【中国观察北京时间2026年10月10日讯】
美国查封七个域名打击中国关联黑客网络 Microscan与FishHub如何威胁全球关键基础设施
美国司法部（U.S. Department of Justice）与联邦调查局（Federal Bureau of Investigation，FBI）10月8日宣布，根据法院授权查封七个互联网域名，切断两款名为Microscan与FishHub的网络攻击工具的部分运行和传播渠道。美国政府指称，这两款工具与中国网络安全企业永信至诚科技集团（Integrity Technology Group）有关，并被用于针对美国及其他国家和地区的关键基础设施、教育机构和其他组织开展漏洞扫描、网络入侵及数据窃取活动。此次行动不仅针对恶意软件和技术平台，也将调查焦点指向中国企业与国家关联网络活动之间的关系。
美国司法部公布的法院文件指称，永信至诚的相关人员运营并使用了这些工具，参与的网络活动被网络安全行业追踪为“亚麻台风”（Flax Typhoon）。美方称，该公司与中国政府部门存在合同关系，并认为相关企业为中国关联网络行为者提供了扩大攻击规模的技术能力。不过，企业与政府存在合同关系，并不单独构成参与网络攻击的证据；具体责任仍应以法院文件、技术证据和司法程序为依据。美国司法部此次公布的是查封行动及相关指控，不能将所有指控直接表述为已经由法院判决确认的事实。
Microscan扫描漏洞 为后续入侵寻找入口
根据美国司法部披露的信息，Microscan主要用于侦察目标网络、识别软件和系统中的安全漏洞。攻击者可以利用这类工具批量检查互联网服务，寻找存在漏洞的服务器、网站和网络设备，再决定是否进一步尝试入侵。漏洞扫描本身并不必然违法，企业安全团队也会使用类似技术检查自身系统；关键区别在于是否获得授权，以及扫描结果是否被用于未经许可的入侵、控制系统或窃取数据。
美国调查材料称，Microscan与一个由感染Mirai恶意软件变种的物联网设备组成的僵尸网络配合使用。所谓僵尸网络，是指大量被恶意程序控制的联网设备。摄像头、路由器、数字录像设备等如果存在漏洞或使用弱密码，可能在用户不知情的情况下被攻击者控制，并被用于扫描其他网络或执行远程指令。设备所有者即使没有主动参与攻击，也可能因为设备被劫持而成为攻击链条的一部分。
美国司法部列出的Microscan扫描目标包括美国南卡罗来纳州的一家电力公司、一个跨国非政府组织、日本和波兰的机场、台湾天然气与电力领域的关键基础设施企业，以及两所台湾大学。网络安全媒体根据法院宣誓书进一步报道，其中两所台湾大学的网络在2022年和2023年遭到扫描后发生入侵。不过，美方没有在公告中确认上述电力公司、机场和能源企业全部遭到成功入侵，因此，扫描目标与已经证实的入侵受害者不能混为一谈。
FishHub通过钓鱼攻击扩大控制并窃取数据
与主要用于漏洞侦察的Microscan不同，FishHub被美方指称用于鱼叉式网络钓鱼及后续恶意程序投放。鱼叉式钓鱼通常针对特定机构或人员设计诱骗内容，试图让目标打开恶意附件、点击虚假链接，或在伪造页面中输入账号和密码。一旦攻击者取得初始访问权限，就可能利用FishHub向受害网络投放其他恶意程序。
美国司法部称，这些后续程序可以为相关客户提供未经授权的远程访问能力，也能够搜索特定文件，并将文件发送至由永信至诚控制的服务器。换句话说，风险并不局限于某台电脑短暂受到干扰；如果攻击者获得持续访问权限，就可能进一步接触机构内部文件、通信资料和其他敏感信息。对于高校、政府部门和关键基础设施运营商，未经授权的长期访问尤其危险，因为攻击者可能在相当长的时间内隐藏活动，直到数据异常外传或系统遭到破坏才被发现。
美国司法部称，FishHub相关活动已确认涉及约20所台湾大学。网络安全媒体根据调查宣誓书报道，调查人员在与该工具有关的服务器上发现了20多个组织的数据和文件，其中包括六所台湾大学。两组数字对应的统计口径并不完全相同，不应简单相加，也不意味着所有相关机构遭受了同样程度的损害。
此次被查封的七个域名分别为c0cc.cc、98aicai.com、98aicode.com、outlook3650.com、youtubecard.com、linkedinns.net和98aiblog.com。美国司法部表示，其中一个域名用于访问Microscan平台，五个域名被用于投放FishHub相关恶意程序，另一个域名则与未经授权的远程管理软件有关。这些域名是相关技术基础设施的一部分，查封它们可以切断特定访问路径，但并不等于所有受感染设备都已清除恶意程序，也不意味着攻击者不可能更换域名、服务器或工具继续活动。
超过20万台设备曾卷入僵尸网络调查
此次行动并非美国执法部门第一次针对永信至诚相关网络基础设施采取技术措施。美国司法部称，2024年9月曾通过法院授权行动，破坏一个由该公司运营、感染Mirai恶意软件变种的僵尸网络。当时涉及的设备超过20万台，分布于美国及全球其他地区。
这类僵尸网络的规模说明，网络攻击不一定需要攻击者亲自控制每一台设备。只要能够感染大量联网终端，就可能把它们组织成分布式基础设施，用于扫描目标、隐藏真实来源或执行其他网络活动。对于普通家庭和小型企业，未及时更新固件、长期使用默认密码、将管理接口直接暴露在互联网等做法，都可能使路由器、摄像头和其他设备成为攻击链条中的薄弱环节。
美国此次查封行动还配合发布了网络安全通报，为企业和机构提供与相关活动有关的入侵指标，帮助网络防御人员检查系统是否存在可疑访问。美国网络安全和基础设施安全局（Cybersecurity and Infrastructure Security Agency，CISA）、国家安全局（National Security Agency，NSA）以及国际合作伙伴参与了相关网络安全通报工作。对防御人员，域名封锁只是应对措施之一；检查系统日志、排查异常账号、修补已知漏洞、限制不必要的远程访问并启用多因素认证，同样不可缺少。
网络安全争端背后是国家责任与企业边界
美国政府将此次案件放在中国国家关联网络活动的背景下，强调承包商和技术服务企业可能为相关行动提供工具、基础设施和规模化能力。此类指控涉及的不仅是某一款软件是否被滥用，也包括企业的产品研发、客户关系、政府合同和技术运作是否被用于未经授权的跨境网络活动。由于网络攻击可以跨越国界，受害者往往难以在事件发生时确定攻击来源，司法调查和国际技术合作因而成为追踪责任的重要手段。
但网络归因本身具有复杂性。攻击者可以借助被感染的第三方设备、代理服务器和伪造的基础设施掩盖来源；不同攻击组织也可能重复使用相似工具。因此，判断某个企业、组织或国家是否应对具体攻击负责，需要综合恶意程序样本、服务器记录、操作模式、人员和资金关系，以及其他可以相互印证的证据。政府公告可以提供调查结论和指控内容，却仍应接受证据审查。
对美国及其盟友来说，查封域名能够提高攻击者维持现有基础设施的成本，并向网络服务提供者和相关企业释放执法信号。不过，真正决定长期防御效果的，还包括受害机构是否及时修复漏洞、是否发现已被窃取的数据、是否排除攻击者留下的远程访问渠道，以及是否建立持续监测机制。一次查封行动可以破坏攻击链条中的重要节点，却不能替代日常的网络安全建设。
网络空间的安全越来越与电力、能源、交通、教育和政府服务直接相关。倘若攻击者能够利用被劫持的联网设备进行大规模侦察，再通过钓鱼和恶意程序进入机构内部，损失就可能从信息泄露扩大到业务中断和关键服务风险。此次美国司法部与联邦调查局的行动再次凸显，网络安全不仅是软件和服务器的技术问题，也涉及企业责任、政府监管、跨境执法与国际信任。接下来，调查证据能否进一步公开、相关机构能否确认并修复受影响系统，以及司法程序能否厘清各方责任，将决定这次行动能否从切断技术渠道进一步转化为可持续的安全成果。
