De FBI en het Amerikaanse Department of Justice hebben bekendgemaakt dat ze onderdelen van de kwaadaardige infrastructuur van de China-link Flax Typhoon infrastructuur hebben verstoord. Het gaat om tools en domeinen die werden gebruikt om Amerikaanse kritieke infrastructuur te scannen en in sommige gevallen binnen te dringen.
Concreet namen de autoriteiten meerdere domeinen in beslag en blokkeerden ze de toegang tot platforms die doelgericht reconnaissance mogelijk maakten. Volgens de aankondigingen richtte de activiteit zich op netwerken en systemen waar aanvallers bestanden zochten en kwetsbaarheden misbruikten.
Wat is Flax Typhoon en waarom is dit relevant?
Flax Typhoon wordt in verband gebracht met een geavanceerde persistent threat (APT) die ook onder andere namen werd gevolgd, waaronder Ethereal Panda en RedJuliett. De groep wordt gekoppeld aan een Beijing-gebaseerde entiteit, Integrity Technology Group, die contracten zou hebben met de Chinese overheid.
De FBI beschrijft dat “state-sponsored hackers” wereldwijd agressief netwerken en systemen benaderen om bestanden te stelen en kwetsbaarheden uit te buiten. Voor organisaties in kritieke sectoren is dat extra schadelijk: aanvallen op elektriciteit, gas of transport kunnen direct doorsijpelen naar maatschappelijke dienstverlening.
Inbeslaggenomen domeinen en geblokkeerde toegang
Als onderdeel van de verstoring namen de autoriteiten een reeks domeinen in beslag. Daarbij ging het om domeinen en subdomeinen die volgens de FBI in gebruik waren voor controle en communicatie binnen de botnet-architectuur. De lijst die in de aankondiging werd genoemd:
- c0cc[.]cc
- 98aiblog[.]com
- 98aicai[.]com
- 98aicode[.]com
- outlook3650[.]com
- youtubecard[.]com
- linkedinns[.]net
Het doel was om toegang tot platforms te blokkeren die werden gebruikt om systemen te scannen en, waar mogelijk, binnen te dringen.
Een botnet als ruggengraat: van Mirai-variant tot “Sparrow”
In de beschrijvingen rondom de zaak komt een botnet naar voren dat zou zijn opgebouwd met behulp van een variant van de Mirai-malware. De botnetbesturing werd gekoppeld aan een applicatie met de naam Sparrow.
Volgens de informatie zou er een database-server (op het genoemde IP-adres) records hebben vastgelegd van meer dan 1,2 miljoen geïnfecteerde apparaten (stand van 5 juni 2024). Daarvan zouden er meer dan 385.000 unieke apparaten in de Verenigde Staten van slachtoffers zijn.
Ook werd gemeld dat op die datum meer dan 260.000 apparaten actief geïnfecteerd waren, waarvan ongeveer 126.000 in de VS.
Van reconnaissance naar kwetsbaarheden: Microscan en ruim 1.300 scripts
Een belangrijk onderdeel van de aanvalscyclus was een tool die werd aangeduid als Microscan. De tool zou zijn ontworpen om reconnaissance te ondersteunen en kwetsbaarheden te scannen, zodat aanvallers gericht doelen konden selecteren.
De aankondiging stelt dat Microscan meer dan 1.300 penetration testing-scripts bevatte. Daarmee konden websites worden doorzocht op specifieke kwetsbaarheden in verschillende software-omgevingen, waaronder (in de aankondiging genoemd) onder andere OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins en Apache Struts.
Daarbij werd ook verwezen naar aanvullende open-source tooling die gebruikt kan worden voor netwerk- en webvondsten, zoals BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe en wpscan.
Dit soort combinaties is relevant voor verdedigers: zelfs als één component wordt uitgezet, kunnen andere scanning- en mappingtools in dezelfde keten opnieuw opduiken. Daarom draait de defensie niet alleen om “domein weg”, maar ook om het structureel verminderen van aanvalsoppervlak.
Extra toolkit: FishHub en spear-phishing
Naast Microscan werd ook een tweede tool genoemd: FishHub. Volgens de FBI en het DOJ zou FishHub bijdragen aan het uitvoeren van intrusies via spear-phishing en het deployen van vervolgbelasting (follow-on payloads).
Er werden in de aankondiging slachtoffers genoemd in Taiwan, waaronder 20 Taiwanese universiteiten die als bevestigd betroffen bij FishHub-gerelateerde activiteiten.
De claim is dat de malware aanvallers in staat stelde om ongeautoriseerde remote access te bieden aan het doelsysteem of om specifieke bestanden te zoeken en door te sturen naar servers onder controle van de aanvallers.
Verbinding met cloud-accounts: M365-brute force en mailtoegang
In de beschrijving wordt verder gesteld dat aanvallers accounts in Microsoft 365 Cloud probeerden te compromitteren met behulp van een brute-force tool die gebaseerd zou zijn op Python en aangeduid wordt als EBurst.
Daarnaast werd gemeld dat mailboxdata doorzocht kon worden met een command-line utility met de naam office-cli. Dit past in een breder patroon waarbij aanvallers niet alleen “perimeter” proberen te bereiken, maar ook identiteiten en toegangsrechten misbruiken.
Voor security teams betekent dat: monitor niet alleen ongebruikelijke netwerkactiviteit, maar ook login-patronen, mislukte authenticaties, en afwijkend gebruik van API- of admin-tools.
Waarom AI en automatisering de impact vergroten
De aankondiging plaatst deze activiteit in een context waarin geautomatiseerde scanning en grote botnets samenkomen met handmatige exploitatie. Het VK, via de National Cyber Security Centre, stelt dat kwaadwillende actoren – mogelijk gefaciliteerd door de genoemde organisatie – hierbij “AI-tools” gebruiken voor geautomatiseerde scanning op schaal.
Dat is een belangrijk signaal: automatisering kan de snelheid waarmee kwetsbaarheden worden gevonden en doelen worden geselecteerd aanzienlijk verhogen. Daardoor kunnen incidenten sneller escaleren, zeker wanneer omgevingen veel public-facing applicaties of verouderde componenten bevatten.
Links naar eerdere analyses: wat je kunt leren als organisatie
Deze casus sluit aan bij thema’s die we eerder op de site bespraken: van het testen en hardenen van omgevingen tot het herkennen van ketens waarin tooling samenkomt. Als je je aanpak wilt aanscherpen rond scanning, misbruik van extensies of het voorkomen van kwaadwillende data-exfiltratie, kan het helpen om ook andere praktijkinzichten mee te nemen.
- ARTEX AI pentesting bij datadiefstal: lessen uit de praktijk
- Agentic pentesting: wat het bewijst en wat niet
- Web datalekken door API-misbruik: wat je moet afdekken
Wat betekent dit voor defenders?
De verstoring van domeinen en platforms is een directe overwinning, maar het laat vooral zien hoe een keten wordt opgebouwd: eerst scanning en selectie, vervolgens toegang en datadiefstal of verdere post-exploitation.
Organisaties kunnen hierop anticiperen door drie stappen centraal te zetten:
- Reduceer aanvalsoppervlak door kwetsbare webapplicaties en services sneller te patchen en te inventariseren.
- Controleer identiteiten met focus op misbruik van cloudaccounts, ongebruikelijke logins en anomalieën in mailbox-toegang.
- Maak scanning detecteerbaar door netwerk- en applicatielogging te versterken, inclusief waarschuwingen op verdachte probing van bekende kwetsbaarheidsroutes.
Conclusie
De actie van FBI en DOJ tegen de Flax Typhoon infrastructuur toont hoe belangrijk het is om niet alleen malware of exploits aan te pakken, maar ook de domeinen, tools en communicatiekanalen die aanvallen faciliteren. Door inbeslagname en blokkades wordt de directe inzet van specifieke scanning- en command-and-control onderdelen bemoeilijkt.
Tegelijk benadrukt de zaak dat organisaties hun weerbaarheid moeten versterken op het snijvlak van webkwetsbaarheden, cloud-identiteiten en detectie van geautomatiseerde reconnaissance. Alleen dan blijft verstoring niet bij een incident, maar wordt het een stap richting structurele veiligheid.
Bron: https://thehackernews.com/2026/10/fbi-seizes-7-domains-disrupts-flax.html
