FBI thu giữ 7 tên miền liên quan đến Flax Typhoon
"The FBI and DOJ disrupted Flax Typhoon-linked infrastructure by seizing seven domains used for reconnaissance, command-and-control, and exploitation against U.S. and foreign critical infrastructure. The operation targeted tools such as Microscan and FishHub, which were used for vulnerability scanning, spear-phishing, persistence, and unauthorized access; no CVE was cited, and the primary mitigation was domain seizure and access blocking."
Tác động bảo mật cao do chiến dịch nhắm vào hạ tầng trọng yếu, dùng C2, spear-phishing và quét lỗ hổng để mở rộng xâm nhập; cần chặn miền liên quan và tăng giám sát.
Có thể gây gián đoạn dịch vụ vận hành, ảnh hưởng tài khoản cloud và làm tăng chi phí ứng phó sự cố; các tổ chức trong lĩnh vực năng lượng, giáo dục và hàng không cần ưu tiên kiểm tra.
FBI và DOJ cho biết đã vô hiệu hóa hạ tầng do nhóm Flax Typhoon liên quan sử dụng bằng cách thu giữ 7 tên miền và chặn truy cập vào các nền tảng phục vụ trinh sát, command-and-control (C2) và khai thác xâm nhập. Theo công bố, các công cụ như Microscan và FishHub được dùng để quét lỗ hổng, spear-phishing, duy trì persistence và truy cập trái phép vào hệ thống, trong đó có môi trường hạ tầng trọng yếu tại Mỹ và nhiều quốc gia khác.
Nguồn tin cho biết nhóm này còn liên quan đến botnet Raptor Train và hạ tầng điều khiển dựa trên các miền như w8510[.]com. Một máy chủ cơ sở dữ liệu được nêu trong hồ sơ chứa thông tin về hơn 1,2 triệu thiết bị bị nhiễm, trong đó có hơn 385.000 thiết bị nạn nhân tại Mỹ; tại thời điểm 5/6/2024, hơn 260.000 thiết bị vẫn đang bị nhiễm, gồm khoảng 126.000 thiết bị ở Mỹ.
Khuyến nghị cho đội vận hành là rà soát log truy cập, kiểm tra dấu hiệu spear-phishing, giám sát lưu lượng C2, và tăng cường bảo vệ tài khoản Microsoft 365 cùng các dịch vụ cloud. Do chiến dịch này tập trung vào quét diện rộng và xâm nhập theo mục tiêu, tổ chức nên ưu tiên phát hiện sớm, cô lập máy trạm nghi nhiễm và cập nhật kiểm soát chặn miền/IP liên quan.