De Verenigde Staten hebben aangekondigd twee hackingtools te hebben verstoord die door Chinese, staat-gesponsorde dreigingsactoren werden gebruikt bij aanvallen op kritieke infrastructuur—zowel in de VS als daarbuiten. Daarbij gaat het niet alleen om malware, maar vooral om hulpmiddelen waarmee aanvallers gericht kunnen scannen, binnendringen en informatie kunnen weglekken.
Centraal staan MicroScan en FishHub. MicroScan wordt door de Amerikaanse overheid beschreven als een tool voor kwetsbaarheidsscans, terwijl FishHub zou helpen bij netwerkintrusies via spear phishing. Samen vormen ze een keten die past bij aanvallen waarbij voorbereiding en toegang sterk leunen op recon en misbruik van externe communicatie.
MicroScan: van kwetsbaarheidsscan naar gerichte verkenning
Volgens de Amerikaanse beschrijving is MicroScan ontwikkeld door Integrity Technology Group (Integrity Tech). De tool is in gebruik om websites en omgevingen te doorzoeken op specifieke zwakheden. Daarmee kunnen aanvallers snel bepalen waar ze het meest effectief kunnen toeslaan.
De overheid stelt bovendien dat Integrity Tech MicroScan heeft kunnen inzetten via een infrastructuur die is opgezet met een Mirai-variant. Die aanpak zou hebben geleid tot een IoT-botnet, waarmee reconnaissance op netwerken van slachtoffers kon plaatsvinden.
Doelwitten en gebruikte services
In een gezamenlijke advisory (met betrokken overheidsinstanties uit onder meer de VS, het VK, Australië, Canada, Japan, Nieuw-Zeeland en Spanje) wordt MicroScan gekoppeld aan activiteiten die al sinds minstens 2017 zouden lopen. De advisory vermeldt dat de tool zich richt op uiteenlopende services en softwarepakketten, waaronder Apache Struts, Juniper ScreenOS, Jenkins, OpenSSL, Oracle, Rejetto HFS en WebLogic Server. Ook wordt WordPress genoemd als mogelijk doelwit.
Een opvallend detail is de omvang van de functionaliteit: MicroScan bevat volgens de advisory meer dan 1.300 penetration testing-scripts die websites scannen op specifieke kwetsbaarheden.
FishHub: toegang op afstand en exfiltratie na spear phishing
Naast scanning speelt FishHub een rol in de fase waarin aanvallers daadwerkelijke toegang proberen te verkrijgen. De VS beschrijft FishHub als een tool die cliënten in staat stelde remotely toegang te krijgen tot netwerken van slachtoffers.
De functionaliteit die in de beschrijving terugkomt, past bij typische intrusiefasen: aanvallers kunnen binnen het netwerk zoeken naar bepaalde bestanden en vervolgens gegevens exfiltreren.
Inzet tegen universiteiten
De overheid stelt dat FishHub is gebruikt in aanvallen tegen ten minste 20 universiteiten in Taiwan. Dat suggereert dat de inzet niet enkel gericht was op één sector of instelling, maar ook op omgevingen waar onderwijsorganisaties waardevolle gegevens en netwerkinfrastructuur beheren.
Verstoorde domeinen en operationele misleiding
Om de tools aan de keten te onttrekken, zegt de VS de domeinen te hebben in beslag genomen die de dreigingsactoren gebruikten om toegang te krijgen tot MicroScan en FishHub. De lijst bevat onder meer domeinen als c0cc[.]cc, 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com en linkedinns[.]net.
Voor organisaties betekent dit vooral dat de aanvallers hun command-and-control of tool-toegang hebben gekoppeld aan specifieke infrastructuur. Als die infrastructuur wordt weggenomen, kan dat schade beperken—maar het is geen garantie dat bestaande compromissen direct verdwijnen.
Integrity Tech en de koppeling met Flax Typhoon
De Amerikaanse overheid koppelt MicroScan vooral aan Flax Typhoon (ook bekend onder namen als Ethereal Panda, Red Juliett, Storm-0919 en UNC5007). Tegelijkertijd wordt aangegeven dat Integrity Tech mogelijk ook met andere Chinese APT’s samenwerkte.
In eerdere incidentinformatie kwam Integrity Tech ook al naar voren: in 2024 zou de VS de Raptor Train botnet hebben verstoord, en in 2025 werden sancties opgelegd voor het leveren van cybersecurityproducten aan Chinese staat-gesponsorde APT’s. De Europese Unie zou Integrity Tech in maart 2026 hebben gesanctioneerd.
Meer recon-tools in dezelfde campagne
Volgens de advisory gebruikte Flax Typhoon daarnaast een reeks bekende reconnaissance- en verkenningshulpmiddelen, zoals BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe en WPScan. Ook worden command-line exploit-tools en password spraying genoemd, waaronder het EBurst Microsoft Exchange-instrument voor initiële toegang.
Verder wordt beschreven dat aanvallers voor persistentie VPN-tools inzetten zoals SoftEther, terwijl ze databases konden downloaden of data handmatig konden extraheren uit omgevingen. Voor exfiltratie worden onder meer scripts en commandline-tools genoemd, zoals Curlc4.txt en office-cli.
Datadiefstal via email en Active Directory
Een belangrijk onderdeel van de aanval is het verzamelen en weglekken van accountinformatie. De advisory stelt dat dreigingsactoren accountcredentials verzamelen en vervolgens emailgegevens exfiltreren vanuit zowel on-premises systemen als cloud-diensten.
Als slachtoffers worden onder meer genoemd: overheidsorganisaties, wetshandhavingsinstanties, zorginstellingen en religieuze organisaties in Zuidoost-Azië. In sommige gevallen zou de toegang tot de exfiltratie zijn beperkt tot IP-adressen uit Xiamen, China.
Daarnaast wordt genoemd dat aanvallers DC.ex gebruikten om gevoelige data uit Active Directory te halen.
Wat betekent dit voor organisaties die kritieke infrastructuur beheren?
Als je kijkt naar de gecombineerde aanpak—scannen, gerichte toegang, persistentie en datadiefstal—dan gaat het bij hackingtools kritieke infrastructuur zelden om één enkel “stuk gereedschap”. Het gaat eerder om een hele keten waar tooling en werkwijze elkaar versterken.
Praktisch helpt het om je beveiliging langs dezelfde lijnen te beoordelen:
- Kwetsbaarheden tijdig patchen voor de software die in de advisory terugkomt, van webframeworks tot CI/CD-omgevingen.
- Recon-gedrag detecteren, zoals anomalieën in scanning- en probing-patronen richting internet-facing services.
- Toegang en identiteiten harden, omdat password spraying en credential misbruik een terugkerend patroon zijn.
- Data-exfiltratie monitoren met aandacht voor email, cloudtoegang en ongebruikelijke exportpaden.
Ook is security awareness relevant: aanvallen starten vaak bij spear phishing, maar wat er daarna gebeurt, hangt af van hoe goed teams het hele proces kunnen herkennen en stoppen. Over de effectiviteit van dit type maatregelen staat ook iets op onze site: Security awareness training: is het nog effectief?.
Doorlinken: verwante patronen bij cyberaanvallen
Deze casus sluit aan bij bredere trends waarin aanvallers met tooling en geautomatiseerde scans doelgericht te werk gaan. Ben je benieuwd hoe dit zich verhoudt tot andere verstoringen en kampagnes, dan vind je mogelijk ook onderstaande artikelen interessant:
Conclusie: verstoring is stap één, mitigatie blijft nodig
De VS zegt twee hackingtools—MicroScan en FishHub—te hebben verstoord die deel uitmaakten van aanvallen op kritieke infrastructuur. MicroScan richtte zich op kwetsbaarheidscanning met behulp van een botnet-constructie, terwijl FishHub zorgde voor remote toegang, zoeken en exfiltratie na spear phishing.
Hoewel het in beslag nemen van domeinen en het doorbreken van toegang de dreiging tijdelijk kan verminderen, blijft de kernvraag voor organisaties: hoe snel patch en detecteer je, en hoe vroeg herken je de recon- en intrusiefase? Door je weerbaarheid langs die keten te organiseren, verlaag je de kans dat hackingtools kritieke infrastructuur in jouw omgeving opnieuw succesvol worden ingezet.
Bron: https://www.securityweek.com/us-disrupts-chinese-state-sponsored-hacking-tools/
