Flax Typhoon Integrity Tech: Domain-Beschlagnahme

Der Fall Flax Typhoon Integrity Tech ist am 8. Oktober in eine neue Phase gekommen: Das FBI beschlagnahmte sieben Domains hinter zwei Hacking-Tools, MicroScan und FishHub. Laut US-Justizministerium betrieb sie ein chinesisches Unternehmen mit Regierungsaufträgen, die Integrity Technology Group. Das gemeinsame Advisory gibt Verteidigern eine kurze Liste vor: Passwort-Spraying gegen Microsoft Exchange, Persistenz über VPN-Software und alte Software, die noch exponiert ist.

Was ist passiert

Die Beschlagnahmungen im Fall Flax Typhoon Integrity Tech wurden gerichtlich genehmigt und am 8. Oktober 2026 bekannt gegeben. Laut Justizministerium baute Integrity Tech ein Botnetz aus Geräten, die mit einer Mirai-Variante infiziert waren, und nutzte MicroScan, einen Schwachstellenscanner, um Opfernetze auf Schwächen abzuklopfen, die ihre Kunden später ausnutzen konnten. Zu den Scan-Zielen in den Gerichtsunterlagen zählen ein Energieversorger in South Carolina, Flughäfen in Japan und Polen, taiwanische Energieunternehmen und zwei taiwanische Universitäten, beide kurz darauf kompromittiert. Ob die übrigen Ziele kompromittiert wurden, sagte das FBI nicht.

Das zweite Tool, FishHub, lieferte Spear-Phishing-Nutzlasten aus und lud danach weitere Malware ins Opfernetz, die Fernzugriff verschaffte oder ausgewählte Dateien an Server von Integrity Tech schickte. Laut Justizministerium sind rund 20 taiwanische Universitäten bestätigte Opfer; die eidesstattliche Erklärung vor Gericht nennt Dateien von mehr als 20 Einrichtungen auf einem FishHub-Server, darunter sechs taiwanische Universitäten. Fünf der beschlagnahmten Domains lieferten die Malware aus, darunter Lookalikes von Microsoft, LinkedIn und YouTube (outlook3650[.]com, linkedinns[.]net, youtubecard[.]com). Eine siebte, 98aiblog[.]com, hing an SoftEther-VPN-Software, die auf Opfersystemen für dauerhaften Zugang zurückblieb. Es ist die zweite Zerschlagungsaktion des Justizministeriums gegen Integrity Tech, nach der Abschaltung eines Botnetzes mit mehr als 200.000 Geräten im Jahr 2024.

Das Advisory (AA26-281A), gemeinsam mit Behörden aus Großbritannien, Australien, Kanada, Japan, Neuseeland und Spanien veröffentlicht, beschreibt Scan-Tools, Cross-Site-Scripting und Passwort-Spraying auf Exchange-Servern, VPN-Software für Persistenz und Skripte, die E-Mails und Zugangsdaten abziehen. Laut BleepingComputer nutzte das Spraying das Open-Source-Tool EBurst, und acht Schwachstellen wurden besonders häufig angegriffen: CVE-2015-3306 (ProFTPD), CVE-2015-5477 (BIND), CVE-2016-3081 (Struts), CVE-2021-3199 (ONLYOFFICE), CVE-2023-22894 (Strapi), CVE-2014-6278 (Shellshock), CVE-2019-11510 (Pulse Secure) und CVE-2021-22205 (GitLab). The Hacker News berichtet, die CISA habe die ersten fünf am 8. Oktober mit Frist 11. Oktober in ihren KEV-Katalog aufgenommen; die übrigen drei standen bereits darin. Wir haben das Advisory über diese Berichterstattung gelesen; die vollständige Indikatorenliste steht im Advisory selbst.

Warum das wichtig ist

Einen Zero-Day gibt es hier nicht. Die jüngste CVE stammt aus 2023, und der Exchange-Zugriff läuft über erratene Passwörter, nicht über eine Exchange-Lücke. Ein von einem Auftragnehmer betriebener Scanner findet, was seit Jahren exponiert geblieben ist, und die Kunden wählen ihre Ziele aus dem Ergebnis. Das Advisory nennt Behörden, kritische Fertigung, Gesundheitswesen, IT und Bildung unter den Branchen, mit Opfern in Nordamerika, Südostasien und Afrika. In der von uns gelesenen Berichterstattung werden keine europäischen Opfer genannt.

Einschätzung: Ein Mittelständler mit On-Premises-Exchange, einer älteren VPN-Appliance und einem vergessenen Dateitransfer- oder Entwicklerserver entspricht dem Profil. Belege für deutsche Opfer haben wir nicht. Unser Beitrag zu Exchange CVE-2026-62911 zeigte, wie viele On-Premises-Exchange-Server in Deutschland noch am Internet hängen, und unser Beitrag zum Azure-CLI-Passwort-Spray behandelte dieselbe Technik gegen Cloud-Anmeldungen. Eine Beschlagnahmung nimmt Domains vom Netz, nicht die Werkzeuge.

Was Sie jetzt tun sollten

1. Nehmen Sie die Indikatoren aus AA26-281A und durchsuchen Sie DNS-, Proxy-, Mail- und Firewall-Logs nach den sieben beschlagnahmten Domains und den Lookalikes. FishHub lief noch im März 2026, schauen Sie also mindestens so weit zurück.
2. Prüfen Sie Exchange- und Verzeichnis-Anmeldelogs auf Passwort-Spraying: viele Konten, wenige Versuche je Konto. Erzwingen Sie MFA für jeden Mailzugang und deaktivieren Sie Legacy-Authentifizierung, wo sie nicht gebraucht wird.
3. Inventarisieren Sie internetexponierte Dienste aus der Liste der acht CVEs und patchen oder entfernen Sie alles, was noch verwundbar ist.
4. Suchen Sie auf Endgeräten und Servern nach unerwarteter SoftEther-VPN-Software und nach VPN-Sitzungen zu unbekannten Servern.
5. Werten Sie einen Domain-Treffer allein als Hinweis, nicht als Beweis. Eskalieren Sie an die Incident Response, wenn Sie echten Zugriff oder ausgehende Übertragungen finden.

DIESEC Einschätzung

Die Verteidigung ist unspektakulär: ein genaues Inventar dessen, was am Internet hängt, MFA auf Mail und Log-Aufbewahrung, die bis in den März zurückreicht. Wer nicht sagen kann, was ein externer Scanner letzte Woche von ihm gesehen hat, beginnt mit genau diesem Inventar.

Nicht sicher, welche Ihrer internetexponierten Dienste bei einem solchen Scan auffallen würden? Kontaktieren Sie DIESEC für eine schnelle Prüfung der externen Angriffsfläche und der Exchange-Anmeldelogs.

Quellen: U.S. Department of Justice | BleepingComputer | Help Net Security | The Register
Veröffentlicht: 2026-10-12 | Kategorie: Tägliche News | ~4 Min. Lesezeit