美国宣布瘫痪两款网络攻击工具。受国家支持的中国威胁实体曾利用这些工具攻击美国及外国的关键基础设施。此次行动针对的是 Integrity Technology Group（也称 Integrity Tech）开发的两款工具：MicroScan 和 FishHub。
用于不同功能的两款工具
MicroScan 被用于漏洞扫描和网络侦察，而 FishHub 则允许实施定向钓鱼攻击和远程网络入侵，随后在目标系统中搜索并提取特定文件。美国表示，Integrity Tech 使用 Mirai 恶意软件的一个变种构建物联网设备僵尸网络，以帮助运行 MicroScan 和实施侦察行动。
目标包括一家美国能源公司、非政府组织、位于日本和波兰的机场，以及台湾的关键基础设施实体和大学。此外，FishHub 还被用于攻击至少 20 所台湾大学。
瘫痪运营基础设施
美国接管了攻击者用于访问这两款工具的域名，其中包括 c0cc[.]cc、98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com 和 linkedinns[.]net。
此次行动发生在 2024 年瘫痪与 Integrity Tech 有关的 Raptor Train 网络之后。美国还于 2025 年以该公司向 Flax Typhoon 等持续活动的中国高级实体提供网络安全产品为由，对其实施制裁。欧盟也于 2026 年 3 月对该公司实施制裁。
工具范围及目标实体
美国、英国、澳大利亚、加拿大、日本、新西兰和西班牙机构联合发布的一份安全警告显示，MicroScan 至少自 2017 年起就一直活跃。其目标包括 Apache Struts、Juniper ScreenOS、Jenkins、OpenSSL、Oracle、Rejetto HFS、WebLogic Server 和 WordPress 等服务与产品。警告称，该工具是一款使用 Python 构建的 Web 应用，包含超过 1,300 个用于渗透测试和网站扫描、以查找特定漏洞的脚本。
MicroScan 尤其与 Flax Typhoon 的活动有关。Flax Typhoon 也被称为 Ethereal Panda、Red Juliett、Storm-0919 和 UNC5007。美国机构认为，Integrity Tech 还与其他中国组织开展了合作。
防御负责人需要关注什么？
这场行动表明，风险并不只与单一工具有关，而是存在一条攻击链：从自动化侦察开始，继而实施初始访问，并通过 BBScan、dirsearch、Fscan、ksubdomain、masscan、Nmap、OneForAll、ShuiZe 和 WPScan 等工具持续行动。攻击者还使用命令行利用工具、EBurst 工具对 Microsoft Exchange 进行密码喷洒，以及 SoftEther 等 VPN 工具来维持访问权限。
根据警告，攻击者从本地系统和云服务中收集了凭据和电子邮件，数据窃取行动波及东南亚的政府机构、执法机构、医疗系统和宗教组织。在某些情况下，被窃取数据的访问被限制为来自中国厦门的 IP 地址。这表明，瘫痪相关域名能够打击运营基础设施的重要部分，但仅凭此并不能证明攻击者已经失去重建工具或使用其他渠道的能力。