ФБР отключило Microscan и FishHub: инструменты Flax Typhoon изъяты, а CISA требует закрыть пять уязвимостей десятилетней давности

8 октября 2026 года Минюст и ФБР США изъяли семь доменов, через которые работали Microscan и FishHub — инструменты китайской компании Integrity Technology Group, связанной с группировкой Flax Typhoon. Одновременно вышел совместный бюллетень AA26-281A, а CISA внесла в каталог KEV пять старых уязвимостей, которые эксплуатировала группа. Срок патча для федеральных ведомств — 11 октября.

Главный вывод для бизнеса: группировка входила в сети не через свежие zero-day, а через уязвимости 2015–2023 годов в ProFTPD, BIND, Apache Struts, ONLYOFFICE и Strapi, плюс подбор паролей к Exchange. Если такой софт до сих пор торчит наружу без обновлений, это задача для аудита информационной безопасности, а не для следующего квартала.

Второй урок касается процессов. Старые серверы чаще всего остаются без патчей там, где обновления ставятся вручную и никто не ведёт инвентаризацию. Регулярное обновление и контроль конфигураций лучше встроить в конвейер — этим занимается DevOps-практика.

Что изъяли ФБР и Минюст США

Ордер на изъятие выдал суд Западного округа Пенсильвании. По данным Минюста, Integrity Tech — компания из КНР с госконтрактами, которая разрабатывала инструменты, держала инфраструктуру и сама взламывала сети для своих клиентов. Изъяты домены:

• c0cc[.]cc — точка доступа к сканеру Microscan;
• 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net — доставка вредоносного ПО через FishHub;
• 98aiblog[.]com — инфраструктура SoftEther VPN для закрепления в сетях жертв.

Обратите внимание на маскировку: домены имитируют Outlook, YouTube и LinkedIn. В логах прокси и DNS такие обращения легко принять за обычный офисный трафик.

Как работали Microscan и FishHub

Microscan — сканер для разведки: он искал слабые места в сетях, которые затем эксплуатировали клиенты Integrity Tech. Сканирование шло через ботнет из заражённых IoT-устройств. Среди целей Минюст называет энергокомпанию из Южной Каролины, международную НКО, аэропорты Японии и Польши, тайваньские газовые и энергетические компании и два тайваньских университета.

FishHub отвечал за целевой фишинг и следующий этап атаки: подгружал в сеть жертвы вредоносное ПО, давал удалённый доступ, искал нужные файлы и выгружал их на серверы Integrity Tech. Подтверждённые жертвы FishHub — около 20 университетов Тайваня; по данным Help Net Security, платформа работала как минимум до марта 2026 года.

Бюллетень AA26-281A описывает и остальной набор инструментов: EBurst для подбора паролей к интерфейсам Exchange (OWA, EWS, ECP, OAB), PHP-скрипт и утилиту office-cli для выгрузки почты через EWS и Office 365, а также DCSync для кражи учётных данных из Active Directory. Это та же Integrity Tech, чей IoT-ботнет на базе Mirai с более чем 200 тыс. устройств ФБР разобрало в сентябре 2024 года.

Пять уязвимостей из каталога KEV: что патчить первым

CISA добавила в каталог эксплуатируемых уязвимостей пять записей с одним сроком — 11 октября 2026 года:

1. CVE-2015-3306 — ProFTPD, некорректный контроль доступа (модуль mod_copy).
2. CVE-2015-5477 — ISC BIND, ошибка обработки данных, приводящая к отказу DNS-сервера.
3. CVE-2016-3081 — Apache Struts, внедрение команд.
4. CVE-2021-3199 — ONLYOFFICE Docs, обход каталогов на сервере документов.
5. CVE-2023-22894 — Strapi, хранение чувствительных данных в открытом виде.

Всем уязвимостям от трёх до одиннадцати лет, патчи давно вышли. То, что их добавили в KEV только сейчас, говорит не о новизне угрозы, а о том, сколько необновлённых серверов до сих пор доступно из интернета.

Что сделать командам прямо сейчас

1. Инвентаризация внешнего периметра. Найдите все ProFTPD, BIND, Struts, ONLYOFFICE и Strapi, доступные снаружи, включая забытые тестовые стенды.
2. Обновление или изоляция. Если обновить быстро нельзя, уберите сервис из публичного доступа или закройте его VPN и списками разрешённых адресов.
3. Проверка Exchange. Ищите в логах всплески неудачных входов в OWA и EWS, включите MFA и блокировку при подборе паролей.
4. Поиск по индикаторам. Прогоните DNS- и прокси-логи по семи доменам выше и по IoC из бюллетеня AA26-281A. Ищите SoftEther VPN под именами conhost.exe и dllhost.exe.
5. Контроль Active Directory. Отслеживайте репликацию каталога (DCSync) с машин, которые не являются контроллерами домена.

Часто задаваемые вопросы

Касается ли это российских компаний? Среди названных жертв российских организаций нет. Но эксплуатируемые уязвимости универсальны: старый ProFTPD или Struts одинаково уязвим в любой стране.

Значит ли изъятие доменов, что группа остановлена? Нет. Изъятие ломает конкретную инфраструктуру, но инструменты и команда остаются. Группа может быстро перейти на новые домены.

Кто подписал бюллетень? Документ подготовило ФБР вместе с CISA и АНБ, а также профильными ведомствами Великобритании, Австралии, Канады, Японии, Новой Зеландии и Испании.

Источники

U.S. Department of Justice — Justice Department and FBI Seize Vulnerability Scanning and Spear Phishing Tools Operated and Used by China-State Sponsored Hackers, 8 октября 2026 года.

CISA — Known Exploited Vulnerabilities Catalog, записи от 8 октября 2026 года.

Help Net Security — FBI disrupts Flax Typhoon hacking tools used in global cyberattacks, 9 октября 2026 года.

BleepingComputer — FBI disrupts Chinese hacking tools used to breach critical infrastructure, октябрь 2026 года.