FBI apreende sete domínios ligados a ferramentas chinesas de pirataria informática que visavam universidades e redes energéticas de Taiwan

Sete domínios apreendidos; cerca de 20 universidades taiwanesas confirmadas como vítimas

O FBI e o Departamento de Justiça dos EUA anunciaram, a 8 de outubro de 2026, a apreensão de sete domínios de Internet que apoiavam ferramentas de pirataria informática operadas pela Integrity Technology Group, uma empresa chinesa de cibersegurança com contratos governamentais. Uma das ferramentas, Microscan, procurava vulnerabilidades em redes de empresas de energia taiwanesas, aeroportos no Japão e na Polónia e uma empresa de eletricidade da Carolina do Sul. Outra, FishHub, foi associada a intrusões confirmadas em cerca de 20 universidades taiwanesas.

A operação visou a infraestrutura por detrás da campanha de pirataria informática conhecida como Flax Typhoon. Segundo o anúncio de 8 de outubro do Departamento de Justiça, documentos judiciais tornados públicos no Distrito Ocidental da Pensilvânia alegam que a Integrity Technology Group desenvolveu e operou ferramentas que os seus clientes usaram para identificar redes vulneráveis, obter acesso não autorizado e roubar ficheiros.

O FBI afirmou que a operação tornou as ferramentas inoperacionais. Isso não significa que todas as redes comprometidas estejam agora seguras: a apreensão dos domínios interrompe a infraestrutura dos atacantes, mas não elimina automaticamente o malware, as credenciais roubadas ou o software de acesso remoto que já se encontrem nos sistemas das vítimas.

As provas também distinguem as redes analisadas das redes efetivamente invadidas. As autoridades identificaram empresas taiwanesas de gás natural e eletricidade, a empresa de serviços públicos da Carolina do Sul, aeroportos japoneses e polacos e uma organização não governamental multinacional como alvos do Microscan. Não revelaram se cada uma dessas organizações foi efetivamente comprometida.

No caso das universidades, as provas são mais específicas. Uma declaração sob juramento do FBI descreve invasões bem-sucedidas após análises do Microscan em duas universidades taiwanesas, em agosto de 2022 e março de 2023. Separadamente, o Departamento de Justiça identificou cerca de 20 universidades taiwanesas como vítimas confirmadas da atividade do FishHub. As instituições não foram identificadas publicamente e os dois grupos não podem simplesmente ser somados, uma vez que não foi revelado se há sobreposição entre eles.

O que a ação judicial efetivamente encerrou

Um juiz de instrução federal autorizou as apreensões a 6 de outubro, dois dias antes do anúncio público. O mandado ordenou aos registos de domínios que os bloqueassem, os redirecionassem para servidores controlados pelo FBI e apresentassem avisos de apreensão. Com isso, os operadores deixaram de poder usar os endereços que apoiavam a análise de redes, a distribuição de malware e o acesso continuado a redes comprometidas.

O anúncio da apreensão do Ministério Público do Distrito Ocidental da Pensilvânia especifica sete domínios. Um deles, c0cc[.]cc, dava acesso ao Microscan. Cinco ajudavam a distribuir malware FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com e linkedinns[.]net. O domínio restante, 98aiblog[.]com, estava associado ao software SoftEther, usado para manter o acesso remoto.

A declaração sob juramento que fundamentou a ação alega violações da Lei de Fraude e Abuso Informático, a legislação norte-americana que abrange o acesso não autorizado a computadores. Refere também que as compras ou renovações dos domínios foram pagas com dinheiro proveniente de fora dos Estados Unidos. Não foram anunciadas detenções nem acusações criminais juntamente com as apreensões. As alegações nos documentos judiciais não constituem uma declaração de culpa.

O Microscan transformou dispositivos infetados numa rede de reconhecimento

O Microscan era uma aplicação Web escrita em Python, uma linguagem de programação muito utilizada, que continha mais de 1300 scripts para testar vulnerabilidades de segurança. Esses scripts podem ser usados legitimamente em avaliações de segurança autorizadas. Neste caso, os investigadores alegam que foram utilizados para analisar os sistemas de outras organizações em busca de vulnerabilidades que os clientes da Integrity Tech pudessem explorar.

O software pesquisava sites e serviços que utilizavam produtos como OpenSSL, Oracle WebLogic Server, WordPress, Jenkins e Apache Struts. Os investigadores afirmaram que o Microscan continuava acessível através de c0cc[.]cc ainda a 9 de setembro de 2026 e que poderá ter sido utilizado já em 2017.

Algumas análises passavam por dispositivos de consumo infetados com uma variante do malware Mirai. Em conjunto, esses dispositivos formavam uma botnet, ou seja, um conjunto de máquinas comprometidas controladas por um operador. O encaminhamento do tráfego através de dispositivos de terceiros ajudava a ocultar a origem das análises e disponibilizava uma infraestrutura distribuída por muitos locais.

O alerta de cibersegurança associado identifica oito vulnerabilidades frequentemente visadas, com identificadores que remontam ao período entre 2014 e 2023. Incluem falhas no GNU Bash, Apache Struts, Pulse Secure VPN e GitLab. Algumas permitem a um atacante ler ficheiros sem autorização ou executar comandos num sistema vulnerável. Esta variedade mostra que a campanha não se limitava a falhas recentemente descobertas; software mais antigo e sem correções também oferecia oportunidades.

O FishHub permitia manter o acesso e roubar dados após a invasão inicial

O FishHub tinha uma função diferente da do Microscan. As autoridades alegam que apoiava ataques de spear phishing, isto é, mensagens enganosas dirigidas a destinatários específicos, e que descarregava malware adicional após o comprometimento inicial de uma rede. Esse malware podia dar aos clientes da Integrity Tech acesso remoto ou procurar ficheiros específicos e transmiti-los para servidores controlados pela empresa.

O processo de roubo de ficheiros alegado incluía listar documentos, procurar materiais específicos, comprimir ficheiros e enviá-los para fora da rede da vítima. Assim, o FishHub era mais do que um mecanismo de distribuição: apoiava a recolha e a remoção de informações depois de os atacantes conseguirem entrar.

A declaração sob juramento do FBI descreve dados e ficheiros de mais de 20 organizações num servidor associado ao FishHub, incluindo seis universidades taiwanesas. Esta constatação é mais limitada do que a contagem de cerca de 20 universidades taiwanesas vítimas indicada pelo Departamento de Justiça. As seis universidades correspondem a provas encontradas num servidor, enquanto o número mais elevado diz respeito à atividade confirmada do FishHub. Nenhuma das contagens estabelece o total de organizações afetadas em todo o mundo.

As redes universitárias podem conter dados de investigação, registos administrativos e correspondência, mas as autoridades não revelaram que categorias de informação foram retiradas das instituições taiwanesas. O relato público também não quantifica os dados roubados nem identifica as pessoas cujas informações poderão ter sido afetadas.

Software legítimo ajudou os atacantes a permanecer nas redes

O alerta conjunto do FBI, da Agência de Cibersegurança e Segurança das Infraestruturas (CISA), da Agência de Segurança Nacional e de parceiros internacionais descreve várias formas usadas pelos atacantes para obter credenciais e manter o acesso. Entre elas estavam ataques de cross-site scripting, que podem explorar um site vulnerável para recolher informações dos utilizadores, e tentativas de acesso por password spraying contra sistemas Microsoft Exchange. O password spraying consiste em testar um pequeno conjunto de palavras-passe comuns em muitas contas, em vez de tentar repetidamente adivinhar a palavra-passe de uma única conta.

Os investigadores descreveram também a instalação do software VPN SoftEther em sistemas comprometidos para manter o acesso, por vezes disfarçado de ficheiros legítimos do Windows. Uma VPN cria uma ligação de rede que pode ser utilizada para o trabalho remoto habitual. Quando instalada sem autorização, pode dar a um atacante uma via de acesso persistente aos sistemas de uma organização.

Foram utilizadas outras ferramentas para recolher credenciais do Active Directory e extrair correio eletrónico de contas Exchange e Microsoft 365. O Active Directory gere as identidades e os acessos dos utilizadores em muitas organizações, pelo que credenciais roubadas podem permitir acesso para além do primeiro computador comprometido. Os investigadores encontraram também uma aplicação Web personalizada que permitia a terceiros consultar mensagens de correio eletrónico roubadas sem aceder diretamente às contas afetadas.

Chen Yun-nung, professor de informática na Universidade Nacional de Taiwan, explicou por que razão pode ser difícil detetar atividade maliciosa que recorre a software existente:

O programa malicioso esconde-se em software de gestão existente e utiliza software legítimo para fins maliciosos. Por exemplo, pode descarregar e exportar os seus dados, o que dificulta a deteção, porque não se veem programas adicionais em execução, apenas os programas originais que já lá estavam.

Esta distinção é importante para a remoção da ameaça. Procurar apenas programas desconhecidos pode não detetar a utilização não autorizada de software em que os administradores normalmente confiam.

Uma empresa por detrás da campanha, não apenas hackers individuais

As autoridades norte-americanas descrevem a Integrity Technology Group como uma empresa que apoia operações cibernéticas ligadas ao Governo chinês. A empresa tem sede em Pequim e contratos com o Governo chinês. O FBI considera-a responsável pela atividade conhecida no setor privado como Flax Typhoon.

Brett Leatherman, diretor-adjunto da Divisão Cibernética do FBI, descreveu o papel da empresa no anúncio do Departamento de Justiça:

A República Popular da China recorre a empresas contratadas e de apoio para ampliar o alcance e a dimensão da sua atividade cibernética maliciosa. Ao expor e desarticular estas estruturas de apoio, dificultamos a ação da República Popular da China contra redes e infraestruturas norte-americanas.

O alerta descreve atividade coincidente com operações acompanhadas sob as designações Flax Typhoon, Ethereal Panda e Red Juliett. Adverte que nem toda a atividade coincidente pode ser necessariamente atribuída à Integrity Tech. Por isso, essas designações de campanhas não devem ser consideradas prova de que todas as intrusões associadas foram realizadas pela mesma empresa.

Jason Bilnoski, diretor-adjunto adjunto da Divisão Cibernética do FBI, descreveu em termos diretos a estratégia de aplicação da lei:

O nosso objetivo é retirar capacidade aos atores da ameaça. Visamos a sua infraestrutura, o seu dinheiro e as suas ferramentas.

Bilnoski classificou a operação de pirataria informática como «indiscriminada e irresponsável». O alerta mais abrangente das agências descreve alvos nos setores governamental, da indústria transformadora, da saúde, das tecnologias da informação, da aplicação da lei, da educação e das organizações religiosas, com atividade no Sudeste Asiático, em África e na América do Norte.

Como a apreensão mais recente dá seguimento a ações anteriores

A operação de outubro é a segunda ação técnica de perturbação da infraestrutura de pirataria informática da Integrity Tech tornada pública pelo Departamento de Justiça. A primeira, em setembro de 2024, visou uma botnet Mirai com mais de 200 000 dispositivos de consumo em todo o mundo, incluindo câmaras, gravadores de vídeo e routers domésticos e de escritório.

Os registos da investigação oferecem um retrato mais detalhado a 5 de junho de 2024. Uma base de dados continha mais de 1,2 milhões de registos de dispositivos infetados, incluindo mais de 385 000 dispositivos de vítimas únicas nos EUA. Nessa data, mais de 260 000 dispositivos estavam ativamente infetados, incluindo cerca de 126 000 nos Estados Unidos. Os registos da base de dados e as infeções ativas medem coisas diferentes, pelo que o número de 1,2 milhões não deve ser interpretado como a quantidade de dispositivos simultaneamente sob o controlo dos operadores.

As principais datas mostram uma campanha e uma resposta das autoridades que se prolongaram por vários anos:

• Agosto de 2022 e março de 2023: as análises do Microscan antecederam invasões bem-sucedidas em duas universidades taiwanesas, segundo a declaração sob juramento do FBI.
• Setembro de 2024: as autoridades norte-americanas desarticularam a botnet Mirai da Integrity Tech, composta por mais de 200 000 dispositivos de consumo.
• Janeiro de 2025: o Departamento do Tesouro dos EUA sancionou a Integrity Technology Group pelo seu envolvimento em intrusões cibernéticas dirigidas contra infraestruturas norte-americanas.
• 2025 e 2026: o Reino Unido e a União Europeia, respetivamente, também sancionaram a empresa devido à sua atividade de ciberataque.
• 9 de setembro de 2026: os investigadores confirmaram que o Microscan continuava acessível através de c0cc[.]cc.
• 6 de outubro de 2026: um juiz de instrução federal autorizou a apreensão dos domínios.
• 8 de outubro de 2026: o Departamento de Justiça e o FBI anunciaram a operação e um alerta conjunto de cibersegurança.

A ação mais recente visou a infraestrutura de análise de redes, distribuição de malware e acesso remoto, em vez de anunciar a remoção de outra grande botnet de dispositivos de consumo. As intervenções atingiram diferentes partes da operação alegada.

Alertas sobre infraestruturas críticas não comprovam interrupções

A inclusão de empresas de eletricidade, empresas de gás natural e aeroportos faz com que a campanha seja motivo de preocupação para além do roubo de dados. Chris Butera, diretor-executivo adjunto interino para a cibersegurança da CISA, alertou para a possível finalidade do acesso a sistemas críticos:

Atores ligados ao Governo chinês continuam a posicionar-se em redes de infraestruturas críticas, incluindo sistemas de tecnologia operacional (OT), com o objetivo de interromper funções críticas num momento futuro à sua escolha.

A tecnologia operacional refere-se a sistemas que monitorizam ou controlam processos físicos, como equipamento industrial. O acesso a esses sistemas pode acarretar riscos diferentes dos associados ao acesso ao correio eletrónico de escritório habitual.

O alerta de Butera descreve uma ameaça, não uma conclusão de que esta campanha tenha provocado um corte de eletricidade, perturbações num aeroporto ou uma interrupção do abastecimento de gás em Taiwan. As autoridades não revelaram se houve invasões bem-sucedidas em todos os alvos de infraestruturas identificados, e o anúncio não demonstra que os sistemas operacionais dessas organizações tenham sido comprometidos.

As provas públicas são mais sólidas no que respeita à análise de redes, ao acesso não autorizado e ao roubo de informações. Distinguir essas constatações da possibilidade de futuras perturbações evita exagerar o que os investigadores demonstraram.

O que as equipas de defesa devem verificar após a apreensão

O alerta conjunto inclui domínios, endereços IP, hashes de malware e descrições de ferramentas para ajudar as organizações a investigar possíveis intrusões. Agências dos Estados Unidos, do Reino Unido, da Austrália, do Canadá, do Japão, da Nova Zelândia e de Espanha participaram na elaboração do alerta.

As medidas recomendadas incluem aplicar correções aos sistemas expostos à Internet, exigir autenticação multifator para o correio eletrónico Web e o acesso por VPN, desativar serviços não utilizados e analisar os registos das aplicações Web em busca de tentativas de análise ou exploração. Recomenda-se também que os administradores monitorizem software de acesso remoto não autorizado e replicações inesperadas do Active Directory, que podem indicar tentativas de copiar dados de identidade.

Alguns indicadores remontam a 2016. Devem ser investigados no seu contexto, em vez de serem automaticamente tratados como prova de um comprometimento atual. Associações históricas podem ajudar a reconstituir uma intrusão, mas um indicador antigo, por si só, não demonstra que um sistema esteja atualmente sob o controlo de atacantes.

Wang Po-chi, professor associado de justiça criminal na Universidade Ming Chuan, alertou que as sanções e a perturbação técnica poderão não impedir os operadores de regressar:

Mesmo que esta empresa seja sancionada, poderá criar outra operação e retomar as mesmas atividades. Poderá considerar que tem pouco a temer por estar sediada num local, enquanto os servidores usados para lançar os ataques podem estar noutro.

Brett Lally, agente especial supervisor do FBI em San Diego, afirmou que a agência irá acompanhar se a empresa reconstrói a sua infraestrutura. Os gabinetes do FBI em San Diego e Baltimore estão a investigar com a Divisão Cibernética do FBI, com o apoio da Agência Nacional de Polícia do Japão. Os procuradores Brendan McKenna e Jacques Singer-Emery estão a tratar do caso. Não foi anunciada uma data para a próxima audiência nem qualquer prazo.

Principais pontos

• O FBI apreendeu sete domínios que apoiavam o Microscan, o FishHub e o acesso remoto não autorizado associado à Integrity Technology Group.
• Cerca de 20 universidades taiwanesas foram confirmadas como vítimas da atividade do FishHub.
• O Microscan visou empresas de energia taiwanesas, uma empresa de eletricidade da Carolina do Sul, aeroportos no Japão e na Polónia, universidades e uma organização não governamental multinacional.
• As autoridades não revelaram se todos os alvos de infraestruturas identificados foram efetivamente invadidos.
• As apreensões sucedem à desarticulação de uma botnet em setembro de 2024 e às sanções impostas pelos Estados Unidos, pelo Reino Unido e pela União Europeia.
• A apreensão de domínios interrompe a infraestrutura dos atacantes, mas não remove o malware nem as credenciais roubadas que já se encontrem nas redes das vítimas.
• Não foram anunciadas detenções, acusações criminais ou uma data para a próxima audiência no âmbito da operação.