Ação do FBI
Na última quinta‑feira, agentes do Federal Bureau of Investigation anunciaram a apreensão de sete domínios que serviam de base para as operações do grupo de hackers Flax Typhoon, vinculado ao governo da China. As plataformas eram utilizadas para hospedar e distribuir duas ferramentas de ataque, MicroScan e FishHub, que já haviam sido detectadas em campanhas contra redes de energia, transporte e outras infraestruturas críticas em diversos continentes. A remoção dos domínios interrompeu a comunicação entre os invasores e os servidores de comando, reduzindo a capacidade de coordenar novos ataques.
Contexto
O grupo Flax Typhoon tem sido associado a campanhas de espionagem e sabotagem desde 2021, focando em alvos que sustentam serviços públicos e industriais. Segundo análises de segurança, a escolha de MicroScan e FishHub reflete uma estratégia de coleta de informações detalhadas sobre redes vulneráveis, seguida de exploração de credenciais e movimentação lateral. A decisão do FBI de agir agora segue um aumento nas investigações de atividades cibernéticas patrocinadas por Estados, impulsionada por relatos de incidentes que afetaram setores estratégicos em países como Estados Unidos, Europa e Ásia.
Impacto
Organizações que dependem de sistemas de controle industrial foram alertadas sobre a presença das ferramentas maliciosas em seus ambientes. Embora o FBI não tenha divulgado números precisos de vítimas, especialistas apontam que a interrupção dos domínios pode evitar comprometimentos adicionais em redes de energia, abastecimento de água e transporte ferroviário. Para as empresas, o risco permanece elevado, pois a infraestrutura de ataque ainda pode estar presente em outros servidores não identificados. A medida também reforça a necessidade de revisão de políticas de segurança e de monitoramento de tráfego de rede em busca de indicadores de comprometimento associados a MicroScan e FishHub.
Detalhes técnicos
A ferramenta MicroScan funciona como um scanner de vulnerabilidades que mapeia dispositivos conectados a redes industriais, identificando portas abertas e versões de firmware desatualizadas. Em seguida, o código pode ser usado para explorar falhas conhecidas ou para inserir backdoors. Já o FishHub atua como um hub de coleta de credenciais, interceptando tráfego autenticado e armazenando senhas em texto claro. Ambos os componentes são distribuídos por meio de scripts hospedados nos domínios apreendidos, que utilizam técnicas de ofuscação para evitar detecção por antivírus tradicionais. A ausência de CVEs públicas relacionadas indica que os invasores podem estar explorando vulnerabilidades de dia zero ou configurando ataques baseados em credenciais roubadas.
Encerramento
Até o momento, o FBI não revelou se outras infraestruturas relacionadas ao grupo foram desativadas ou se novas prisões foram efetuadas. Autoridades recomendam que organizações revisem logs de acesso, atualizem sistemas críticos e adotem autenticação multifator para reduzir a superfície de ataque. A cooperação internacional entre agências de segurança cibernética deve intensificar a troca de informações sobre ameaças patrocinadas por Estados, visando prevenir futuras incursões em setores essenciais. Fonte: BleepingComputer.