FBI查扣中國駭客工具背後七個網域，目標包括台灣大學與能源網路

七個網域遭查扣，約20所台灣大學確認受害

美國聯邦調查局（FBI）與司法部於2026年10月8日宣布，已查扣七個網際網路網域，這些網域支援中國資安公司誠信科技集團（Integrity Technology Group）營運的駭客工具。該公司承接中國政府合約。其中一項工具 Microscan 曾搜尋台灣能源公司、日本與波蘭機場，以及南卡羅來納州一家電力公司的網路弱點。另一項工具 FishHub 則與已確認遭入侵的約20所台灣大學有關。

此次行動鎖定名為 Flax Typhoon 的駭客行動背後基礎設施。根據司法部10月8日公告，賓夕法尼亞西區法院解封的法庭文件指控，誠信科技集團開發並營運相關工具，供客戶用來找出網路弱點、未經授權取得存取權限並竊取檔案。

FBI表示，此次行動已使這些工具無法運作。但這不代表所有遭入侵的網路現在都已安全：查扣網域能中斷攻擊者的基礎設施，卻不會自動移除受害者系統中既有的惡意軟體、遭竊憑證或遠端存取軟體。

證據也區分了遭掃描的網路與成功遭入侵的網路。當局指出，台灣天然氣與電力公司、南卡羅來納州電力公司、日本與波蘭的機場，以及一家跨國非政府組織，都是 Microscan 的掃描目標。但當局並未說明上述每個組織是否都成功遭到入侵。

至於大學，證據則更為具體。FBI宣誓書指出，Microscan於2022年8月和2023年3月掃描兩所台灣大學後，成功入侵其網路。另據司法部指出，約20所台灣大學是 FishHub 活動的已確認受害者。這些學校尚未公開具名；由於兩組對象的重疊情況並未公布，因此不能直接相加。

法院行動實際關閉了什麼

聯邦治安法官於10月6日、即公開宣布的兩天前，授權查扣這些網域。令狀要求網域註冊機構鎖定網域、將其重新導向由FBI控制的伺服器，並顯示查扣通知。此舉使營運者無法再使用支援網路掃描、散布惡意軟體及持續存取遭入侵網路的網址。

賓夕法尼亞西區查扣公告列出七個網域。其中，c0cc[.]cc 提供 Microscan 的存取管道。另有五個網域協助散布 FishHub 惡意軟體：98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com 和 linkedinns[.]net。最後一個網域 98aiblog[.]com 則與用於維持遠端存取的 SoftEther 軟體有關。

相關宣誓書指控涉犯《電腦詐欺與濫用法》（Computer Fraud and Abuse Act），這是美國規範未經授權存取電腦的法律。文件也指出，購買或續租這些網域的款項源自美國境外。當局在查扣行動公告中並未宣布逮捕或提出刑事指控。法庭文件中的指控並不代表法院已認定被告有罪。

Microscan將受感染裝置轉化為偵察網路

Microscan是一款以 Python 撰寫的網頁應用程式。Python 是廣泛使用的程式語言；這款應用程式包含逾1,300個用於測試安全弱點的腳本。這類腳本可合法用於經授權的安全評估。但調查人員指控，這些腳本在此案中被用來檢查其他組織的系統弱點，供誠信科技的客戶加以利用。

該軟體會搜尋使用 OpenSSL、Oracle WebLogic Server、WordPress、Jenkins 和 Apache Struts 等產品的網站與服務。調查人員表示，截至2026年9月9日，仍可透過 c0cc[.]cc 存取 Microscan，且它最早可能於2017年就已投入使用。

部分掃描流量經由感染 Mirai 惡意軟體變種的消費性裝置傳送。這些裝置共同組成殭屍網路，也就是由營運者控制的一群遭入侵設備。透過他人裝置轉送流量，有助於隱匿掃描來源，並提供分布於多個地點的基礎設施。

隨附的資安公告列出八個常遭利用的漏洞，漏洞識別碼涵蓋2014年至2023年。其中包括 GNU Bash、Apache Struts、Pulse Secure VPN 和 GitLab 的弱點。部分漏洞允許攻擊者未經許可讀取檔案，或在有漏洞的系統上執行指令。這些漏洞的時間跨度顯示，這場行動並非只利用新發現的缺陷；未修補的舊軟體同樣提供了可乘之機。

FishHub協助攻擊者在首次入侵後維持存取並竊取資料

FishHub的用途與 Microscan 不同。當局指控，FishHub支援魚叉式網路釣魚，也就是針對特定收件者傳送欺騙訊息；並會在初次入侵網路後下載其他惡意軟體。這些惡意軟體可讓誠信科技的客戶遠端存取系統，或搜尋特定檔案並傳送至公司控制的伺服器。

據指控，竊取檔案的流程包括列出文件、搜尋指定資料、壓縮檔案，並將其傳出受害者的網路。因此，FishHub不只是散布工具，也能在攻擊者入侵後協助蒐集並移出資料。

FBI宣誓書指出，在一台與 FishHub 有關的伺服器上，發現屬於20多個組織的資料與檔案，其中包括六所台灣大學。這項發現的範圍小於司法部所稱約20所台灣大學受害者的數字。六所大學是指在一台伺服器上發現證據的對象；較大的數字則指已確認涉及 FishHub 活動的學校。這兩個數字都不能代表全球受影響組織的總數。

大學網路可能存有研究資料、行政紀錄與往來信件，但官員尚未透露台灣各校哪些類別的資料遭竊。公開資訊也未說明遭竊資料的規模，或指出哪些個人的資訊可能受到影響。

攻擊者利用合法軟體在網路中潛伏

FBI、網路安全暨基礎設施安全局（CISA）、國家安全局及國際夥伴共同發布的公告，說明行動者取得憑證並維持存取權限的多種方式。其中包括跨網站指令碼（cross site scripting），可利用有漏洞的網站擷取使用者資訊；以及針對 Microsoft Exchange 系統進行密碼噴灑攻擊。密碼噴灑是以少數常見密碼嘗試登入許多帳戶，而非反覆猜測單一帳戶的密碼。

調查人員也指出，遭入侵系統上安裝了 SoftEther VPN 軟體以維持存取，有時還會偽裝成合法的 Windows 檔案。VPN可建立網路連線，支援一般遠端工作；若未經授權安裝，則可能讓攻擊者持續進入組織系統。

其他工具則用於蒐集 Active Directory 憑證，以及從 Exchange 和 Microsoft 365 帳戶擷取電子郵件。許多組織使用 Active Directory 管理使用者身分與存取權限，因此遭竊憑證可能讓攻擊者取得第一台遭入侵電腦以外的存取權限。調查人員也發現一款客製化網頁應用程式，讓第三方無須直接存取受影響帳戶，就能瀏覽遭竊電子郵件。

國立台灣大學資訊工程學系教授陳縕儂解釋，惡意活動若利用既有軟體，為何難以察覺：

惡意程式藏在既有的管理軟體中，利用合法軟體從事惡意行為。舉例來說，它可以下載並匯出你的資料，因此更難被偵測，因為你看不到有額外程式在執行，只會看到原本就在那裡的程式。

這項差異攸關後續清除工作。若只尋找陌生程式，可能會漏掉未經授權使用管理者平時信任的軟體。

行動背後是公司，而非只有個別駭客

美國當局將誠信科技集團描述為支援中國政府相關網路行動的企業。該公司位於北京，並承接中國政府合約。FBI認定該公司是資安業界所稱 Flax Typhoon 行動的幕後組織。

FBI網路部門助理主任布雷特．利瑟曼（Brett Leatherman）在司法部公告中說明該公司的角色：

中華人民共和國仰賴承包商及提供支援的企業，擴大其惡意網路活動的觸及範圍與規模。揭露並瓦解這些支援者的運作，能讓中華人民共和國更難以鎖定美國網路與基礎設施。

公告指出，相關活動與被追蹤為 Flax Typhoon、Ethereal Panda 和 Red Juliett 的行動有所重疊，但提醒並非所有重疊活動都必然可歸因於誠信科技。因此，這些行動名稱不應被視為所有相關入侵都由同一家公司執行的證據。

FBI網路部門副助理主任傑森．比爾諾斯基（Jason Bilnoski）直接說明執法策略：

我們的目標是讓威脅行動者失去相關能力。我們會鎖定他們的基礎設施、資金和工具。

比爾諾斯基形容這場駭客行動「不分青紅皂白且魯莽」。各機關發布的整體公告指出，受攻擊對象涵蓋政府、製造業、醫療保健、資訊科技、執法、教育及宗教組織，活動範圍遍及東南亞、非洲與北美洲。

此次查扣如何延續先前行動

10月的行動是司法部第二次公開以技術手段瓦解誠信科技的駭客基礎設施。第一次行動於2024年9月展開，目標是一個包含全球逾20萬台消費性裝置的 Mirai 殭屍網路，其中包括攝影機、錄影機，以及家用與辦公室路由器。

調查紀錄提供了2024年6月5日更詳細的情況：一個資料庫包含逾120萬筆受感染裝置紀錄，其中包括超過38.5萬台美國受害者裝置。當日仍有超過26萬台裝置正遭感染，其中約12.6萬台位於美國。資料庫紀錄與當下仍遭感染的裝置數量衡量的是不同情況，因此不能將120萬解讀為同一時間受營運者控制的裝置數量。

以下重要日期呈現這場行動及執法回應如何跨越多年：

• 2022年8月和2023年3月：根據FBI宣誓書，Microscan掃描後，兩所台灣大學遭成功入侵。
• 2024年9月：美國當局瓦解誠信科技的 Mirai 殭屍網路，該網路包含逾20萬台消費性裝置。
• 2025年1月：美國財政部因誠信科技涉及針對美國基礎設施的網路入侵，對該公司實施制裁。
• 2025年和2026年：英國與歐盟也分別因網路攻擊活動制裁該公司。
• 2026年9月9日：調查人員確認仍可透過 c0cc[.]cc 存取 Microscan。
• 2026年10月6日：聯邦治安法官授權查扣網域。
• 2026年10月8日：司法部與FBI宣布行動及聯合資安公告。

最新行動鎖定的是掃描、散布惡意軟體及遠端存取的基礎設施，並非宣布再次移除大型消費性裝置殭屍網路。這些介入行動針對據稱行動中的不同環節。

關鍵基礎設施警告不代表已發生停擺

電力公司、天然氣業者與機場名列目標，代表這場行動的影響不僅止於資料竊取。CISA代理網路安全執行助理主任克里斯．布特拉（Chris Butera）警告，存取關鍵系統可能有何目的：

與中國政府有關聯的行動者持續在關鍵基礎設施網路中預先建立據點，包括營運技術（OT）系統，目的是在未來自行選定的時間癱瘓關鍵功能。

營運技術是指監控或控制實體流程的系統，例如工業設備。存取這些系統所帶來的風險，與存取一般辦公室電子郵件不同。

布特拉的警告描述的是一項威脅，並非認定這場行動已導致停電、機場營運中斷或台灣天然氣供應受阻。當局尚未公布所有列名的基礎設施目標是否都成功遭入侵，公告也未證明這些組織的營運系統已遭到破壞。

目前公開證據最明確指出的是網路掃描、未經授權存取與資訊竊取。將這些已確認的情況與未來可能發生的破壞分開說明，才能避免誇大調查人員已證實的事實。

查扣後防守方應檢查哪些事項

聯合公告列出網域、IP位址、惡意軟體雜湊值及工具說明，協助組織調查可能發生的入侵。美國、英國、澳洲、加拿大、日本、紐西蘭與西班牙的機關共同參與發布公告。

建議措施包括修補暴露於網際網路的系統、要求網頁郵件與VPN存取採用多因素驗證、停用未使用的服務，並檢查網頁應用程式紀錄，確認是否有掃描或漏洞利用的嘗試。管理者也應監控未經授權的遠端存取軟體，以及異常的 Active Directory 複寫活動；後者可能代表有人試圖複製身分資料。

部分指標可追溯至2016年。應根據情境進行調查，而非一律視為目前遭入侵的證據。過往關聯有助於重建入侵過程，但單憑舊指標，無法證明系統目前仍由攻擊者控制。

銘傳大學犯罪防治學系副教授王伯琪提醒，制裁與技術性瓦解行動未必能阻止營運者重返活動：

即使這家公司遭到制裁，也可能另起爐灶，開始同樣的活動。它或許覺得沒什麼好怕的，因為公司可能設在一個地方，但發動攻擊的伺服器可能位於其他地方。

FBI聖地牙哥分局督導特別探員布雷特．拉利（Brett Lally）表示，該局將監控公司是否重建基礎設施。聖地牙哥與巴爾的摩分局正與FBI網路部門共同調查，日本警察廳也提供協助。檢察官布蘭登．麥肯納（Brendan McKenna）與賈克．辛格－艾默里（Jacques Singer-Emery）負責此案。當局尚未公布下一次聽證日期或期限。

重點整理

• FBI查扣七個網域，這些網域支援 Microscan、FishHub，以及與誠信科技集團有關的未經授權遠端存取。
• 約20所台灣大學確認是 FishHub 活動的受害者。
• Microscan的掃描目標包括台灣能源公司、南卡羅來納州一家電力公司、日本與波蘭的機場、大學，以及一家跨國非政府組織。
• 當局並未說明每個列名的基礎設施目標是否都成功遭到入侵。
• 此次查扣延續2024年9月瓦解殭屍網路的行動，以及美國、英國與歐盟實施的制裁。
• 查扣網域可中斷攻擊者的基礎設施，但不會移除受害者網路中既有的惡意軟體或遭竊憑證。
• 當局在此次行動中未宣布逮捕、刑事指控或下一次聽證日期。