro de 2024: autoridades dos EUA interromperam a botnet Mirai da Integrity Tech, formada por mais de 200 mil dispositivos de consumo.
• Janeiro de 2025: o Departamento do Tesouro dos EUA sancionou a Integrity Technology Group por seu envolvimento em invasões cibernéticas contra infraestruturas americanas.
• 2025 e 2026: o Reino Unido e a União Europeia, respectivamente, também sancionaram a empresa por atividades de ataques cibernéticos.
• 9 de setembro de 2026: os investigadores confirmaram que a Microscan continuava acessível por meio de c0cc[.]cc.
• 6 de outubro de 2026: um juiz magistrado federal autorizou a apreensão dos domínios.
• 8 de outubro de 2026: o Departamento de Justiça e o FBI anunciaram a operação e um alerta conjunto de cibersegurança.

A ação mais recente teve como alvo a infraestrutura de varredura, distribuição de malware e acesso remoto, em vez de anunciar uma nova operação para desativar uma grande botnet de dispositivos de consumo. As intervenções atingiram diferentes partes da operação alegada.

Alertas sobre infraestrutura crítica não comprovam interrupções

A inclusão de empresas de energia elétrica e gás natural, além de aeroportos, faz com que a campanha represente uma preocupação que vai além do roubo de dados. Chris Butera, diretor-executivo assistente interino de cibersegurança da CISA, alertou sobre o possível objetivo do acesso a sistemas críticos:

Agentes ligados ao governo chinês continuam se posicionando dentro de redes de infraestrutura crítica, inclusive em sistemas de tecnologia operacional (OT), com o objetivo de interromper funções essenciais no momento que escolherem no futuro.

Tecnologia operacional se refere a sistemas que monitoram ou controlam processos físicos, como equipamentos industriais. O acesso a esses sistemas pode envolver riscos diferentes dos associados ao acesso a e-mails comuns de escritório.

O alerta de Butera descreve uma ameaça, não uma conclusão de que a campanha tenha provocado um apagão, uma interrupção em aeroportos ou a interrupção do fornecimento de gás em Taiwan. As autoridades não informaram se houve invasões bem-sucedidas em todos os alvos de infraestrutura identificados, e o anúncio não comprova que os sistemas operacionais dessas organizações tenham sido comprometidos.

As evidências públicas são mais sólidas quanto à varredura, ao acesso não autorizado e ao roubo de informações. Separar essas constatações da possibilidade de futuras interrupções evita exagerar o que os investigadores demonstraram.

O que as equipes de defesa devem verificar após a apreensão

O alerta conjunto inclui domínios, endereços IP, hashes de malware e descrições de ferramentas para ajudar organizações a investigar possíveis invasões. Agências dos Estados Unidos, do Reino Unido, da Austrália, do Canadá, do Japão, da Nova Zelândia e da Espanha participaram da elaboração do alerta.

As medidas recomendadas incluem corrigir sistemas expostos à internet, exigir autenticação multifator para acesso a webmail e VPN, desativar serviços não utilizados e analisar os registros de aplicações web em busca de tentativas de varredura ou exploração. Os administradores também são orientados a monitorar softwares de acesso remoto não autorizados e replicações inesperadas do Active Directory, que podem indicar tentativas de copiar dados de identidade.

Alguns indicadores datam de 2016. Eles devem ser investigados no contexto, e não tratados automaticamente como evidência de um comprometimento atual. Associações históricas podem ajudar a reconstruir uma invasão, mas um indicador antigo, por si só, não comprova que um sistema esteja atualmente sob controle de invasores.

Wang Po-chi, professor associado de justiça criminal da Universidade Ming Chuan, alertou que sanções e interrupções técnicas talvez não impeçam os operadores de voltar:

Mesmo que essa empresa seja sancionada, ela pode montar outra operação e iniciar as mesmas atividades. Pode achar que tem pouco a temer porque a empresa talvez esteja sediada em um lugar, enquanto os servidores que lançam os ataques podem estar em outro.

Brett Lally, agente especial supervisor do escritório do FBI em San Diego, disse que a agência monitoraria se a empresa reconstruísse sua infraestrutura. Os escritórios do FBI em San Diego e Baltimore estão investigando o caso com a Divisão Cibernética do FBI, e a Agência Nacional de Polícia do Japão prestou assistência. Os promotores Brendan McKenna e Jacques Singer-Emery estão conduzindo o caso. Não foi anunciada uma data para a próxima audiência nem um prazo.

Principais pontos

• O FBI apreendeu sete domínios que davam suporte à Microscan, à FishHub e ao acesso remoto não autorizado associado à Integrity Technology Group.
• Cerca de 20 universidades taiwanesas foram confirmadas como vítimas de atividades da FishHub.
• A Microscan mirava empresas taiwanesas de energia, uma concessionária de energia da Carolina do Sul, aeroportos no Japão e na Polônia, universidades e uma organização não governamental multinacional.
• As autoridades não informaram se todos os alvos de infraestrutura citados foram efetivamente invadidos.
• As apreensões ocorreram após a interrupção de uma botnet em setembro de 2024 e a imposição de sanções pelos Estados Unidos, pelo Reino Unido e pela União Europeia.
• A apreensão de domínios interrompe a infraestrutura dos invasores, mas não remove malware ou credenciais roubadas que já estejam nas redes das vítimas.
• Nenhuma prisão, acusação criminal ou data para a próxima audiência foi anunciada junto com a operação.