FBI查封中国黑客工具背后的7个域名，目标包括台湾高校和能源网络

7个域名遭查封，约20所台湾高校确认受害

美国联邦调查局（FBI）和司法部于2026年10月8日宣布，已查封7个互联网域名。这些域名支持中国网络安全公司安天科技集团运营的黑客工具，该公司与中国政府签有合同。其中一款工具Microscan曾扫描台湾能源企业、日本和波兰的机场以及美国南卡罗来纳州一家电力公司的网络漏洞。另一款工具FishHub则与台湾约20所高校遭确认的入侵事件有关。

此次行动针对的是被称为“Flax Typhoon”的黑客行动背后的基础设施。根据司法部的10月8日公告，在宾夕法尼亚西区联邦地区法院解封的法庭文件指称，安天科技集团开发并运营相关工具，其客户利用这些工具识别存在漏洞的网络、未经授权获取访问权限并窃取文件。

FBI表示，此次行动使这些工具无法继续运作。但这并不意味着所有遭入侵的网络现在都已安全：查封域名可以中断攻击者的基础设施，却不会自动清除已进入受害者系统的恶意软件、被盗凭证或远程访问软件。

证据还区分了遭扫描的网络与成功遭入侵的网络。执法部门确认，台湾天然气和电力公司、南卡罗来纳州电力公司、日本和波兰的机场，以及一家跨国非政府组织，都是Microscan的扫描目标。但当局没有透露这些机构是否都成功遭到入侵。

关于高校，现有证据更为具体。一份FBI宣誓书称，Microscan于2022年8月和2023年3月扫描两所台湾高校后，成功实施了入侵。另据司法部确认，约20所台湾高校是FishHub活动的受害者。这些机构尚未公开具名；由于两组高校的重合情况未披露，因此不能简单相加。

此次法院行动实际关停了什么

一名联邦治安法官于10月6日批准查封，较公开宣布早两天。搜查令要求域名注册机构锁定这些域名，将其重定向至FBI控制的服务器，并显示查封通知。此举剥夺了运营者对相关网址的使用权；这些网址曾用于支持网络扫描、投放恶意软件，以及持续访问遭入侵的网络。

宾夕法尼亚西区联邦检察官办公室的查封公告列出了7个域名。其中，c0cc[.]cc提供对Microscan的访问。另有5个域名用于投放FishHub恶意软件：98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com和linkedinns[.]net。剩余的98aiblog[.]com则与SoftEther软件有关，该软件被用于维持远程访问。

支持查封行动的宣誓书指称，相关行为违反了《计算机欺诈与滥用法》——这部美国法律禁止未经授权访问计算机。宣誓书还称，购买或续费这些域名所用的资金来自美国境外。查封行动公布时，当局没有宣布逮捕或刑事起诉。法庭文件中的指控不等于定罪。

Microscan将受感染设备变成侦察网络

Microscan是一款用Python编写的网络应用程序。Python是一种广泛使用的编程语言，该应用包含1300多个用于测试安全漏洞的脚本。这类脚本可以用于经授权的安全评估。但调查人员指称，这些脚本被用于检查其他机构的系统漏洞，供安天科技集团的客户加以利用。

该软件会搜索使用OpenSSL、Oracle WebLogic Server、WordPress、Jenkins和Apache Struts等产品的网站及服务。调查人员表示，直到2026年9月9日，仍可通过c0cc[.]cc访问Microscan；它最早可能于2017年就已投入使用。

部分扫描流量经由感染了Mirai恶意软件变种的消费级设备传输。这些设备共同构成了一个僵尸网络，即由运营者控制的一组受感染机器。通过他人的设备转发流量，有助于隐藏扫描活动的来源，并提供分布在多个地点的基础设施。

配套发布的网络安全公告列出了8个常被攻击的漏洞，其编号涵盖2014年至2023年。这些漏洞涉及GNU Bash、Apache Struts、Pulse Secure VPN和GitLab。其中一些漏洞可让攻击者未经许可读取文件，或在存在漏洞的系统上运行命令。这表明，该行动并非只利用新发现的漏洞；未打补丁的旧软件同样给了攻击者可乘之机。

首次入侵后，FishHub协助维持访问并窃取数据

FishHub与Microscan的用途不同。当局指称，FishHub用于支持鱼叉式网络钓鱼，即针对特定对象发送欺骗性信息；它还会在网络遭初步入侵后下载其他恶意软件。这些恶意软件可让安天科技集团的客户远程访问系统，或搜索特定文件并将其传送至该公司控制的服务器。

据称，窃取文件的流程包括列出文档、搜索指定内容、压缩文件，并将其发送出受害者网络。因此，FishHub不只是一个投放工具；攻击者进入网络后，它还能支持信息的收集和外传。

FBI宣誓书称，在一台与FishHub有关的服务器上发现了属于20多个机构的数据和文件，其中包括6所台湾高校。这一发现的范围小于司法部所称的约20所台湾高校受害者。6所高校指的是在一台服务器上发现相关证据，而较大的数字指的是经确认的FishHub活动。两项统计都不能说明全球受影响机构的总数。

高校网络可能存有研究资料、行政记录和通信内容，但官员尚未披露台湾相关机构有哪些类别的信息遭窃。公开信息也没有说明被盗数据的数量，或指出哪些个人的信息可能受到影响。

攻击者利用合法软件潜伏于网络中

FBI、网络安全和基础设施安全局（CISA）、国家安全局及国际合作伙伴联合发布的公告，介绍了攻击者获取凭证并维持访问权限的多种方式。其中包括跨站脚本攻击，这种攻击可利用存在漏洞的网站窃取用户信息；以及针对Microsoft Exchange系统的密码喷洒攻击。密码喷洒是指用少数几个常见密码尝试登录大量账户，而非反复猜测单个账户的密码。

调查人员还发现，攻击者在遭入侵的系统中安装SoftEther VPN软件以维持访问，有时还会将其伪装成合法的Windows文件。VPN可以建立网络连接，供日常远程办公使用。未经授权安装VPN，则可能为攻击者提供持续进入机构系统的通道。

攻击者还使用其他工具收集Active Directory凭证，并从Exchange和Microsoft 365账户提取电子邮件。许多机构使用Active Directory管理用户身份和访问权限，因此被盗凭证可能让攻击者获取首台遭入侵电脑之外的更多权限。调查人员还发现一款定制网络应用，允许第三方浏览被盗邮件，而无需直接访问受影响的账户。

台湾大学计算机科学教授陈缙侬解释了利用现有软件进行恶意活动为何难以察觉：

恶意程序会隐藏在现有的管理软件中，利用合法软件实施恶意行为。例如，它可以下载并导出你的数据，因此更难被发现，因为你看不到有任何额外程序在运行，只会看到原本就在运行的程序。

这一区别对清理工作很重要。只查找陌生程序，可能会漏掉对管理员通常信任的软件的未授权使用。

行动背后是一家公司，而不只是个别黑客

美国当局称，安天科技集团是一家支持中国政府相关网络行动的企业。该公司总部位于北京，并与中国政府签有合同。FBI认为，该公司是私营部门所称“Flax Typhoon”相关活动的幕后组织。

FBI网络部门助理局长布雷特·莱瑟曼在司法部公告中谈及该公司的作用：

中华人民共和国依靠承包商和辅助企业扩大其恶意网络活动的范围和规模。通过揭露并瓦解这些助力方，我们让中华人民共和国更难以攻击美国网络和基础设施。

这份公告称，相关活动与被追踪为“Flax Typhoon”“Ethereal Panda”和“Red Juliett”的行动有所重叠。公告提醒，并非所有重叠活动都必然归因于安天科技集团。因此，这些行动名称不能作为证据，证明所有相关入侵都由同一家公司实施。

FBI网络部门副助理局长杰森·比尔诺斯基直接说明了执法策略：

我们的目标是剥夺威胁行为者的行动能力。我们针对他们的基础设施、资金和工具。

比尔诺斯基称这场黑客行动“肆意且鲁莽”。各机构发布的综合公告还称，目标涵盖政府、制造业、医疗卫生、信息技术、执法、教育和宗教组织，相关活动遍及东南亚、非洲和北美。

最新查封行动与此前行动的关联

此次10月行动是司法部第二次公开通过技术手段瓦解安天科技集团的黑客基础设施。首次行动于2024年9月展开，目标是一个包含全球20多万台消费级设备的Mirai僵尸网络，其中包括摄像头、录像设备以及家庭和办公路由器。

调查记录还提供了2024年6月5日更详细的情况：一个数据库包含超过120万条受感染设备记录，其中有超过38.5万台美国受害者设备，且设备各不相同。当天仍处于活跃感染状态的设备超过26万台，其中约12.6万台位于美国。数据库记录和活跃感染衡量的是不同情况，因此不能把120万理解为运营者同时控制的设备数量。

以下关键日期展现了这场行动及执法应对跨越数年的过程：

• 2022年8月和2023年3月：据FBI宣誓书，Microscan扫描之后，两所台湾高校遭到成功入侵。
• 2024年9月：美国当局瓦解安天科技集团的Mirai僵尸网络，其中包含20多万台消费级设备。
• 2025年1月：美国财政部因安天科技集团参与针对美国基础设施的网络入侵，对其实施制裁。
• 2025年和2026年：英国和欧盟也分别因该公司的网络攻击活动对其实施制裁。
• 2026年9月9日：调查人员确认仍可通过c0cc[.]cc访问Microscan。
• 2026年10月6日：一名联邦治安法官批准查封相关域名。
• 2026年10月8日：司法部和FBI宣布此次行动，并发布联合网络安全公告。

最新行动针对的是扫描、恶意软件投放和远程访问基础设施，并未宣布再次清除一个大型消费级设备僵尸网络。此次行动针对的是据称攻击活动的不同环节。

关键基础设施警告不等于发生了停运

电力公司、天然气企业和机场被列为目标，意味着这场行动带来的担忧不止于数据窃取。CISA代理网络安全执行助理主任克里斯·布特拉警告称，进入关键系统可能带来以下风险：

与中国政府有关联的行为者继续潜伏在关键基础设施网络中，包括运营技术（OT）系统，目的是在他们选择的未来时机扰乱关键功能。

运营技术是指监测或控制物理流程的系统，例如工业设备。这些系统遭到访问，与普通办公电子邮件被访问可能带来不同风险。

布特拉的警告描述的是一种威胁，并不表示调查发现这场行动造成了停电、机场运行中断或台湾天然气供应中断。当局没有披露所有被点名的基础设施目标是否都遭到成功入侵，公告也未证实这些机构的运营系统遭到破坏。

目前公开的证据最能证明的是网络扫描、未经授权访问和信息窃取。将这些调查发现与未来可能遭到破坏的风险区分开来，有助于避免夸大调查人员已经证实的情况。

查封后防御人员需要检查什么

联合公告列出了域名、IP地址、恶意软件哈希值及工具说明，帮助机构调查可能发生的入侵。美国、英国、澳大利亚、加拿大、日本、新西兰和西班牙的机构参与了此次公告工作。

建议采取的措施包括：为暴露于互联网的系统安装补丁；要求通过多重身份验证访问网页邮箱和VPN；停用未使用的服务；检查网络应用日志，寻找扫描或漏洞利用尝试。公告还敦促管理员监测未授权的远程访问软件和异常的Active Directory复制，这些可能表明有人试图复制身份数据。

部分指标的历史可追溯至2016年。应结合具体情况进行调查，而不应自动将其视为当前系统遭到入侵的证据。历史关联有助于还原入侵过程，但单凭一个旧指标，不能证明系统目前仍由攻击者控制。

铭传大学刑事司法学系副教授王柏棋提醒，制裁和技术层面的打击未必能阻止运营者卷土重来：

即使这家公司受到制裁，它也可能另起炉灶，继续从事同样的活动。它可能觉得没什么可怕的，因为公司也许在一个地方，但发动攻击的服务器可能设在其他地方。

FBI圣迭戈办公室主管特别探员布雷特·拉利表示，FBI将监控该公司是否重建基础设施。FBI圣迭戈和巴尔的摩外勤办公室正与FBI网络部门共同调查，日本警察厅也提供了协助。检察官布伦丹·麦肯纳和雅克·辛格-埃梅里负责此案。当局未宣布下一次听证日期或相关期限。

要点

• FBI查封了7个域名，这些域名支持与安天科技集团有关的Microscan、FishHub和未经授权的远程访问。
• 约20所台湾高校确认是FishHub活动的受害者。
• Microscan曾扫描台湾能源企业、南卡罗来纳州一家电力公司、日本和波兰的机场、高校，以及一家跨国非政府组织。
• 当局没有披露所有被点名的基础设施目标是否都遭到成功入侵。
• 此次查封行动之前，美国于2024年9月瓦解了一个僵尸网络；美国、英国和欧盟也已对安天科技集团实施制裁。
• 查封域名可以中断攻击者的基础设施，但不会清除已经进入受害者网络的恶意软件或被盗凭证。
• 此次行动没有宣布逮捕、刑事起诉或下一次听证日期。