美司法部與FBI查扣中國政府承包商「Integrity Tech」7個駭客工具網域…確認約20所台灣大學受害

美國司法部與聯邦調查局（FBI）切斷了與中國政府簽訂合約的中國境內廠商「Integrity Technology Group（以下簡稱 Integrity Tech）」所營運的2款駭客工具之存取路徑。遭查扣的網際網路網域共7個。同一天，國家安全局（NSA）、FBI、網路安全和基礎設施安全局（CISA）及盟國機構發布了聯合網路安全諮詢公告（CSA），彙整與該公司相關駭客的手法。

本次行動並非宣布起訴個人。查扣網域的依據為賓州西區聯邦地方法院公開的法庭文件，司法部將該文件內容表述為「指控（as alleged）」，而非既定事實。司法部於美東時間2026年10月8日（台灣時間10月9日）發布的新聞稿中表示：「透過法院核准的查扣行動，阻止了惡意網路行為者存取名為『Microscan』與『FishHub』的兩款駭客工具。」司法部說明，這些工具「曾用於掃描美國及外國的關鍵基礎設施系統，並在部分案例中用於實施駭侵」。司法部並載明 Integrity Tech「與中華人民共和國政府簽有合約」。

FBI 網路處在其官方 X 帳號上表示：「FBI 與司法部瓦解了網路威脅組織『Flax Typhoon』所使用的駭客工具」，並稱「查扣了多個網域，切斷了用於掃描及部分滲透美國關鍵基礎設施之平台的存取路徑」。

https://x.com/FBICyberDiv/status/2108256413084422599

有何改變

本次行動之所以重要，在於美國政府不再僅針對「國家駭客」，而是進一步追查與政府簽約的民間承包商單位，並切斷其設備。先例發生於2024年9月。司法部當時宣布，在法院核准下瓦解了 Integrity Tech 營運的 Mirai 惡意軟體殭屍網路。司法部表示，該殭屍網路是由「美國及全球超過20萬台消費性裝置」組成。本次查扣行動是司法部針對 Integrity Tech 駭客基礎設施所進行的「第二次公開技術瓦解」。

這兩款工具做了什麼

根據司法部公開的法庭文件，Integrity Tech 利用感染 Mirai 變種的物聯網（IoT）裝置建立了殭屍網路。

• Microscan：由 Integrity Tech 開發的偵察與漏洞掃描工具。司法部指出，該公司的「客戶」利用該工具尋找日後可資利用的漏洞。司法部公開的掃描目標包含南卡羅來納州的美國電力公司、跨國非政府組織（NGO）、日本與波蘭的機場、台灣天然氣與電力領域的基礎設施企業，以及2所台灣大學。Integrity Tech 是透過被查扣的網域之一 c0cc[.]cc 存取 Microscan。
• FishHub：鎖定目標型網路釣魚（魚叉式網路釣魚）工具。根據司法部說明，在初步滲透後，該工具會下載額外的惡意軟體，該惡意軟體可開啟遠端未經授權的存取，或尋找特定檔案並回傳至 Integrity Tech 的控制伺服器。司法部列出的確認受害者包含「約20所台灣的大學」。遭查扣的網域中有5個（98aicai[.]com、98aicode[.]com、outlook3650[.]com、youtubecard[.]com、linkedinns[.]net）被用於散播該惡意軟體。

賓州西區聯邦檢察官辦公室的新聞稿指出，剩餘的1個網域與將受害者網路連接至 Integrity Tech 伺服器的未授權遠端管理軟體相關。

FBI 聖地牙哥分局在 X 帳號公告，本次調查由該局主導。

https://x.com/FBISanDiego/status/2108252514365653376

NSA 諮詢公告：「受害領域廣泛」

NSA 於同日發布新聞稿指出，聯合諮詢公告的標題為《中國政府關聯網路威脅行為者結合自動化與手動駭客工具竊取敏感資料》。NSA 引述公告內容解釋，Integrity Tech「使與中國政府關聯的威脅行為者得以利用政府服務與設施、關鍵製造業、醫療與公共衛生、資訊科技等多個領域的美國及外國組織網路」。NSA 指出，攻擊目標亦包含美國執法機構、教育機構、宗教團體，以及東南亞、非洲與北美洲的組織。

NSA 網路安全官方帳號亦發文表示：「Integrity Tech 讓與中國政府關聯的威脅行為者得以利用全球組織網路並竊取核心資料。」CISA 亦在 X 帳號公告已與 FBI 共同發布諮詢公告。

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

關於稱呼方面，NSA 指出其中部分手法與業界稱為「Flax Typhoon」、「Storm 919」、「Ethereal Panda」、「Red Juliet」的手法一致。此為民間資安業界所命名的代號，美國政府將其範圍限定為「部分（some）」。

官員說法

美國司法部負責國家安全事務的助理部長約翰·艾森伯格（John Eisenberg）表示：「美國絕不容許中國或其代理人在網路空間損害美國利益卻不受懲罰。」司法部國家安全處亦將此發言發布於官方 X 帳號。

賓州西區聯邦檢察官特洛伊·里維蒂（Troy Rivetti）表示：「本次查扣是兩年內第二次瓦解 Integrity Tech 的大規模行動。」FBI 網路處副處長布雷特·萊瑟曼（Brett Leatherman）表示：「中國依賴承包商與支援廠商來擴大其惡意網路活動的範圍與規模」，並稱「透過揭露並瓦解這些協助者，使中國更難以針對美國的網路與基礎設施進行攻擊」。

聯合諮詢公告 AA26-281A 揭露的攻擊流程

同日公開的聯合網路安全諮詢公告正式編號為 AA26-281A。編撰機構為 FBI、CISA、NSA，並聯合英國國家網路安全中心（NCSC-UK）、澳洲信號局旗下澳洲網路安全中心（ASD ACSC）、加拿大網路安全中心、日本警察廳與國家網路安全辦公室、紐西蘭國家網路安全中心，以及西班牙國家情報中心（CNI）共同名義發布。公告指出，分析的出發點是 FBI 在多起涉及 Integrity Tech 的調查中所取得並觀察到的技術證據。若司法部的網域查扣屬於刑事及法院程序層面的措施，則該公告即屬於將同一調查所得的入侵指標（IoC）與手法提供給防禦人員的技術文件。

公告整理的偵察階段比司法部新聞稿更為具體。內容記載，攻擊者使用 BBScan、dirsearch、Fscan、ksubdomain、masscan、NMAP、OneForAll、ShuiZe、wpscan 等公開掃描工具來尋找網路與 Web 應用程式的漏洞。主要鎖定的通訊埠為21號（FTP）、22號（SSH）、53號（DNS）、80號（HTTP）、443號（HTTPS）、1080號（SOCKS）。關於 Microscan，公告指出該工具自2017年前後開始使用，Python 架構的 Web 應用程式中包含超過1,300個用於尋找特定漏洞的滲透測試指令碼。指令碼鎖定的服務包含 OpenSSL、Oracle WebLogic、Rejetto、WordPress、Juniper ScreenOS、Jenkins、Apache Struts。

初始入侵與持續存取方式亦按階段載明。公告指出，FBI 查扣了攻擊者利用 JavaScript 與 HTML 進行跨網站指令碼（XSS）攻擊以顯示使用者名稱與密碼輸入欄位來竊取認證資訊的載荷（payload）。另一款工具 EBurst 針對 Microsoft Exchange 伺服器進行密碼噴灑與密碼猜測，並將 Exchange 控制台（ECP）、Exchange Web 服務（EWS）、離線通訊錄（OAB）、Outlook 網頁版（OWA）等十個介面作為攻擊途徑。公告分析，滲透之後，攻擊者將合法 VPN 軟體 SoftEther 的安裝檔案下載至受害裝置，設定為開機時自動重新連線，並將檔案名稱變更為如 conhost.exe 或 dllhost.exe 等常見的 Windows 執行檔名稱，以規避偵測。

在資料收集階段，公告說明名為 DC.exe 的檔案執行了 Active Directory（AD）複寫技術 DCSync，以複製帳號憑證、群組成員名單與信任關係資訊。PHP 指令碼 Curlc4.txt 則是設計為存取 Microsoft EWS API 以取得電子郵件、行事曆與聯絡人等內容，進行壓縮或以 RC4 或 AES-128-CBC 加密後上傳至遠端伺服器。名為 office-cli 的命令列工具則被用於反覆存取 Outlook365 帳號以竊取特定時段的電子郵件。公告載明，電子郵件資料遭竊的確認案例包含東南亞的政府組織、執法機構、醫療系統及宗教機構，在部分案例中，存取外洩資料的權限僅限於來自中國廈門的 IP 位址。這些詳細手法補充了司法部新聞稿對「FishHub」的說明，但不應將確認受害規模包含「約20所台灣的大學」擴大解讀為適用於公告中的所有案例。

建議防禦人員應立即檢查的項目

公告的防禦指引不僅限於一般性的提請注意。編撰機構建議關閉未使用的服務與通訊埠，並將登入頁面與橫幅（banner）對外部請求所洩漏的資訊降至最低。文中亦明確列出應透過驗證 Web 應用程式輸入值來防範 XSS 載荷注入，並以 Webmail、VPN 及核心系統存取帳號為核心，對所有服務實施多因素驗證（MFA）。指南同時載明將預設密碼變更為強密碼、限制並稽核管理員權限帳號並套用最小權限原則，以及開啟瀏覽器的下載與網譽檢查與保護性 DNS。

在修補項目方面，以表格列出了經確認實際成功遭利用的八個漏洞。分別為 CVE-2014-6278、CVE-2015-3306、CVE-2015-5477、CVE-2016-3081、CVE-2019-11510、CVE-2021-22205、CVE-2021-3199、CVE-2023-22894。公告標明其中部分為 CISA「已知遭利用漏洞（KEV）」清單中新列入的項目。在偵測方面，載明應監控濫用合法系統工具的「就地取材（living-off-the-land）」技術未經授權使用跡象、非預期的 AD 複寫、異常掃描與上傳流量、非工作時間登入以及物理上不可能的同時連線。在復原計畫方面，包含將敏感資料與伺服器複本保存在多個經實體隔離且受安全保護的場所，並對離線備份複本設定密碼。

公告中亦載明了疑似遭受入侵時的處理程序。其流程為：隔離或離線確認遭感染的主機，收集日誌與工件（artifact）以確定攻擊者的手法、感染範圍與活動時間表，隨後依照各國指南進行通報，並實施清除對策以加固網路。針對美國組織的通報窗口為 FBI 網際網路犯罪投訴中心（IC3）、轄區 FBI 分局、CISA 24小時運作中心（contact@cisa.dhs.gov、1-844-Say-CISA）。NSA 網路安全諮詢諮詢信箱為 CybersecurityReports@nsa.gov。南韓機構未列入本公告的直接通報對象。

2024年殭屍網路瓦解與本次查扣的差異

2024年9月18日，司法部宣布透過法院核准的行動瓦解了涵蓋美國及全球超過20萬台消費性裝置的殭屍網路。當時受感染的裝置為小型/家庭辦公室（SOHO）路由器、網路攝影機（IP Camera）、數位視訊錄影機（DVR）及網路附加儲存裝置（NAS）。司法部載明，Integrity Tech 透過冠以「KRLab」品牌的線上應用程式操控受感染裝置，並利用其中的「vulnerability-arsenal（漏洞武器庫）」工具提供惡意指令選單。法院核准的行動方式是奪取駭客基礎設施後，透過該基礎設施向受感染裝置的惡意軟體傳送停用指令；司法部表示，在行動期間曾出現針對 FBI 修復基礎設施的分散式阻斷服務（DDoS）干擾企圖，但宣告失敗。

本次2026年的措施為其後續行動，但與其說是方式相同，不如說是目標更為聚焦。2024年主要著重於直接向受感染的消費性裝置傳送指令以切斷殭屍網路連線，FBI 亦事先進行測試以確保指令不會損害裝置的正常功能且不蒐集內容資訊，並表示將透過網際網路服務供應商（ISP）通知美國境內的裝置擁有者。2026年則將重點放在查扣工具的七個存取路徑上，包含1個 Microscan 存取網域、5個 FishHub 相關網域，以及1個遠端管理連線網域。主辦起訴的檢察官為賓州西區聯邦檢察官辦公室助理聯邦檢察官布倫丹·麥肯納（Brendan McKenna）及司法部國家安全處國家安全網路科審判檢察官傑克·辛格-埃默里（Jack Singer-Emery），司法部並指出馬里蘭地檢署助理檢察官托馬斯·沙利文（Thomas Sullivan）及日本警察廳提供了實質支援。FBI 聖地牙哥分局特別探員馬克·雷米利（Mark Remily）亦發表聲明稱「將與執法夥伴一同動用所有調查權限」，此為獨立於前文引述的里維蒂檢察官與萊瑟曼副處長發言之外，刊載於地檢署與總部新聞稿中的現場分局長立場。

中國、台灣，以及南韓

司法部與 NSA 的資料中未包含中國政府或 Integrity Tech 的回應。兩家機構公開的資料並未包含對方的立場。在司法部公開的目標與受害名單中未包含南韓機構。不過，日本警察廳作為對調查提供「實質協助」的機構列名於司法部新聞稿中，日本的機場亦被列入掃描目標。

下一步

司法部已公開 FBI 宣誓書（affidavit）與查扣令。調查工作由 FBI 聖地牙哥分局、巴爾的摩分局及 FBI 網路處負責，公訴則由賓州西區聯邦檢察官辦公室與司法部國家安全處國家安全網路科承辦。司法部在本次發布中並未宣布起訴個人。網路管理員可比對聯合公告中的入侵指標（IoC）進行內部檢查。

資料來源

• 美國司法部公關室新聞稿，2026年10月8日：https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• 美國司法部賓州西區聯邦檢察官辦公室新聞稿，2026年10月8日：https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• 美國國家安全局新聞稿，2026年10月8日：https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• CISA、FBI、NSA 等聯合網路安全諮詢公告 AA26-281A，2026年10月8日：https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• 美國司法部公關室新聞稿，2024年9月18日（Integrity Tech 殭屍網路瓦解）：https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• 內文引述之 X 貼文均為政府機構官方帳號之貼文。