El FBI y el Departamento de Justicia de EE. UU. han incautado siete dominios vinculados a Microscan y FishHub, herramientas de hacking presuntamente operadas por el grupo chino Integrity Technology Group. Esta acción legal, anunciada el 8 de octubre de 2026, tiene como objetivo bloquear el acceso a sistemas utilizados para el escaneo de infraestructuras críticas, el apoyo a campañas de spear phishing y el robo de archivos en redes comprometidas.

El FBI y el Departamento de Justicia de EE. UU. han incautado siete dominios vinculados a Microscan y FishHub, dos herramientas de hacking presuntamente operadas por Integrity Technology Group, con sede en China. Anunciada el 8 de octubre de 2026, esta acción autorizada por el tribunal tiene como objetivo cortar el acceso a sistemas utilizados para escanear infraestructuras críticas, apoyar el spear phishing y robar archivos de redes comprometidas.

Documentos judiciales desclasificados en el Distrito Oeste de Pensilvania vinculan la actividad con Flax Typhoon, un grupo de hacking rastreado por investigadores de seguridad. Las autoridades afirman que Integrity Technology Group posee contratos con el gobierno chino y suministraba herramientas que ayudaban a sus clientes a encontrar sistemas débiles y obtener acceso no autorizado. La operación se centra en la infraestructura de soporte en lugar de establecer que cada red afectada sea ahora segura.

Dispositivos comprometidos convertidos en infraestructura de escaneo

Según el anuncio del Departamento de Justicia, Integrity Tech construyó una botnet de dispositivos conectados a internet infectados con una variante del malware Mirai. La empresa utilizó esta red, junto con otra infraestructura, para ejecutar Microscan contra objetivos potenciales e identificar debilidades que sus clientes pudieran explotar posteriormente.

Es importante que tengas en cuenta que un escaneo puede encontrar posibles puntos de entrada a una red, pero no prueba que la red haya sido vulnerada. Algunos de los objetivos de estos escaneos incluyeron una compañía eléctrica en Carolina del Sur, aeropuertos en Japón y Polonia, compañías de gas natural y electricidad en Taiwán, una ONG multinacional y dos universidades en Taiwán.

El aviso conjunto de ciberseguridad describe MicroScan como una aplicación web basada en Python que contiene más de 1.300 scripts de pruebas de penetración. Estos scripts revisaban sitios web y servicios en busca de vulnerabilidades específicas, incluidas debilidades que afectan a Oracle WebLogic Server, WordPress, Jenkins, Apache Struts, OpenSSL y Juniper ScreenOS. Los investigadores rastrearon su uso hasta al menos 2017.

El panel de control reproducido en el aviso muestra los totales de vulnerabilidades, el estado del escaneo y la clasificación de los plugins. Ilustra cómo los operadores podían gestionar un gran número de hallazgos a través de una interfaz central. El dominio incautado c0cc[.]cc proporcionaba acceso a Microscan, convirtiéndolo en un objetivo directo para interrumpir ese flujo de trabajo de escaneo.

FishHub apoyó ataques de spear phishing

FishHub tenía un propósito diferente. Los fiscales alegan que la herramienta apoyaba el spear phishing y luego descargaba malware adicional después de que los atacantes lograran un punto de apoyo inicial. Ese malware podía dar a los clientes de Integrity Tech acceso remoto a la red o localizar archivos específicos y transferirlos a servidores controlados por la empresa.

Entre las víctimas confirmadas de FishHub se encuentran aproximadamente 20 universidades taiwanesas. Esto es independiente de las dos universidades taiwanesas nombradas entre los objetivos de escaneo de Microscan; el anuncio no establece si esos grupos coinciden. Mantener esas cifras separadas evita que confundas los sistemas revisados en busca de debilidades con las redes confirmadas como víctimas de la actividad de FishHub.

Cinco dominios incautados apoyaban la entrega de malware: 98aicai[.]com, 98aicode[.]com, linkedinns[.]net, outlook3650[.]com y youtubecard[.]com.

Un séptimo dominio, 98aiblog[.]com, estaba vinculado al software SoftEther VPN utilizado para mantener el acceso remoto no autorizado. Junto con c0cc[.]cc, estos dominios cubrían el acceso al escaneo, la entrega de malware y las conexiones persistentes a sistemas comprometidos.

Las últimas incautaciones siguen a la interrupción autorizada por el tribunal en septiembre de 2024 de una botnet de Integrity Tech que contenía más de 200.000 dispositivos de consumo en todo el mundo. Esa red anterior incluía routers, cámaras IP, grabadores de vídeo digitales y dispositivos de almacenamiento conectado a la red (NAS). Los atacantes utilizaban esos dispositivos comprometidos para disfrazar la actividad maliciosa como tráfico ordinario de internet.

Se informó previamente sobre la explotación de 66 vulnerabilidades por parte de la botnet de Flax Typhoon, proporcionando antecedentes sobre el uso que el grupo hace de las debilidades en routers, dispositivos conectados y aplicaciones web. La nueva acción se centra en la infraestructura que soporta las herramientas de escaneo e intrusión, demostrando por qué interrumpir una botnet no pone necesariamente fin a la operación de hacking más amplia.

“Al exponer e interrumpir estos facilitadores, hacemos que sea más difícil para la RPC atacar las redes e infraestructuras estadounidenses”, afirmó Brett Leatherman, subdirector de la División Cibernética del FBI.

Sus comentarios resaltan el papel de los contratistas que proporcionan las herramientas y sistemas detrás de estos ataques. Las incautaciones pretenden limitar esos servicios mientras proporcionan a los defensores pruebas para investigar posibles brechas dentro de sus propias redes.

El nuevo aviso liderado por el FBI proporciona indicadores de compromiso y detalles de los métodos de intrusión relacionados. Más allá de Microscan, los investigadores observaron password spraying contra interfaces de Microsoft Exchange, persistencia basada en VPN y robo automatizado de correos electrónicos. Estos hallazgos describen la actividad más amplia permitida por Integrity Tech y no deben tratarse todos como características confirmadas de FishHub.

Como defensor, debes comparar los registros históricos de DNS, proxy, firewall y endpoints con los indicadores publicados, y luego investigar la actividad coincidente en su contexto.

Las agencias recomiendan parchear los sistemas expuestos, desactivar los servicios no utilizados, requerir la autenticación multifactor y revisar las aplicaciones en la nube con acceso a datos sensibles. También instan a monitorear instalaciones de VPN inesperadas, actividad inusual de cuentas y transferencias salientes voluminosas.

Si encuentras señales de compromiso en tu organización, debes aislar los hosts afectados, preservar los registros relevantes e investigar la intrusión completa antes de eliminar el acceso del atacante. Las incautaciones de dominios pueden interrumpir conexiones clave, pero aún necesitas identificar las credenciales robadas, el malware remanente y otras rutas de acceso dentro de tus redes.

Fuentes:
https://cybersecuritynews.com/fbi-seized-chinese-hacking-tools/