概要

FBIと米司法省は10月8日、中国を拠点とする国家支援ハッカー集団「Flax Typhoon」(Ethereal Panda、RedJuliettとも呼ばれる)が使用していたハッキングツールに関連するドメイン7件を押収したと発表した。押収対象は、脆弱性スキャンツール「MicroScan」へのアクセスに使われたc0cc.cc、スピアフィッシングツール「FishHub」のマルウェア配布に使われた98aicai.com、98aicode.com、outlook3650.com、youtubecard.com、linkedinns.net、そしてSoftEther VPNによる持続的アクセス維持に使われた98aiblog.comの7ドメイン。これらのツールを開発・運用していたのは、中国政府との関係が指摘される北京のコンピュータセキュリティ企業Integrity Technology Group(Integrity Tech)で、同社インフラの無力化はこれが2024年9月以来、約2年ぶり2度目となる。FBIサイバー部門のBrett Leatherman次官補は「中国政府は請負企業を活用してサイバー攻撃の規模と範囲を拡大している。こうしたイネーブラーを摘発・無力化することで、PRC(中華人民共和国)が米国のネットワークを標的にすることを一層難しくする」と述べた。

MicroScanとFishHub、ボットネットの技術的詳細

MicroScanは2017年から運用されてきたPythonベースの脆弱性スキャナーで、1,300件以上のペネトレーションテスト用スクリプトを内蔵し、NMAPやFscan、WPScanといったオープンソースツールを統合していた。標的にはOracle WebLogic、Apache Struts、WordPress、Jenkins、OpenSSLなど広く使われるソフトウェアが含まれ、Shellshock(CVE-2014-6278)、ProFTPDの脆弱性(CVE-2015-3306)、GitLabのリモートコード実行(CVE-2021-22205)など8件の既知の脆弱性が頻繁に悪用されていた。スキャン対象の探索には、IoT機器やSOHOルーターなどに感染したMirai系ボットネットが併用され、その管理には「Sparrow」という独自アプリケーションが使われていた。2024年6月時点で120万台以上の感染デバイス情報を記録したデータベースサーバーが確認されている。米国内の感染デバイスは約38万5千台に及び、常時アクティブな感染端末は約26万台(うち米国内約12.6万台)に達していたという。一方、2026年3月時点でも稼働が確認されていたFishHubはスピアフィッシングとマルウェア展開を担うツールで、米司法省によれば「Integrity Techの顧客に対し、被害者ネットワークへの不正リモートアクセスを提供するか、特定ファイルを検索してIntegrity Tech管理下のサーバーへ送信していた」。さらに、Microsoft 365アカウントを狙うパスワードスプレー攻撃にはオープンソースの総当たりツール「EBurst」が使われ、窃取したメールを直接のアカウントアクセスなしに第三者が閲覧できる独自アプリケーションも運用されていたことが判明している。

標的となった重要インフラと被害範囲

被害に遭った組織は多岐にわたり、米国政府機関、サウスカロライナ州の電力会社、日本とポーランドの空港、台湾のエネルギー・天然ガス関連の重要インフラ企業、台湾の大学(FishHub関連で約20校)、さらには医療・製造・教育分野の組織や多国籍NGOも含まれていた。押収されたサーバーからは20以上の組織(台湾の大学6校を含む)に関するデータが発見されており、攻撃は2022年4月から12月にかけて活発化していたことも確認されている。英国の国家サイバーセキュリティセンター(NCSC)は、Integrity Techに支援された攻撃者が「自動スキャンのようなAIツールを、大規模ボットネットや手動の侵入技術と組み合わせて独自に活用している」と指摘した。

背景と今後の展望

Integrity Techのインフラ無力化は今回が初めてではない。FBIは2024年9月にも、同社が運用していた20万台超のデバイスからなるMiraiボットネット「Raptor Train」を裁判所の許可を得て解体しており、今回の作戦はそれに続く2度目の措置となる。同社は2025年に英国の制裁対象となり、2026年にはEUも追随して制裁を科した。今回の摘発は、FBI・CISA・NSAに加え、英国・オーストラリア・カナダ・日本・ニュージーランド・スペインの関係機関が参加した共同作業の結果であり、侵害の痕跡(IoC)を含む共同勧告も公開され、各組織にパッチ適用、不要サービスの無効化、多要素認証の導入、入力のサニタイズなどの対策が呼びかけられている。ただし、Flax Typhoonはこれまでも持続的な侵入能力を示してきた高度な脅威であり、今回の摘発が攻撃活動の完全な終息を意味するわけではなく、関係機関は引き続き警戒を求めている。