FBI beschlagnahmt sieben Domains hinter chinesischen Hacking-Tools gegen taiwanische Universitäten und Energienetze

Sieben Domains beschlagnahmt, rund 20 taiwanische Universitäten als Opfer bestätigt

Das FBI und das US-Justizministerium gaben am 8. Oktober 2026 bekannt, dass sie sieben Internetdomains beschlagnahmt hätten, über die Hacking-Tools der Integrity Technology Group betrieben wurden, eines chinesischen Cybersicherheitsunternehmens mit Regierungsaufträgen. Ein Tool namens Microscan suchte nach Schwachstellen in den Netzwerken taiwanischer Energieunternehmen, von Flughäfen in Japan und Polen sowie eines Stromversorgers in South Carolina. Ein weiteres Tool, FishHub, stand in Verbindung mit bestätigten Angriffen auf rund 20 taiwanische Universitäten.

Die Maßnahme richtete sich gegen die Infrastruktur hinter der als Flax Typhoon bekannten Hacking-Kampagne. Laut der Mitteilung des Justizministeriums vom 8. Oktober wird in den entsiegelten Gerichtsdokumenten des US-Bezirksgerichts für den westlichen Bezirk von Pennsylvania behauptet, die Integrity Technology Group habe Tools entwickelt und betrieben, mit denen ihre Kunden anfällige Netzwerke aufspüren, sich unbefugt Zugang verschaffen und Dateien stehlen konnten.

Das FBI erklärte, die Maßnahme habe die Tools funktionsunfähig gemacht. Das bedeutet nicht, dass alle kompromittierten Netzwerke nun sicher sind: Die Beschlagnahmung von Domains unterbricht die Infrastruktur der Angreifer, entfernt aber nicht automatisch Schadsoftware, gestohlene Zugangsdaten oder Fernzugriffssoftware, die sich bereits in den Systemen der Opfer befindet.

Die Beweislage unterscheidet außerdem zwischen gescannten und erfolgreich angegriffenen Netzwerken. Die Behörden identifizierten taiwanische Erdgas- und Stromversorger, den Stromversorger in South Carolina, Flughäfen in Japan und Polen sowie eine multinationale Nichtregierungsorganisation als Ziele von Microscan. Sie legten nicht offen, ob jede dieser Organisationen tatsächlich kompromittiert wurde.

Bei den Universitäten ist die Beweislage konkreter. Eine FBI-Erklärung unter Eid beschreibt erfolgreiche Angriffe nach Microscan-Scans an zwei taiwanischen Universitäten im August 2022 und im März 2023. Separat dazu nannte das Justizministerium rund 20 taiwanische Universitäten als bestätigte Opfer von FishHub-Aktivitäten. Die Einrichtungen wurden nicht öffentlich benannt. Die beiden Gruppen lassen sich nicht einfach zusammenzählen, da nicht offengelegt wurde, inwieweit sie sich überschneiden.

Was die gerichtliche Maßnahme tatsächlich außer Betrieb setzte

Ein Bundesrichter im Magistratsrang genehmigte die Beschlagnahmungen am 6. Oktober, zwei Tage vor der öffentlichen Bekanntgabe. Der Durchsuchungsbeschluss wies die Domain-Registrierungsstellen an, die Domains zu sperren, auf vom FBI kontrollierte Server umzuleiten und Beschlagnahmungsmitteilungen anzuzeigen. Dadurch wurde den Betreibern die Nutzung von Adressen verwehrt, über die Scans, die Verbreitung von Schadsoftware und der fortgesetzte Zugriff auf kompromittierte Netzwerke ermöglicht wurden.

In der Mitteilung zur Beschlagnahmung des US-Bezirksgerichts für den westlichen Bezirk von Pennsylvania werden sieben Domains aufgeführt. Eine davon, c0cc[.]cc, ermöglichte den Zugriff auf Microscan. Fünf dienten der Verbreitung der FishHub-Schadsoftware: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com und linkedinns[.]net. Die verbleibende Domain, 98aiblog[.]com, stand mit der zur Aufrechterhaltung des Fernzugriffs eingesetzten Software SoftEther in Verbindung.

Die zugrunde liegende eidesstattliche Erklärung wirft Verstöße gegen den Computer Fraud and Abuse Act vor, das US-Gesetz gegen unbefugten Zugriff auf Computer. Zudem heißt es darin, dass Käufe oder Verlängerungen der Domains mit Geld finanziert wurden, das seinen Ursprung außerhalb der Vereinigten Staaten hatte. Zusammen mit den Beschlagnahmungen wurden keine Festnahmen oder Strafanzeigen bekannt gegeben. Die Vorwürfe in den Gerichtsdokumenten sind keine Schuldsprüche.

Microscan machte infizierte Geräte zu einem Aufklärungsnetzwerk

Microscan war eine in Python, einer weit verbreiteten Programmiersprache, geschriebene Webanwendung mit mehr als 1.300 Skripten zum Testen von Sicherheitslücken. Solche Skripte können bei autorisierten Sicherheitsprüfungen legitime Zwecke erfüllen. Den Ermittlern zufolge wurden sie hier jedoch eingesetzt, um die Systeme anderer Organisationen auf Schwachstellen zu untersuchen, die Kunden von Integrity Tech ausnutzen konnten.

Die Software suchte nach Websites und Diensten, auf denen unter anderem OpenSSL, Oracle WebLogic Server, WordPress, Jenkins und Apache Struts liefen. Die Ermittler erklärten, Microscan sei noch am 9. September 2026 über c0cc[.]cc erreichbar gewesen und möglicherweise bereits ab 2017 eingesetzt worden.

Einige Scans liefen über Verbrauchergeräte, die mit einer Variante der Mirai-Schadsoftware infiziert waren. Zusammen bildeten diese Geräte ein Botnetz, also eine Gruppe kompromittierter Rechner, die von einem Betreiber kontrolliert werden. Die Weiterleitung des Datenverkehrs über die Geräte anderer Personen half dabei, den Ursprung der Scans zu verschleiern, und stellte Infrastruktur an vielen verschiedenen Standorten bereit.

Der begleitende Cybersicherheitshinweis nennt acht häufig angegriffene Schwachstellen mit Kennungen aus den Jahren 2014 bis 2023. Dazu zählen Sicherheitslücken in GNU Bash, Apache Struts, Pulse Secure VPN und GitLab. Einige ermöglichen es Angreifern, Dateien unbefugt auszulesen oder Befehle auf einem anfälligen System auszuführen. Die breite Zeitspanne zeigt, dass sich die Kampagne nicht auf neu entdeckte Schwachstellen beschränkte; auch ältere, ungepatchte Software bot Angriffsmöglichkeiten.

FishHub ermöglichte nach dem ersten Angriff Zugriff und Datendiebstahl

FishHub hatte eine andere Funktion als Microscan. Den Behörden zufolge unterstützte es Spear-Phishing, also betrügerische Nachrichten, die sich an bestimmte Empfänger richten, und lud nach einer ersten Kompromittierung des Netzwerks weitere Schadsoftware herunter. Diese Schadsoftware konnte den Kunden von Integrity Tech Fernzugriff ermöglichen oder gezielt nach ausgewählten Dateien suchen und sie an von dem Unternehmen kontrollierte Server übertragen.

Der mutmaßliche Prozess zum Dateidiebstahl umfasste das Auflisten von Dokumenten, die Suche nach bestimmten Inhalten, das Komprimieren von Dateien und deren Übertragung aus dem Netzwerk des Opfers. FishHub war damit mehr als ein Verbreitungsweg: Es unterstützte die Sammlung und Entwendung von Informationen, nachdem sich die Angreifer Zugang verschafft hatten.

Die eidesstattliche FBI-Erklärung beschreibt Daten und Dateien von mehr als 20 Organisationen auf einem mit FishHub verbundenen Server, darunter sechs taiwanische Universitäten. Dieser Befund ist enger gefasst als die Zahl von rund 20 taiwanischen Universitäten, die das Justizministerium als Opfer nannte. Bei den sechs Universitäten geht es um Belege auf einem einzelnen Server, während die größere Zahl bestätigte FishHub-Aktivitäten bezeichnet. Keine der beiden Zahlen belegt die Gesamtzahl der weltweit betroffenen Organisationen.

Universitätsnetzwerke können Forschungsdaten, Verwaltungsunterlagen und Korrespondenz enthalten. Die Behörden haben jedoch nicht offengelegt, welche Arten von Informationen von den taiwanischen Einrichtungen entwendet wurden. Auch die Menge der gestohlenen Daten wurde nicht beziffert, und es wurden keine Personen genannt, deren Informationen betroffen sein könnten.

Legitime Software half den Angreifern, in Netzwerken zu bleiben

Der gemeinsame Hinweis des FBI, der Cybersecurity and Infrastructure Security Agency (CISA), der National Security Agency und internationaler Partner beschreibt mehrere Wege, auf denen die Akteure Zugangsdaten erlangten und ihren Zugriff aufrechterhielten. Dazu gehörten Cross-Site-Scripting-Angriffe, bei denen eine anfällige Website missbraucht werden kann, um Informationen von Nutzern abzugreifen, sowie Passwort-Spraying-Angriffe auf Microsoft-Exchange-Systeme. Beim Passwort-Spraying wird eine kleine Auswahl gängiger Passwörter bei vielen Konten ausprobiert, statt wiederholt das Passwort eines einzelnen Kontos zu erraten.

Die Ermittler beschrieben außerdem den Einsatz der VPN-Software SoftEther auf kompromittierten Systemen, um den Zugriff aufrechtzuerhalten. Teilweise wurde sie als legitime Windows-Datei getarnt. Ein VPN stellt eine Netzwerkverbindung her, die gewöhnliche Fernarbeit ermöglichen kann. Wird es ohne Genehmigung installiert, kann es Angreifern einen dauerhaften Zugangsweg zu den Systemen einer Organisation verschaffen.

Weitere Tools dienten dazu, Zugangsdaten aus Active Directory zu sammeln und E-Mails aus Exchange- und Microsoft-365-Konten auszulesen. Active Directory verwaltet in vielen Organisationen Benutzeridentitäten und Zugriffsrechte. Gestohlene Zugangsdaten können daher Zugriff über den zuerst kompromittierten Computer hinaus ermöglichen. Die Ermittler fanden außerdem eine eigens entwickelte Webanwendung, über die Dritte gestohlene E-Mails durchsuchen konnten, ohne direkt auf die betroffenen Konten zuzugreifen.

Chen Yun-nung, Informatikprofessor an der National Taiwan University, erklärte, warum sich bösartige Aktivitäten mit vorhandener Software schwer erkennen lassen können:

Das Schadprogramm verbirgt sich in vorhandener Verwaltungssoftware und nutzt legitime Software für bösartige Handlungen. Es kann beispielsweise Ihre Daten herunterladen und exportieren. Dadurch ist es schwerer zu erkennen, denn es laufen keine zusätzlichen Programme, sondern nur die ohnehin vorhandenen.

Dieser Unterschied ist bei der Bereinigung wichtig. Wer nur nach unbekannten Programmen sucht, übersieht möglicherweise den unbefugten Einsatz von Software, der Administratoren normalerweise vertrauen.

Ein Unternehmen hinter der Kampagne, nicht nur einzelne Hacker

US-Behörden beschreiben die Integrity Technology Group als Unternehmen, das Cyberoperationen im Auftrag der chinesischen Regierung unterstützt. Das Unternehmen hat seinen Sitz in Peking und Aufträge der chinesischen Regierung. Das FBI betrachtet es als Organisation hinter den Aktivitäten, die in der Privatwirtschaft als Flax Typhoon bekannt sind.

Brett Leatherman, stellvertretender Direktor der Cyberabteilung des FBI, beschrieb die Rolle des Unternehmens in der Mitteilung des Justizministeriums:

Die Volksrepublik China stützt sich auf Auftragnehmer und unterstützende Unternehmen, um Reichweite und Umfang ihrer bösartigen Cyberaktivitäten auszuweiten. Indem wir diese Helfer aufdecken und ihre Aktivitäten unterbinden, erschweren wir es der Volksrepublik China, amerikanische Netzwerke und Infrastrukturen anzugreifen.

Der Hinweis beschreibt Aktivitäten mit Überschneidungen zu Operationen, die unter den Namen Flax Typhoon, Ethereal Panda und Red Juliett verfolgt werden. Zugleich wird darauf hingewiesen, dass nicht alle überschneidenden Aktivitäten zwangsläufig der Integrity Tech zugerechnet werden können. Die Namen der Kampagnen sind daher kein Beleg dafür, dass jeder damit verbundene Angriff von demselben Unternehmen ausgeführt wurde.

Jason Bilnoski, stellvertretender stellvertretender Direktor der Cyberabteilung des FBI, beschrieb die Strategie der Strafverfolgungsbehörden mit deutlichen Worten:

Wir wollen den Bedrohungsakteuren ihre Fähigkeiten nehmen. Wir zielen auf ihre Infrastruktur, ihr Geld und ihre Tools.

Bilnoski bezeichnete die Hacking-Operation als „wahllos und rücksichtslos“. Der umfassendere Hinweis der Behörden beschreibt Ziele in den Bereichen Regierung, Fertigung, Gesundheitswesen, Informationstechnologie, Strafverfolgung, Bildung und Religionsgemeinschaften. Die Aktivitäten erstreckten sich über Südostasien, Afrika und Nordamerika.

Wie die jüngste Beschlagnahmung an frühere Maßnahmen anknüpft

Die Operation im Oktober ist die zweite öffentlich bekannt gemachte technische Maßnahme des Justizministeriums gegen die Hacking-Infrastruktur der Integrity Technology Group. Die erste richtete sich im September 2024 gegen ein Mirai-Botnetz mit weltweit mehr als 200.000 Verbrauchergeräten, darunter Kameras, Videorekorder sowie Router für Heim- und Büronetzwerke.

Ermittlungsunterlagen liefern eine genauere Momentaufnahme vom 5. Juni 2024. Eine Datenbank enthielt mehr als 1,2 Millionen Datensätze infizierter Geräte, darunter mehr als 385.000 einmalig erfasste Geräte von Opfern in den USA. An diesem Tag waren mehr als 260.000 Geräte aktiv infiziert, davon etwa 126.000 in den Vereinigten Staaten. Datenbankeinträge und aktive Infektionen messen unterschiedliche Dinge. Die Zahl von 1,2 Millionen sollte daher nicht als Zahl der Geräte verstanden werden, die gleichzeitig unter der Kontrolle der Betreiber standen.

Die wichtigsten Daten zeigen eine sich über mehrere Jahre erstreckende Kampagne und Reaktion der Behörden:

• August 2022 und März 2023: Laut der eidesstattlichen FBI-Erklärung gingen Microscan-Scans erfolgreichen Angriffen auf zwei taiwanische Universitäten voraus.
• September 2024: US-Behörden störten das Mirai-Botnetz der Integrity Tech mit mehr als 200.000 Verbrauchergeräten.
• Januar 2025: Das US-Finanzministerium verhängte wegen der Beteiligung der Integrity Technology Group an Cyberangriffen auf US-Infrastruktur Sanktionen gegen das Unternehmen.
• 2025 und 2026: Auch das Vereinigte Königreich und die Europäische Union verhängten wegen Cyberangriffen Sanktionen gegen das Unternehmen.
• 9. September 2026: Ermittler bestätigten, dass Microscan weiterhin über c0cc[.]cc erreichbar war.
• 6. Oktober 2026: Ein Bundesrichter im Magistratsrang genehmigte die Beschlagnahmung der Domains.
• 8. Oktober 2026: Das Justizministerium und das FBI gaben die Operation und einen gemeinsamen Cybersicherheitshinweis bekannt.

Die jüngste Maßnahme richtete sich gegen Infrastruktur für Scans, die Verbreitung von Schadsoftware und Fernzugriff, statt eine weitere Zerschlagung eines großen Botnetzes aus Verbrauchergeräten bekannt zu geben. Die Maßnahmen griffen unterschiedliche Teile der mutmaßlichen Operation an.

Warnungen vor Angriffen auf kritische Infrastruktur belegen keinen Ausfall

Dass Stromversorger, Erdgasunternehmen und Flughäfen zu den Zielen gehörten, macht die Kampagne auch über den Datendiebstahl hinaus bedenklich. Chris Butera, amtierender stellvertretender Exekutivdirektor der CISA für Cybersicherheit, warnte vor dem möglichen Zweck des Zugriffs auf kritische Systeme:

Mit der chinesischen Regierung verbundene Akteure verschaffen sich weiterhin Zugang zu Netzwerken kritischer Infrastrukturen, darunter auch zu Systemen der Betriebstechnik (Operational Technology, OT), um kritische Funktionen zu einem von ihnen gewählten späteren Zeitpunkt stören zu können.

Betriebstechnik bezeichnet Systeme, die physische Abläufe überwachen oder steuern, etwa Industrieanlagen. Der Zugriff auf solche Systeme birgt andere Risiken als der Zugriff auf gewöhnliche Büro-E-Mails.

Buteras Warnung beschreibt eine Bedrohung. Sie belegt nicht, dass diese Kampagne einen Stromausfall, Störungen an Flughäfen oder eine Unterbrechung der Gasversorgung in Taiwan verursacht hat. Die Behörden haben nicht offengelegt, ob alle genannten Ziele der kritischen Infrastruktur erfolgreich angegriffen wurden. Auch geht aus der Mitteilung nicht hervor, dass die Betriebssysteme dieser Organisationen kompromittiert wurden.

Am besten belegt sind bislang Scans, unbefugter Zugriff und Informationsdiebstahl. Diese Befunde von der Möglichkeit künftiger Störungen zu unterscheiden, verhindert, dass die nachgewiesenen Erkenntnisse übertrieben dargestellt werden.

Was Verantwortliche nach der Beschlagnahmung prüfen sollten

Der gemeinsame Hinweis enthält Domains, IP-Adressen, Hashwerte von Schadsoftware und Beschreibungen der Tools, um Organisationen bei der Untersuchung möglicher Angriffe zu unterstützen. Behörden aus den Vereinigten Staaten, dem Vereinigten Königreich, Australien, Kanada, Japan, Neuseeland und Spanien wirkten an dem Hinweis mit.

Zu den empfohlenen Maßnahmen gehören, Systeme mit Internetzugang zu aktualisieren, Mehr-Faktor-Authentifizierung für Webmail und VPN-Zugänge vorzuschreiben, ungenutzte Dienste zu deaktivieren und Protokolle von Webanwendungen auf Scan- oder Ausnutzungsversuche zu prüfen. Administratoren sollen außerdem unbefugte Fernzugriffssoftware und unerwartete Replikationen von Active Directory überwachen, die auf Versuche zur Vervielfältigung von Identitätsdaten hindeuten können.

Einige Indikatoren stammen aus dem Jahr 2016. Sie sollten im jeweiligen Kontext untersucht und nicht automatisch als Beleg für eine aktuelle Kompromittierung behandelt werden. Historische Zusammenhänge können helfen, einen Angriff zu rekonstruieren. Ein veralteter Indikator allein belegt jedoch nicht, dass ein System derzeit von Angreifern kontrolliert wird.

Wang Po-chi, außerordentlicher Professor für Kriminalistik an der Ming Chuan University, warnte, Sanktionen und technische Maßnahmen könnten die Betreiber möglicherweise nicht daran hindern, zurückzukehren:

Selbst wenn dieses Unternehmen mit Sanktionen belegt wird, könnte es einen neuen Betrieb aufbauen und dieselben Aktivitäten wieder aufnehmen. Es könnte wenig zu befürchten haben, weil das Unternehmen zwar an einem Ort ansässig ist, die Server, von denen aus die Angriffe gestartet werden, aber anderswo stehen könnten.

Brett Lally, leitender Sonderermittler des FBI in San Diego, erklärte, die Behörde werde beobachten, ob das Unternehmen seine Infrastruktur wieder aufbaue. Die Außenstellen in San Diego und Baltimore ermitteln gemeinsam mit der Cyberabteilung des FBI; außerdem unterstützte die japanische Nationalpolizei die Ermittlungen. Die Staatsanwälte Brendan McKenna und Jacques Singer-Emery bearbeiten den Fall. Ein Termin für die nächste Anhörung oder eine Frist wurde nicht bekannt gegeben.

Die wichtigsten Punkte

• Das FBI beschlagnahmte sieben Domains, über die Microscan, FishHub und unbefugter Fernzugriff im Zusammenhang mit der Integrity Technology Group unterstützt wurden.
• Rund 20 taiwanische Universitäten wurden als Opfer von FishHub-Aktivitäten bestätigt.
• Microscan zielte auf taiwanische Energieunternehmen, einen Stromversorger in South Carolina, Flughäfen in Japan und Polen, Universitäten sowie eine multinationale Nichtregierungsorganisation.
• Die Behörden legten nicht offen, ob alle genannten Ziele der kritischen Infrastruktur erfolgreich angegriffen wurden.
• Die Beschlagnahmungen folgen auf die Zerschlagung eines Botnetzes im September 2024 und Sanktionen der Vereinigten Staaten, des Vereinigten Königreichs und der Europäischen Union.
• Die Beschlagnahmung von Domains unterbricht die Infrastruktur der Angreifer, entfernt aber weder Schadsoftware noch gestohlene Zugangsdaten, die sich bereits in den Netzwerken der Opfer befinden.
• Im Zusammenhang mit der Operation wurden weder Festnahmen noch Strafanzeigen oder ein Termin für die nächste Anhörung bekannt gegeben.