FBI tịch thu bảy tên miền đứng sau các công cụ tin tặc Trung Quốc nhắm vào các trường đại học và mạng lưới năng lượng ở Đài Loan

Tịch thu bảy tên miền, xác nhận khoảng 20 trường đại học Đài Loan là nạn nhân

Ngày 8 tháng 10 năm 2026, FBI và Bộ Tư pháp Mỹ thông báo đã tịch thu bảy tên miền internet hỗ trợ các công cụ tin tặc do Integrity Technology Group, một công ty an ninh mạng Trung Quốc có hợp đồng với chính phủ, vận hành. Một công cụ, Microscan, tìm kiếm điểm yếu trong mạng lưới của các công ty năng lượng Đài Loan, sân bay ở Nhật Bản và Ba Lan, cùng một công ty điện lực ở Nam Carolina. Công cụ khác, FishHub, có liên quan đến các vụ xâm nhập được xác nhận tại khoảng 20 trường đại học Đài Loan.

Chiến dịch nhắm vào hạ tầng đứng sau hoạt động tin tặc được biết đến với tên Flax Typhoon. Theo thông báo ngày 8 tháng 10 của Bộ Tư pháp, các tài liệu tòa án được công khai tại Địa hạt Tây Pennsylvania cáo buộc Integrity Technology Group phát triển và vận hành những công cụ mà khách hàng sử dụng để xác định mạng lưới dễ bị tấn công, truy cập trái phép và đánh cắp tệp.

FBI cho biết chiến dịch khiến các công cụ này không thể hoạt động. Điều đó không có nghĩa mọi mạng lưới bị xâm phạm hiện đã an toàn: tịch thu tên miền làm gián đoạn hạ tầng của kẻ tấn công nhưng không tự động loại bỏ mã độc, thông tin đăng nhập bị đánh cắp hay phần mềm truy cập từ xa đã có sẵn trong hệ thống của nạn nhân.

Bằng chứng cũng phân biệt giữa các mạng bị quét và các mạng thực sự bị xâm nhập. Giới chức xác định các công ty khí đốt tự nhiên và điện lực Đài Loan, công ty điện lực ở Nam Carolina, các sân bay Nhật Bản và Ba Lan, cùng một tổ chức phi chính phủ đa quốc gia là mục tiêu của Microscan. Họ không tiết lộ liệu từng tổ chức này có bị xâm phạm thành công hay không.

Với các trường đại học, bằng chứng cụ thể hơn. Bản khai có tuyên thệ của FBI mô tả các vụ xâm nhập thành công sau khi Microscan quét hai trường đại học Đài Loan vào tháng 8 năm 2022 và tháng 3 năm 2023. Riêng Bộ Tư pháp xác định khoảng 20 trường đại học Đài Loan là nạn nhân đã được xác nhận trong hoạt động của FishHub. Tên các trường chưa được công khai; không thể cộng hai nhóm này với nhau vì chưa rõ chúng có trùng lặp hay không.

Chiến dịch của tòa án thực sự đã vô hiệu hóa điều gì

Một thẩm phán sơ thẩm liên bang cho phép tịch thu các tên miền vào ngày 6 tháng 10, hai ngày trước khi thông báo được công bố. Lệnh yêu cầu các đơn vị quản lý tên miền khóa những tên miền này, chuyển hướng chúng đến máy chủ do FBI kiểm soát và hiển thị thông báo tịch thu. Điều này khiến các đối tượng vận hành không thể sử dụng những địa chỉ hỗ trợ việc quét, phát tán mã độc và duy trì quyền truy cập vào các mạng đã bị xâm phạm.

Thông báo tịch thu của Văn phòng Công tố Mỹ tại Địa hạt Tây Pennsylvania nêu cụ thể bảy tên miền. Một tên miền, c0cc[.]cc, cung cấp quyền truy cập vào Microscan. Năm tên miền hỗ trợ phát tán mã độc FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com và linkedinns[.]net. Tên miền còn lại, 98aiblog[.]com, có liên quan đến phần mềm SoftEther dùng để duy trì quyền truy cập từ xa.

Bản khai hỗ trợ lệnh tịch thu cáo buộc các hành vi vi phạm Đạo luật Lạm dụng và Gian lận Máy tính, luật Mỹ điều chỉnh việc truy cập máy tính trái phép. Bản khai cũng cho biết tiền dùng để mua hoặc gia hạn các tên miền có nguồn gốc bên ngoài nước Mỹ. Không có vụ bắt giữ hay cáo buộc hình sự nào được công bố cùng với việc tịch thu. Những cáo buộc trong tài liệu tòa án chưa phải là kết luận có tội.

Microscan biến thiết bị nhiễm mã độc thành mạng lưới do thám

Microscan là ứng dụng web viết bằng Python, một ngôn ngữ lập trình được sử dụng rộng rãi, chứa hơn 1.300 tập lệnh kiểm tra các lỗ hổng bảo mật. Những tập lệnh như vậy có thể được dùng hợp pháp trong các hoạt động đánh giá bảo mật được cho phép. Trong vụ việc này, các nhà điều tra cáo buộc chúng được dùng để kiểm tra hệ thống của tổ chức khác, tìm điểm yếu để khách hàng của Integrity Tech khai thác.

Phần mềm quét các trang web và dịch vụ chạy những sản phẩm như OpenSSL, Oracle WebLogic Server, WordPress, Jenkins và Apache Struts. Các nhà điều tra cho biết Microscan vẫn có thể truy cập qua c0cc[.]cc vào thời điểm sớm nhất là ngày 9 tháng 9 năm 2026 và có thể đã được sử dụng từ năm 2017.

Một số lượt quét được chuyển qua các thiết bị tiêu dùng nhiễm một biến thể mã độc Mirai. Kết hợp lại, những thiết bị này tạo thành một mạng botnet, tức tập hợp các máy bị xâm phạm và do một đối tượng điều khiển. Việc định tuyến lưu lượng qua thiết bị của người khác giúp che giấu nguồn gốc hoạt động quét và cung cấp hạ tầng trải rộng ở nhiều địa điểm.

Bản khuyến cáo an ninh mạng đi kèm xác định tám lỗ hổng thường bị nhắm đến, có mã định danh từ năm 2014 đến năm 2023. Trong số đó có các điểm yếu trong GNU Bash, Apache Struts, Pulse Secure VPN và GitLab. Một số lỗ hổng cho phép kẻ tấn công đọc tệp trái phép hoặc chạy lệnh trên hệ thống dễ bị tấn công. Khoảng thời gian này cho thấy chiến dịch không chỉ nhắm vào các lỗ hổng mới được phát hiện; phần mềm cũ chưa được vá cũng tạo cơ hội cho tin tặc.

FishHub hỗ trợ truy cập và đánh cắp dữ liệu sau vụ xâm nhập ban đầu

FishHub có mục đích khác với Microscan. Giới chức cáo buộc công cụ này hỗ trợ lừa đảo có chủ đích, tức gửi thông điệp giả mạo nhắm vào những người nhận cụ thể, và tải thêm mã độc sau khi mạng lưới ban đầu bị xâm phạm. Mã độc đó có thể giúp khách hàng của Integrity Tech truy cập từ xa hoặc tìm kiếm một số tệp nhất định rồi gửi chúng đến máy chủ do công ty kiểm soát.

Quy trình đánh cắp tệp bị cáo buộc bao gồm liệt kê tài liệu, tìm kiếm nội dung được chỉ định, nén tệp và gửi chúng ra khỏi mạng lưới của nạn nhân. Vì vậy, FishHub không chỉ là công cụ phát tán: nó còn hỗ trợ thu thập và lấy dữ liệu sau khi kẻ tấn công xâm nhập được hệ thống.

Bản khai có tuyên thệ của FBI mô tả dữ liệu và tệp thuộc về hơn 20 tổ chức trên một máy chủ có liên quan đến FishHub, trong đó có sáu trường đại học Đài Loan. Phát hiện này hẹp hơn con số khoảng 20 trường đại học Đài Loan mà Bộ Tư pháp nêu. Sáu trường đại học là những trường có dữ liệu được tìm thấy trên một máy chủ, còn con số lớn hơn phản ánh hoạt động FishHub đã được xác nhận. Không con số nào cho biết tổng số tổ chức bị ảnh hưởng trên toàn thế giới.

Mạng lưới đại học có thể chứa dữ liệu nghiên cứu, hồ sơ hành chính và thư từ, nhưng giới chức chưa tiết lộ những loại thông tin nào đã bị lấy từ các trường Đài Loan. Thông tin công khai cũng không định lượng lượng dữ liệu bị đánh cắp hoặc xác định những cá nhân có thể bị ảnh hưởng.

Phần mềm hợp pháp giúp tin tặc duy trì quyền truy cập trong mạng lưới

Bản khuyến cáo chung của FBI, Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA), Cơ quan An ninh Quốc gia và các đối tác quốc tế mô tả một số cách thức các đối tượng lấy thông tin đăng nhập và duy trì quyền truy cập. Trong đó có tấn công chèn mã chéo trang, có thể lợi dụng một trang web có lỗ hổng để thu thập thông tin của người dùng, và thử mật khẩu hàng loạt trên các hệ thống Microsoft Exchange. Phương thức thử mật khẩu hàng loạt dùng một số mật khẩu phổ biến để thử với nhiều tài khoản, thay vì liên tục đoán mật khẩu của một tài khoản.

Các nhà điều tra cũng mô tả việc cài phần mềm VPN SoftEther trên các hệ thống bị xâm phạm để duy trì quyền truy cập, đôi khi ngụy trang phần mềm này thành các tệp Windows hợp pháp. VPN tạo kết nối mạng có thể phục vụ công việc từ xa thông thường. Khi bị cài đặt trái phép, nó có thể tạo cho kẻ tấn công một lối vào liên tục hệ thống của tổ chức.

Các công cụ khác được dùng để thu thập thông tin đăng nhập Active Directory và trích xuất email từ các tài khoản Exchange và Microsoft 365. Active Directory quản lý danh tính người dùng và quyền truy cập tại nhiều tổ chức, vì vậy thông tin đăng nhập bị đánh cắp có thể mở ra quyền truy cập vượt ra ngoài máy tính đầu tiên bị xâm phạm. Các nhà điều tra cũng phát hiện một ứng dụng web tùy chỉnh cho phép bên thứ ba duyệt các email bị đánh cắp mà không cần truy cập trực tiếp vào những tài khoản bị ảnh hưởng.

Chen Yun-nung, giáo sư khoa học máy tính tại Đại học Quốc gia Đài Loan, giải thích vì sao hoạt động độc hại sử dụng phần mềm sẵn có có thể khó bị phát hiện:

Chương trình độc hại ẩn trong phần mềm quản lý sẵn có và lợi dụng phần mềm hợp pháp để thực hiện hành vi xấu. Chẳng hạn, nó có thể tải dữ liệu của bạn xuống rồi xuất dữ liệu đó đi, khiến việc phát hiện khó hơn vì bạn sẽ không thấy chương trình nào mới đang chạy, chỉ thấy những chương trình vốn đã có sẵn.

Điều này rất quan trọng khi xử lý sự cố. Chỉ tìm kiếm các chương trình lạ có thể bỏ sót việc sử dụng trái phép phần mềm mà quản trị viên thường tin cậy.

Công ty đứng sau chiến dịch, không chỉ là những tin tặc đơn lẻ

Giới chức Mỹ mô tả Integrity Technology Group là doanh nghiệp hỗ trợ các hoạt động mạng liên quan đến chính phủ Trung Quốc. Công ty đặt trụ sở tại Bắc Kinh và có hợp đồng với chính phủ Trung Quốc. FBI xem công ty này là tổ chức đứng sau hoạt động mà khu vực tư nhân gọi là Flax Typhoon.

Brett Leatherman, trợ lý giám đốc Bộ phận Mạng của FBI, mô tả vai trò của công ty trong thông báo của Bộ Tư pháp:

Trung Quốc dựa vào các nhà thầu và công ty hỗ trợ để mở rộng phạm vi và quy mô hoạt động mạng độc hại. Bằng cách vạch trần và làm gián đoạn hoạt động của những đơn vị hỗ trợ này, chúng tôi khiến Trung Quốc khó nhắm mục tiêu vào mạng lưới và cơ sở hạ tầng của Mỹ hơn.

Bản khuyến cáo mô tả hoạt động trùng lặp với các chiến dịch được theo dõi dưới tên Flax Typhoon, Ethereal Panda và Red Juliett. Bản khuyến cáo lưu ý rằng không phải mọi hoạt động trùng lặp đều nhất thiết có thể quy cho Integrity Tech. Vì vậy, không nên xem các tên chiến dịch này là bằng chứng cho thấy mọi vụ xâm nhập liên quan đều do cùng một công ty thực hiện.

Jason Bilnoski, phó trợ lý giám đốc Bộ phận Mạng của FBI, mô tả chiến lược thực thi pháp luật một cách trực diện:

Chúng tôi hướng tới việc loại bỏ năng lực của các đối tượng đe dọa. Chúng tôi nhắm vào hạ tầng, nguồn tiền và công cụ của họ.

Bilnoski gọi hoạt động tin tặc này là "bừa bãi và liều lĩnh". Bản khuyến cáo rộng hơn của các cơ quan mô tả những mục tiêu thuộc các lĩnh vực chính phủ, sản xuất, y tế, công nghệ thông tin, thực thi pháp luật, giáo dục và tổ chức tôn giáo, với hoạt động trải rộng khắp Đông Nam Á, châu Phi và Bắc Mỹ.

Vụ tịch thu mới nhất nối tiếp các biện pháp trước đó

Chiến dịch tháng 10 là lần thứ hai Bộ Tư pháp công khai vô hiệu hóa hạ tầng tin tặc của Integrity Tech bằng biện pháp kỹ thuật. Lần đầu, vào tháng 9 năm 2024, nhắm vào một mạng botnet Mirai gồm hơn 200.000 thiết bị tiêu dùng trên toàn thế giới, trong đó có camera, máy ghi hình và bộ định tuyến dùng tại nhà và văn phòng.

Hồ sơ điều tra cung cấp ảnh chụp chi tiết hơn tại thời điểm ngày 5 tháng 6 năm 2024. Một cơ sở dữ liệu chứa thông tin của hơn 1,2 triệu thiết bị bị nhiễm, trong đó có trên 385.000 thiết bị của nạn nhân tại Mỹ khác nhau. Hơn 260.000 thiết bị đang bị nhiễm tại thời điểm đó, trong đó khoảng 126.000 ở Mỹ. Số liệu trong cơ sở dữ liệu và số thiết bị đang nhiễm đo lường những điều khác nhau, do đó không nên hiểu con số 1,2 triệu là số thiết bị đồng thời nằm dưới quyền kiểm soát của các đối tượng vận hành.

Các mốc thời gian chính cho thấy chiến dịch và phản ứng thực thi pháp luật kéo dài nhiều năm:

• Tháng 8 năm 2022 và tháng 3 năm 2023: Theo bản khai có tuyên thệ của FBI, các đợt quét bằng Microscan diễn ra trước những vụ xâm nhập thành công tại hai trường đại học Đài Loan.
• Tháng 9 năm 2024: Giới chức Mỹ làm gián đoạn mạng botnet Mirai của Integrity Tech, gồm hơn 200.000 thiết bị tiêu dùng.
• Tháng 1 năm 2025: Bộ Tài chính Mỹ áp lệnh trừng phạt Integrity Technology Group vì liên quan đến các vụ xâm nhập mạng nhắm vào hạ tầng Mỹ.
• Năm 2025 và 2026: Anh và Liên minh châu Âu lần lượt áp lệnh trừng phạt công ty này vì hoạt động tấn công mạng.
• Ngày 9 tháng 9 năm 2026: Các nhà điều tra xác nhận Microscan vẫn có thể truy cập qua c0cc[.]cc.
• Ngày 6 tháng 10 năm 2026: Một thẩm phán sơ thẩm liên bang cho phép tịch thu các tên miền.
• Ngày 8 tháng 10 năm 2026: Bộ Tư pháp và FBI công bố chiến dịch cùng bản khuyến cáo an ninh mạng chung.

Biện pháp mới nhất nhắm vào hạ tầng quét, phát tán mã độc và truy cập từ xa, thay vì công bố thêm một chiến dịch triệt phá mạng botnet lớn gồm các thiết bị tiêu dùng. Các biện pháp can thiệp nhằm vào những phần khác nhau của hoạt động bị cáo buộc.

Cảnh báo về hạ tầng trọng yếu không chứng minh đã xảy ra sự cố mất điện

Việc các công ty điện lực, doanh nghiệp khí đốt tự nhiên và sân bay nằm trong danh sách mục tiêu khiến chiến dịch này không chỉ đáng lo ngại vì nguy cơ đánh cắp dữ liệu. Chris Butera, quyền trợ lý giám đốc điều hành về an ninh mạng của CISA, cảnh báo về mục đích tiềm tàng của việc truy cập các hệ thống trọng yếu:

Các đối tượng có liên hệ với chính phủ Trung Quốc tiếp tục tìm cách cài cắm trong mạng lưới hạ tầng trọng yếu, bao gồm các hệ thống công nghệ vận hành (OT), nhằm gây gián đoạn những chức năng thiết yếu vào thời điểm họ lựa chọn trong tương lai.

Công nghệ vận hành là các hệ thống giám sát hoặc điều khiển quy trình vật lý, chẳng hạn như thiết bị công nghiệp. Quyền truy cập vào những hệ thống này có thể gây ra các rủi ro khác với việc truy cập email văn phòng thông thường.

Cảnh báo của Butera mô tả một mối đe dọa, không phải kết luận rằng chiến dịch này gây mất điện, gián đoạn sân bay hay làm gián đoạn nguồn cung khí đốt cho Đài Loan. Giới chức chưa tiết lộ liệu mọi mục tiêu hạ tầng được nêu tên có bị xâm nhập thành công hay không; thông báo cũng không xác nhận hệ thống vận hành của các tổ chức đó đã bị xâm phạm.

Bằng chứng công khai rõ nhất liên quan đến hoạt động quét, truy cập trái phép và đánh cắp thông tin. Tách biệt những phát hiện này với khả năng xảy ra gián đoạn trong tương lai giúp tránh phóng đại những gì các nhà điều tra đã chứng minh.

Những điều đội ngũ phòng thủ cần kiểm tra sau vụ tịch thu

Bản khuyến cáo chung cung cấp tên miền, địa chỉ IP, mã băm của mã độc và mô tả công cụ để giúp các tổ chức điều tra khả năng bị xâm nhập. Các cơ quan của Mỹ, Anh, Australia, Canada, Nhật Bản, New Zealand và Tây Ban Nha tham gia soạn thảo khuyến cáo.

Biện pháp được khuyến nghị gồm vá các hệ thống kết nối internet, yêu cầu xác thực đa yếu tố khi truy cập webmail và VPN, vô hiệu hóa các dịch vụ không sử dụng và rà soát nhật ký ứng dụng web để tìm hoạt động quét hoặc khai thác lỗ hổng. Quản trị viên cũng được khuyến nghị theo dõi phần mềm truy cập từ xa trái phép và hoạt động sao chép Active Directory bất thường, vốn có thể là dấu hiệu cho thấy đối tượng đang tìm cách sao chép dữ liệu danh tính.

Một số dấu hiệu nhận diện có từ năm 2016. Cần điều tra chúng trong bối cảnh cụ thể, thay vì mặc nhiên xem là bằng chứng của một vụ xâm phạm hiện tại. Các dấu hiệu cũ có thể giúp dựng lại diễn biến xâm nhập, nhưng chỉ riêng một dấu hiệu cũ không chứng minh hệ thống hiện đang nằm dưới quyền kiểm soát của tin tặc.

Wang Po-chi, phó giáo sư tội phạm học tại Đại học Ming Chuan, cảnh báo rằng các lệnh trừng phạt và biện pháp kỹ thuật có thể không ngăn được các đối tượng quay trở lại:

Ngay cả khi công ty này bị trừng phạt, họ vẫn có thể lập một hoạt động khác để tiếp tục những việc tương tự. Họ có thể cảm thấy mình không phải lo ngại nhiều vì công ty có thể đặt ở một nơi, còn máy chủ phát động tấn công lại đặt ở nơi khác.

Brett Lally, đặc vụ giám sát của FBI tại San Diego, cho biết cơ quan này sẽ theo dõi liệu công ty có tái lập hạ tầng hay không. Các văn phòng FBI tại San Diego và Baltimore đang điều tra cùng Bộ phận Mạng của FBI; Cơ quan Cảnh sát Quốc gia Nhật Bản đã hỗ trợ. Các công tố viên Brendan McKenna và Jacques Singer-Emery phụ trách vụ việc. Chưa có ngày điều trần tiếp theo hay thời hạn nào được công bố.

Điểm chính

• FBI tịch thu bảy tên miền hỗ trợ Microscan, FishHub và hoạt động truy cập từ xa trái phép có liên quan đến Integrity Technology Group.
• Khoảng 20 trường đại học Đài Loan được xác nhận là nạn nhân của hoạt động FishHub.
• Microscan nhắm vào các công ty năng lượng Đài Loan, một công ty điện lực ở Nam Carolina, các sân bay Nhật Bản và Ba Lan, trường đại học và một tổ chức phi chính phủ đa quốc gia.
• Giới chức không tiết lộ liệu mọi mục tiêu hạ tầng được nêu tên có bị xâm nhập thành công hay không.
• Vụ tịch thu diễn ra sau chiến dịch làm gián đoạn botnet hồi tháng 9 năm 2024 và các lệnh trừng phạt do Mỹ, Anh và Liên minh châu Âu áp đặt.
• Tịch thu tên miền làm gián đoạn hạ tầng của kẻ tấn công nhưng không loại bỏ mã độc hoặc thông tin đăng nhập bị đánh cắp đã có trong mạng lưới của nạn nhân.
• Không có vụ bắt giữ, cáo buộc hình sự hay ngày điều trần tiếp theo nào được công bố cùng với chiến dịch.