FBI ยึด 7 โดเมนที่อยู่เบื้องหลังเครื่องมือแฮ็กของจีน ซึ่งมุ่งเป้ามหาวิทยาลัยและเครือข่ายพลังงานในไต้หวัน

ยึด 7 โดเมน ยืนยันมหาวิทยาลัยไต้หวันราว 20 แห่งตกเป็นเหยื่อ

เอฟบีไอและกระทรวงยุติธรรมสหรัฐฯ ประกาศเมื่อวันที่ 8 ตุลาคม 2026 ว่าได้ยึดโดเมนอินเทอร์เน็ต 7 แห่งที่รองรับเครื่องมือแฮ็กซึ่งดำเนินการโดย Integrity Technology Group บริษัทความมั่นคงทางไซเบอร์ของจีนที่มีสัญญากับรัฐบาล เครื่องมือหนึ่งชื่อ Microscan ใช้ค้นหาจุดอ่อนในเครือข่ายของบริษัทพลังงานในไต้หวัน สนามบินในญี่ปุ่นและโปแลนด์ และบริษัทไฟฟ้าแห่งหนึ่งในรัฐเซาท์แคโรไลนา ส่วนอีกเครื่องมือชื่อ FishHub เชื่อมโยงกับการบุกรุกที่ได้รับการยืนยันในมหาวิทยาลัยไต้หวันประมาณ 20 แห่ง

ปฏิบัติการนี้มุ่งเป้าไปที่โครงสร้างพื้นฐานเบื้องหลังแคมเปญแฮ็กที่รู้จักกันในชื่อ Flax Typhoon ตามประกาศเมื่อวันที่ 8 ตุลาคมของกระทรวงยุติธรรม เอกสารศาลที่เปิดเผยต่อสาธารณะในเขตตะวันตกของรัฐเพนซิลเวเนียกล่าวหาว่า Integrity Technology Group พัฒนาและดำเนินงานเครื่องมือที่ลูกค้านำไปใช้ค้นหาเครือข่ายที่มีช่องโหว่ เข้าถึงระบบโดยไม่ได้รับอนุญาต และขโมยไฟล์

เอฟบีไอระบุว่าปฏิบัติการดังกล่าวทำให้เครื่องมือใช้งานไม่ได้ แต่ไม่ได้หมายความว่าเครือข่ายทุกแห่งที่ถูกเจาะจะปลอดภัยแล้ว การยึดโดเมนขัดขวางโครงสร้างพื้นฐานของผู้โจมตี แต่ไม่ได้กำจัดมัลแวร์ ข้อมูลรับรองที่ถูกขโมย หรือซอฟต์แวร์เข้าถึงระยะไกลที่ติดตั้งอยู่ในระบบของเหยื่อโดยอัตโนมัติ

หลักฐานยังแยกเครือข่ายที่ถูกสแกนออกจากเครือข่ายที่ถูกเจาะสำเร็จ ทางการระบุว่าบริษัทก๊าซธรรมชาติและไฟฟ้าของไต้หวัน บริษัทสาธารณูปโภคในรัฐเซาท์แคโรไลนา สนามบินในญี่ปุ่นและโปแลนด์ และองค์กรนอกภาครัฐข้ามชาติ เป็นเป้าหมายของ Microscan แต่ไม่ได้เปิดเผยว่าองค์กรเหล่านั้นถูกเจาะสำเร็จทุกรายหรือไม่

สำหรับมหาวิทยาลัย หลักฐานมีรายละเอียดชัดเจนกว่า คำให้การเป็นลายลักษณ์อักษรของเอฟบีไอระบุถึงการเจาะระบบสำเร็จหลังการสแกนด้วย Microscan ที่มหาวิทยาลัยไต้หวัน 2 แห่งในเดือนสิงหาคม 2022 และมีนาคม 2023 แยกต่างหากจากกรณีดังกล่าว กระทรวงยุติธรรมระบุว่ามหาวิทยาลัยไต้หวันประมาณ 20 แห่งเป็นเหยื่อที่ได้รับการยืนยันจากกิจกรรมของ FishHub ยังไม่มีการเปิดเผยชื่อสถาบันต่อสาธารณะ และไม่สามารถนำสองกลุ่มนี้มาบวกกันตรง ๆ ได้ เพราะไม่มีการเปิดเผยว่ามีรายชื่อซ้ำกันหรือไม่

ปฏิบัติการของศาลสั่งปิดอะไรจริง ๆ

ผู้พิพากษาศาลรัฐบาลกลางอนุมัติการยึดโดเมนเมื่อวันที่ 6 ตุลาคม หรือสองวันก่อนประกาศต่อสาธารณะ หมายค้นสั่งให้นายทะเบียนโดเมนล็อกโดเมน เปลี่ยนเส้นทางไปยังเซิร์ฟเวอร์ที่เอฟบีไอควบคุม และแสดงประกาศการยึด การดำเนินการนี้ทำให้ผู้ควบคุมไม่สามารถใช้ที่อยู่เหล่านั้นรองรับการสแกน การส่งมัลแวร์ และการเข้าถึงเครือข่ายที่ถูกเจาะอย่างต่อเนื่องได้

ประกาศการยึดโดเมนของสำนักงานอัยการเขตตะวันตกของรัฐเพนซิลเวเนียระบุโดเมนทั้ง 7 แห่ง โดย c0cc[.]cc ใช้เข้าถึง Microscan ส่วนอีก 5 โดเมนใช้ช่วยส่งมัลแวร์ FishHub ได้แก่ 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com และ linkedinns[.]net โดเมนที่เหลือคือ 98aiblog[.]com ซึ่งเชื่อมโยงกับซอฟต์แวร์ SoftEther ที่ใช้คงการเข้าถึงระยะไกล

คำให้การประกอบสำนวนกล่าวหาว่ามีการละเมิดกฎหมายว่าด้วยการฉ้อโกงและการใช้คอมพิวเตอร์ในทางมิชอบ (Computer Fraud and Abuse Act) ซึ่งเป็นกฎหมายสหรัฐฯ ที่ครอบคลุมการเข้าถึงคอมพิวเตอร์โดยไม่ได้รับอนุญาต นอกจากนี้ยังระบุว่าการซื้อหรือต่ออายุโดเมนใช้เงินที่มีต้นทางอยู่นอกสหรัฐฯ ไม่มีการประกาศจับกุมหรือแจ้งข้อหาอาญาพร้อมกับการยึดโดเมน ข้อกล่าวหาในเอกสารศาลยังไม่ใช่คำวินิจฉัยว่ามีความผิด

Microscan เปลี่ยนอุปกรณ์ที่ติดมัลแวร์ให้เป็นเครือข่ายสอดแนม

Microscan เป็นเว็บแอปพลิเคชันที่เขียนด้วยภาษา Python ซึ่งเป็นภาษาเขียนโปรแกรมที่ใช้กันแพร่หลาย และมีสคริปต์มากกว่า 1,300 รายการสำหรับทดสอบจุดอ่อนด้านความปลอดภัย สคริปต์ลักษณะนี้ใช้ประเมินความปลอดภัยได้อย่างถูกต้องเมื่อได้รับอนุญาต แต่ในกรณีนี้ผู้สอบสวนกล่าวหาว่ามีการใช้สคริปต์ตรวจหาระบบขององค์กรอื่นที่มีจุดอ่อน ซึ่งลูกค้าของ Integrity Tech อาจนำไปใช้ประโยชน์ได้

ซอฟต์แวร์นี้ค้นหาเว็บไซต์และบริการที่ใช้ผลิตภัณฑ์ต่าง ๆ รวมถึง OpenSSL, Oracle WebLogic Server, WordPress, Jenkins และ Apache Struts ผู้สอบสวนระบุว่ายังเข้าถึง Microscan ผ่าน c0cc[.]cc ได้เมื่อวันที่ 9 กันยายน 2026 และอาจมีการใช้มาตั้งแต่ปี 2017

การสแกนบางส่วนส่งผ่านอุปกรณ์สำหรับผู้บริโภคที่ติดมัลแวร์ Mirai สายพันธุ์หนึ่ง อุปกรณ์เหล่านี้รวมกันเป็นบอตเน็ต หรือกลุ่มเครื่องที่ถูกเจาะและอยู่ภายใต้การควบคุมของผู้ปฏิบัติการ การส่งทราฟฟิกผ่านอุปกรณ์ของผู้อื่นช่วยปกปิดต้นทางของการสแกน และทำให้มีโครงสร้างพื้นฐานกระจายอยู่ในหลายพื้นที่

คำแนะนำด้านความมั่นคงปลอดภัยไซเบอร์ที่เผยแพร่พร้อมกันระบุช่องโหว่ 8 รายการที่ตกเป็นเป้าหมายบ่อย โดยมีรหัสระบุช่องโหว่ตั้งแต่ปี 2014 ถึง 2023 ซึ่งรวมถึงจุดอ่อนใน GNU Bash, Apache Struts, Pulse Secure VPN และ GitLab ช่องโหว่บางรายการเปิดทางให้ผู้โจมตีอ่านไฟล์โดยไม่ได้รับอนุญาตหรือสั่งให้ระบบที่มีช่องโหว่ทำงานได้ ช่วงเวลาดังกล่าวแสดงให้เห็นว่าแคมเปญนี้ไม่ได้จำกัดอยู่แค่ช่องโหว่ที่เพิ่งค้นพบ เพราะซอฟต์แวร์เก่าที่ยังไม่ได้รับการอัปเดตก็เป็นช่องทางให้โจมตีได้เช่นกัน

FishHub ช่วยให้เข้าถึงและขโมยข้อมูลหลังเจาะระบบครั้งแรก

FishHub มีจุดประสงค์ต่างจาก Microscan ทางการกล่าวหาว่าเครื่องมือนี้รองรับการฟิชชิงแบบเจาะจง ซึ่งเป็นข้อความหลอกลวงที่ส่งถึงผู้รับเป้าหมายโดยเฉพาะ และใช้ดาวน์โหลดมัลแวร์เพิ่มเติมหลังจากเจาะเครือข่ายในเบื้องต้น มัลแวร์ดังกล่าวอาจเปิดทางให้ลูกค้าของ Integrity Tech เข้าถึงระบบจากระยะไกล หรือค้นหาไฟล์ที่ระบุไว้แล้วส่งไปยังเซิร์ฟเวอร์ที่บริษัทควบคุม

กระบวนการขโมยไฟล์ที่ถูกกล่าวหาประกอบด้วยการแสดงรายการเอกสาร ค้นหาเนื้อหาที่กำหนด บีบอัดไฟล์ และส่งไฟล์ออกจากเครือข่ายของเหยื่อ FishHub จึงเป็นมากกว่าเครื่องมือส่งมัลแวร์ เพราะยังรองรับการรวบรวมและนำข้อมูลออกไปหลังผู้โจมตีเข้าสู่ระบบได้แล้ว

คำให้การของเอฟบีไอระบุว่าพบข้อมูลและไฟล์ขององค์กรกว่า 20 แห่งบนเซิร์ฟเวอร์ที่เชื่อมโยงกับ FishHub รวมถึงมหาวิทยาลัยไต้หวัน 6 แห่ง ข้อค้นพบนี้มีขอบเขตแคบกว่าจำนวนมหาวิทยาลัยไต้หวันราว 20 แห่งที่กระทรวงยุติธรรมระบุว่าเป็นเหยื่อ มหาวิทยาลัย 6 แห่งหมายถึงหลักฐานที่พบในเซิร์ฟเวอร์เครื่องหนึ่ง ส่วนจำนวนที่มากกว่านั้นหมายถึงกิจกรรมของ FishHub ที่ได้รับการยืนยันแล้ว ไม่มีตัวเลขใดบ่งชี้จำนวนองค์กรทั้งหมดทั่วโลกที่ได้รับผลกระทบ

เครือข่ายมหาวิทยาลัยอาจมีงานวิจัย เอกสารการบริหาร และจดหมายโต้ตอบ แต่เจ้าหน้าที่ยังไม่ได้เปิดเผยว่าข้อมูลประเภทใดถูกขโมยจากสถาบันในไต้หวัน รายงานต่อสาธารณะยังไม่ได้ระบุปริมาณข้อมูลที่ถูกขโมย หรือชื่อบุคคลที่ข้อมูลอาจได้รับผลกระทบ

ซอฟต์แวร์ที่ใช้งานทั่วไปช่วยให้ผู้โจมตีอยู่ในเครือข่ายได้นาน

คำแนะนำร่วมของเอฟบีไอ หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) สำนักงานความมั่นคงแห่งชาติ และพันธมิตรนานาชาติ ระบุวิธีที่ผู้ก่อเหตุใช้ขโมยข้อมูลรับรองและคงการเข้าถึงระบบ ซึ่งรวมถึง cross-site scripting ที่อาจอาศัยเว็บไซต์ที่มีช่องโหว่เพื่อดักข้อมูลจากผู้ใช้ และการสุ่มลองรหัสผ่านกับระบบ Microsoft Exchange วิธีนี้จะลองรหัสผ่านทั่วไปจำนวนเล็กน้อยกับหลายบัญชี แทนการเดารหัสผ่านบัญชีเดียวซ้ำ ๆ

ผู้สอบสวนยังระบุว่ามีการติดตั้งซอฟต์แวร์ SoftEther VPN บนระบบที่ถูกเจาะเพื่อคงการเข้าถึง โดยบางครั้งปลอมแปลงให้ดูเหมือนไฟล์ Windows ที่ถูกต้อง VPN สร้างการเชื่อมต่อเครือข่ายที่รองรับการทำงานระยะไกลตามปกติ แต่หากติดตั้งโดยไม่ได้รับอนุญาต ก็อาจเปิดช่องทางให้ผู้โจมตีเข้าถึงระบบขององค์กรได้อย่างต่อเนื่อง

มีการใช้เครื่องมืออื่นเพื่อรวบรวมข้อมูลรับรองของ Active Directory และดึงอีเมลจากบัญชี Exchange และ Microsoft 365 ด้วย Active Directory ใช้จัดการตัวตนผู้ใช้และสิทธิ์การเข้าถึงในหลายองค์กร ดังนั้นข้อมูลรับรองที่ถูกขโมยอาจเปิดทางให้เข้าถึงระบบอื่นนอกเหนือจากคอมพิวเตอร์เครื่องแรกที่ถูกเจาะ ผู้สอบสวนยังพบเว็บแอปพลิเคชันที่พัฒนาขึ้นเฉพาะ ซึ่งเปิดให้บุคคลภายนอกเรียกดูอีเมลที่ขโมยมาได้โดยไม่ต้องเข้าถึงบัญชีที่ได้รับผลกระทบโดยตรง

เฉิน หยุนหนง ศาสตราจารย์ด้านวิทยาการคอมพิวเตอร์จากมหาวิทยาลัยแห่งชาติไต้หวัน อธิบายว่าเหตุใดกิจกรรมที่เป็นอันตรายซึ่งอาศัยซอฟต์แวร์ที่มีอยู่แล้วจึงตรวจพบได้ยาก:

โปรแกรมประสงค์ร้ายซ่อนอยู่ในซอฟต์แวร์จัดการระบบที่มีอยู่แล้ว และใช้ซอฟต์แวร์ที่ถูกต้องตามปกติเพื่อก่อเหตุ เช่น อาจดาวน์โหลดและส่งออกข้อมูลของคุณ ทำให้ตรวจจับได้ยากขึ้น เพราะจะไม่เห็นโปรแกรมเพิ่มเติมกำลังทำงานอยู่ มีเพียงโปรแกรมเดิมที่ติดตั้งไว้อยู่แล้วเท่านั้น

ความแตกต่างนี้สำคัญต่อการจัดการหลังเกิดเหตุ การมองหาเฉพาะโปรแกรมที่ไม่คุ้นเคยอาจทำให้พลาดการใช้ซอฟต์แวร์ที่ผู้ดูแลระบบเชื่อถืออยู่ตามปกติโดยไม่ได้รับอนุญาต

บริษัทที่อยู่เบื้องหลังแคมเปญ ไม่ใช่แค่แฮ็กเกอร์รายบุคคล

ทางการสหรัฐฯ ระบุว่า Integrity Technology Group เป็นบริษัทที่สนับสนุนปฏิบัติการไซเบอร์ซึ่งเชื่อมโยงกับรัฐบาลจีน บริษัทตั้งอยู่ในกรุงปักกิ่งและมีสัญญากับรัฐบาลจีน เอฟบีไอถือว่าบริษัทนี้เป็นองค์กรเบื้องหลังกิจกรรมที่ภาคเอกชนเรียกว่า Flax Typhoon

เบรตต์ ลีเธอร์แมน ผู้ช่วยผู้อำนวยการฝ่ายไซเบอร์ของเอฟบีไอ กล่าวถึงบทบาทของบริษัทในประกาศของกระทรวงยุติธรรมว่า:

สาธารณรัฐประชาชนจีนพึ่งพาบริษัทผู้รับเหมาและบริษัทสนับสนุนเพื่อขยายขอบเขตและขนาดของกิจกรรมไซเบอร์ที่เป็นอันตราย การเปิดโปงและขัดขวางผู้สนับสนุนเหล่านี้ทำให้สาธารณรัฐประชาชนจีนโจมตีเครือข่ายและโครงสร้างพื้นฐานของสหรัฐฯ ได้ยากขึ้น

คำแนะนำระบุว่ากิจกรรมบางส่วนทับซ้อนกับปฏิบัติการที่ติดตามในชื่อ Flax Typhoon, Ethereal Panda และ Red Juliett พร้อมเตือนว่ากิจกรรมที่ทับซ้อนกันไม่ได้หมายความว่าจะระบุได้ว่า Integrity Tech เป็นผู้ก่อเหตุทั้งหมด จึงไม่ควรถือว่าชื่อแคมเปญเหล่านี้เป็นหลักฐานว่าการบุกรุกทุกกรณีที่เกี่ยวข้องดำเนินการโดยบริษัทเดียวกัน

เจสัน บิลนอซกี รองผู้ช่วยผู้อำนวยการฝ่ายไซเบอร์ของเอฟบีไอ กล่าวถึงกลยุทธ์การบังคับใช้กฎหมายอย่างตรงไปตรงมาว่า:

เรามุ่งตัดขีดความสามารถของผู้ก่อเหตุ เราเป้าหมายที่โครงสร้างพื้นฐาน เงินทุน และเครื่องมือของพวกเขา

บิลนอซกีเรียกปฏิบัติการแฮ็กนี้ว่า "ไม่เลือกเป้าหมายและขาดความยั้งคิด" คำแนะนำฉบับขยายของหน่วยงานระบุเป้าหมายในภาครัฐ การผลิต สาธารณสุข เทคโนโลยีสารสนเทศ การบังคับใช้กฎหมาย การศึกษา และองค์กรศาสนา โดยมีกิจกรรมครอบคลุมเอเชียตะวันออกเฉียงใต้ แอฟริกา และอเมริกาเหนือ

การยึดโดเมนครั้งล่าสุดต่อเนื่องจากปฏิบัติการก่อนหน้า

ปฏิบัติการเดือนตุลาคมเป็นครั้งที่สองที่กระทรวงยุติธรรมเปิดเผยต่อสาธารณะว่าได้ขัดขวางโครงสร้างพื้นฐานทางเทคนิคของการแฮ็กโดย Integrity Tech ครั้งแรกในเดือนกันยายน 2024 มุ่งเป้าไปที่บอตเน็ต Mirai ซึ่งมีอุปกรณ์สำหรับผู้บริโภคทั่วโลกกว่า 200,000 เครื่อง รวมถึงกล้อง เครื่องบันทึกวิดีโอ และเราเตอร์ที่ใช้ในบ้านและสำนักงาน

บันทึกการสอบสวนให้รายละเอียดมากขึ้นเกี่ยวกับสถานการณ์เมื่อวันที่ 5 มิถุนายน 2024 ฐานข้อมูลมีประวัติอุปกรณ์ติดเชื้อมากกว่า 1.2 ล้านรายการ ซึ่งรวมอุปกรณ์ของเหยื่อในสหรัฐฯ ที่ไม่ซ้ำกันกว่า 385,000 เครื่อง ในวันดังกล่าวมีอุปกรณ์ติดเชื้อที่กำลังทำงานอยู่มากกว่า 260,000 เครื่อง รวมถึงประมาณ 126,000 เครื่องในสหรัฐฯ จำนวนรายการในฐานข้อมูลกับจำนวนการติดเชื้อที่กำลังทำงานอยู่วัดคนละสิ่งกัน ดังนั้นตัวเลข 1.2 ล้านจึงไม่ควรตีความว่าเป็นจำนวนอุปกรณ์ที่อยู่ในการควบคุมของผู้ปฏิบัติการพร้อมกัน

วันสำคัญแสดงให้เห็นว่าแคมเปญและการตอบโต้ของทางการดำเนินต่อเนื่องมาหลายปี:

• สิงหาคม 2022 และมีนาคม 2023: ตามคำให้การของเอฟบีไอ การสแกนด้วย Microscan เกิดขึ้นก่อนการเจาะระบบสำเร็จที่มหาวิทยาลัยไต้หวัน 2 แห่ง
• กันยายน 2024: ทางการสหรัฐฯ ขัดขวางบอตเน็ต Mirai ของ Integrity Tech ซึ่งมีอุปกรณ์สำหรับผู้บริโภคกว่า 200,000 เครื่อง
• มกราคม 2025: กระทรวงการคลังสหรัฐฯ คว่ำบาตร Integrity Technology Group จากการมีส่วนเกี่ยวข้องกับการบุกรุกทางไซเบอร์ที่มุ่งเป้าโครงสร้างพื้นฐานของสหรัฐฯ
• ปี 2025 และ 2026: สหราชอาณาจักรและสหภาพยุโรปตามลำดับ คว่ำบาตรบริษัทดังกล่าวจากกิจกรรมโจมตีทางไซเบอร์
• 9 กันยายน 2026: ผู้สอบสวนยืนยันว่า Microscan ยังเข้าถึงได้ผ่าน c0cc[.]cc
• 6 ตุลาคม 2026: ผู้พิพากษาศาลรัฐบาลกลางอนุมัติการยึดโดเมน
• 8 ตุลาคม 2026: กระทรวงยุติธรรมและเอฟบีไอประกาศปฏิบัติการและเผยแพร่คำแนะนำด้านความมั่นคงปลอดภัยไซเบอร์ร่วมกัน

ปฏิบัติการล่าสุดมุ่งเป้าไปที่โครงสร้างพื้นฐานสำหรับการสแกน การส่งมัลแวร์ และการเข้าถึงระยะไกล แทนการประกาศยึดบอตเน็ตขนาดใหญ่ที่ประกอบด้วยอุปกรณ์สำหรับผู้บริโภคอีกครั้ง การดำเนินการแต่ละครั้งมุ่งขัดขวางคนละส่วนของปฏิบัติการที่ถูกกล่าวหา

คำเตือนเรื่องโครงสร้างพื้นฐานสำคัญไม่ได้ยืนยันว่าเกิดไฟฟ้าดับ

การที่มีบริษัทไฟฟ้า ธุรกิจก๊าซธรรมชาติ และสนามบินอยู่ในรายชื่อเป้าหมาย ทำให้แคมเปญนี้เป็นข้อกังวลที่กว้างกว่าการขโมยข้อมูล คริส บิวเทรา รักษาการรองผู้อำนวยการบริหารด้านความมั่นคงปลอดภัยไซเบอร์ของ CISA เตือนถึงจุดประสงค์ที่อาจเป็นไปได้ของการเข้าถึงระบบสำคัญว่า:

ผู้ก่อเหตุที่เชื่อมโยงกับรัฐบาลจีนยังคงแทรกซึมเข้าไปอยู่ในเครือข่ายโครงสร้างพื้นฐานสำคัญ รวมถึงระบบเทคโนโลยีปฏิบัติการ (OT) โดยมีเป้าหมายเพื่อขัดขวางการทำงานที่สำคัญในเวลาที่ตนเลือกในอนาคต

เทคโนโลยีปฏิบัติการหมายถึงระบบที่ตรวจสอบหรือควบคุมกระบวนการทางกายภาพ เช่น อุปกรณ์อุตสาหกรรม การเข้าถึงระบบเหล่านี้อาจมีความเสี่ยงต่างจากการเข้าถึงอีเมลสำนักงานทั่วไป

คำเตือนของบิวเทราอธิบายถึงภัยคุกคาม ไม่ใช่ข้อสรุปว่าแคมเปญนี้ทำให้เกิดไฟฟ้าดับ สนามบินหยุดชะงัก หรือการจ่ายก๊าซในไต้หวันขาดตอน ทางการไม่ได้เปิดเผยว่ามีการเจาะระบบสำเร็จในเป้าหมายโครงสร้างพื้นฐานที่ระบุไว้ทุกรายหรือไม่ และประกาศดังกล่าวไม่ได้ยืนยันว่าระบบปฏิบัติการขององค์กรเหล่านั้นถูกเจาะ

หลักฐานต่อสาธารณะที่ชัดเจนที่สุดเกี่ยวกับการสแกน การเข้าถึงโดยไม่ได้รับอนุญาต และการขโมยข้อมูล การแยกข้อค้นพบเหล่านี้ออกจากความเป็นไปได้ที่จะเกิดการหยุดชะงักในอนาคต ช่วยหลีกเลี่ยงการกล่าวเกินกว่าที่ผู้สอบสวนพิสูจน์ได้

สิ่งที่ฝ่ายป้องกันต้องตรวจสอบหลังการยึดโดเมน

คำแนะนำร่วมระบุโดเมน ที่อยู่ IP ค่าแฮชของมัลแวร์ และคำอธิบายเครื่องมือ เพื่อช่วยให้องค์กรตรวจสอบการบุกรุกที่อาจเกิดขึ้น หน่วยงานจากสหรัฐฯ สหราชอาณาจักร ออสเตรเลีย แคนาดา ญี่ปุ่น นิวซีแลนด์ และสเปน ร่วมจัดทำคำแนะนำดังกล่าว

มาตรการที่แนะนำ ได้แก่ อัปเดตแพตช์ระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ต กำหนดให้ใช้การยืนยันตัวตนหลายขั้นตอนสำหรับเว็บเมลและการเข้าถึง VPN ปิดบริการที่ไม่ได้ใช้งาน และตรวจสอบบันทึกการทำงานของเว็บแอปพลิเคชันเพื่อหาความพยายามสแกนหรือใช้ช่องโหว่ ผู้ดูแลระบบยังได้รับคำแนะนำให้เฝ้าระวังซอฟต์แวร์เข้าถึงระยะไกลที่ไม่ได้รับอนุญาต และการทำสำเนาข้อมูล Active Directory ที่ผิดปกติ ซึ่งอาจบ่งชี้ถึงความพยายามคัดลอกข้อมูลตัวตน

ตัวบ่งชี้บางรายการมีอายุย้อนไปถึงปี 2016 ควรตรวจสอบตามบริบท แทนที่จะถือเป็นหลักฐานว่าระบบถูกเจาะอยู่ในปัจจุบันโดยอัตโนมัติ ข้อมูลเชื่อมโยงในอดีตช่วยปะติดปะต่อเหตุการณ์การบุกรุกได้ แต่ตัวบ่งชี้เก่าเพียงอย่างเดียวไม่ได้ยืนยันว่าผู้โจมตีกำลังควบคุมระบบอยู่ในขณะนี้

หวัง โป๋ฉี รองศาสตราจารย์ด้านกระบวนการยุติธรรมทางอาญาที่มหาวิทยาลัยหมิงฉวน เตือนว่าการคว่ำบาตรและการขัดขวางทางเทคนิคอาจไม่สามารถป้องกันไม่ให้ผู้ปฏิบัติการกลับมาได้:

แม้บริษัทนี้ถูกคว่ำบาตร ก็อาจตั้งปฏิบัติการใหม่เพื่อเริ่มทำกิจกรรมเดิมอีกครั้ง บริษัทอาจรู้สึกว่าไม่มีอะไรต้องกลัวมากนัก เพราะบริษัทอาจตั้งอยู่ที่หนึ่ง แต่เซิร์ฟเวอร์ที่ใช้โจมตีอาจอยู่ที่อื่น

เบรตต์ ลัลลี เจ้าหน้าที่พิเศษอาวุโสผู้กำกับดูแลของเอฟบีไอประจำซานดิเอโก กล่าวว่าเอฟบีไอจะติดตามว่าบริษัทสร้างโครงสร้างพื้นฐานขึ้นใหม่หรือไม่ สำนักงานภาคสนามของเอฟบีไอในซานดิเอโกและบัลติมอร์กำลังสืบสวนร่วมกับฝ่ายไซเบอร์ของเอฟบีไอ โดยมีสำนักงานตำรวจแห่งชาติญี่ปุ่นให้ความช่วยเหลือ อัยการเบรนแดน แมคเคนนา และฌาคส์ ซิงเกอร์-เอเมอรี รับผิดชอบคดีนี้ ยังไม่มีการประกาศวันนัดพิจารณาคดีครั้งถัดไปหรือกำหนดเวลาใด ๆ

ประเด็นสำคัญ

• เอฟบีไอยึดโดเมน 7 แห่งที่รองรับ Microscan, FishHub และการเข้าถึงระยะไกลโดยไม่ได้รับอนุญาต ซึ่งเชื่อมโยงกับ Integrity Technology Group
• ยืนยันว่ามหาวิทยาลัยไต้หวันประมาณ 20 แห่งตกเป็นเหยื่อของกิจกรรม FishHub
• Microscan มุ่งเป้าบริษัทพลังงานในไต้หวัน บริษัทไฟฟ้าในรัฐเซาท์แคโรไลนา สนามบินในญี่ปุ่นและโปแลนด์ มหาวิทยาลัย และองค์กรนอกภาครัฐข้ามชาติ
• ทางการไม่ได้เปิดเผยว่าเป้าหมายโครงสร้างพื้นฐานที่ระบุไว้ทุกรายถูกเจาะสำเร็จหรือไม่
• การยึดโดเมนครั้งนี้เกิดขึ้นหลังการขัดขวางบอตเน็ตในเดือนกันยายน 2024 และการคว่ำบาตรโดยสหรัฐฯ สหราชอาณาจักร และสหภาพยุโรป
• การยึดโดเมนขัดขวางโครงสร้างพื้นฐานของผู้โจมตี แต่ไม่ได้กำจัดมัลแวร์หรือข้อมูลรับรองที่ถูกขโมยซึ่งยังอยู่ในเครือข่ายของเหยื่อ
• ไม่มีการประกาศจับกุม แจ้งข้อหาอาญา หรือกำหนดวันนัดพิจารณาคดีครั้งถัดไปพร้อมกับปฏิบัติการนี้