米FBIと司法省、中国系ハッカー集団「Flax Typhoon」の重要インフラ侵入ツールを妨害　関連7ドメインを押収

要点

• 米FBIと米司法省は、中国関連のサイバー攻撃集団「Flax Typhoon」が重要インフラの偵察や侵入に用いていたツール群を妨害し、関連する7つのドメインを押収した。

• 攻撃集団の背後にある北京の民間企業「Integrity Technology Group」は、Mirai亜種を用いた大規模なIoTボットネットを構築・管理していた。

• 脆弱性スキャナー「Microscan」や侵入ツール「FishHub」を通じ、日本やポーランドの空港、米電力会社、台湾の重要インフラ企業などが標的となっていた。

• 日本を含む7カ国の治安・サイバー機関が共同勧告を公表し、国家のサイバー攻撃を請け負う民間企業の脅威に対して警告を発した。

• 米連邦捜査局（FBI）と米司法省（DoJ）は2026年10月9日、中国政府との関連が指摘される持続的標的型攻撃（APT：特定の組織を長期間狙うサイバー攻撃手口）集団「Flax Typhoon」の悪用ツールを妨害し、7つの関連ドメインを押収したと発表した。同グループは米国内外の重要インフラに対する脆弱性スキャンや不正侵入を試みており、当局は攻撃プラットフォームへのアクセスを遮断した。今回の作戦により、世界各地のインフラや教育機関を狙っていた攻撃インフラが大幅に制限されたという。

差し押さえられた7ドメインと攻撃基盤の遮断

捜査当局によって差し押さえられたドメインは以下の7件である。

• c0cc[.]cc
• 98aiblog[.]com
• 98aicai[.]com
• 98aicode[.]com
• outlook3650[.]com
• youtubecard[.]com
• linkedinns[.]net

これらのドメインは、標的の脆弱性をスキャンするツールへのアクセス経路や、著名サービスを装った通信基盤として機能していたとされる。当局はこれらを押収することで、攻撃者が米国の重要インフラに対して展開していたスキャンや侵入用プラットフォームへの接続を遮断したと説明している。

背後にある中国企業「Integrity Tech」とボットネットの運用実態

「Ethereal Panda」や「RedJuliett」の別名でも追跡されているFlax Typhoonは、中国・北京に拠点を置く民間企業「Integrity Technology Group（Integrity Tech）」との関与が判明している。同社は中国政府と契約関係にある企業だという。同グループは以前にも、数千台のSOHO（小規模オフィス・家庭用）機器やIoT機器を巻き込んだボットネット（外部から遠隔操作される端末網）「Raptor Train」を運用しており、2024年9月に米裁判所の許可を得た法執行作戦によって解体されていた。

公開された裁判資料によると、同社はマルウェア「Mirai」の亜種を利用したIoTボットネットを構築していたとされる。ボットネットは「Sparrow」という専用アプリケーションで管理され、指揮統制（C2：感染端末へ指令を送る仕組み）には「w8510[.]com」のサブドメインなどを用いて双方向通信を行っていた。特定サーバーのデータベースには2024年6月5日時点で120万台以上の感染端末が記録され、うち38万5,000台以上が一意の米国内端末だったという。また同日時点で、世界全体で約26万台（米国内は約12万6,000台）がアクティブに感染状態を維持していたことが確認されている。

独自ツール「Microscan」と「FishHub」の機能

発表によると、Integrity Techは標的の探索と攻撃実行のために主に2つの独自ツールを運用していた。

1つ目は、標的の偵察と脆弱性スキャンを自動化するPython製のWebツール「Microscan」である。元々は特定IPアドレス（198.13.53[.]226）でホストされ、FBIの供述書によれば2026年9月9日まで今回押収されたドメイン「c0cc[.]cc」経由で利用可能だった。早ければ2017年から稼働していたとみられている。同ツールにはOpenSSL、Oracle WebLogic、WordPress、Jenkins、Apache Struts、Juniper ScreenOS、Rejettoなどの脆弱性を調べる1,300件以上のペネトレーションテスト（疑似侵入テスト）スクリプトが搭載されていた。さらに、NMAPやmasscan、wpscanなどのオープンソースツールも併用し、ネットワークやWebアプリケーションの欠陥を網羅的に探索していたという。

2つ目は、スピアフィッシング（特定の標的を狙った詐欺メール）や不正なプログラム（ペイロード）の配置を通じて侵入するツール「FishHub」である。司法省によれば、このマルウェアは攻撃者に被害者ネットワークへの不正な遠隔アクセス権を提供したほか、特定のファイルを探索して同社の管理サーバーへ転送する機能を備えていた。

日本の空港を含む広範な重要インフラが標的に

Flax Typhoonが標的とした組織には、米サウスカロライナ州の電力会社、多国籍NGO、日本およびポーランドの空港、台湾の天然ガスや電力部門の重要インフラ企業、台湾の大学2校が含まれていた。また、FishHubによる攻撃活動では台湾の大学20校での被害が確認されている。

さらに脅威アクターらは、少なくとも2021年1月中旬以降、PythonやGo言語で作成されたコマンドラインユーティリティを悪用し、標的のネットワークやクラウドサービスへの不正侵入を繰り返していたことも明らかになっている。

7カ国による共同勧告と当局の見解

今回の作戦と歩調を合わせ、米国、英国、オーストラリア、カナダ、日本、ニュージーランド、スペインの7カ国のサイバーセキュリティおよび情報機関が共同勧告（aa26-281a）を公表した。勧告では、Integrity Techのような営利企業が攻撃ツールを開発・販売し、世界各国の組織への侵害を後押ししている現状を強く非難している。

ペンシルベニア州西部地区のTroy Rivetti連邦検事は、「国家主導のハッカーたちは、ファイルの窃盗や脆弱性の悪用を狙い、世界中のネットワークやシステムに対して執拗にアクセスを試み続けている」と指摘した。

また、FBIサイバー部門のBrett Leatherman副部長は、「中国（PRC）は悪質なサイバー活動の規模と範囲を拡大するため、下請け企業や支援企業に依存している。こうした支援者を白日の下にさらし妨害することで、中国が米国のネットワークやインフラを標的にすることを困難にできる」と述べ、国家のサイバー活動を支える民間企業の基盤を解体する重要性を強調している。