Das Wichtigste in Kürze
Eine Beschlagnahme entfernt die Werkzeuge, nicht die Schwachstellen, die sie gefunden haben. Am 8. Oktober 2026 gaben das US-Justizministerium und das FBI gerichtlich angeordnete Beschlagnahmen von Domains bekannt, über die Microscan, ein Schwachstellen-Scanner, und FishHub, eine Plattform für Spear-Phishing und Schadsoftware, betrieben wurden. Laut den Behörden wurden beide von der Integrity Technology Group entwickelt und betrieben, einem Pekinger Unternehmen mit chinesischen Regierungsaufträgen, das die Sicherheitsbranche als Flax Typhoon führt.
Zu den genannten Zielen gehören ein Energieversorger in South Carolina, Flughäfen in Japan und Polen, taiwanische Gas- und Stromversorger sowie rund 20 taiwanische Universitäten. Am selben Tag nahm die CISA fünf alte Lücken in ProFTPD, ISC BIND, Apache Struts, ONLYOFFICE Docs und Strapi in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Wenn in Ihrer Landschaft noch Altkomponenten laufen, die seit Jahren niemand aktualisiert hat, ist das genau die Art Kampagne, die sie zuerst findet.
Was hat das FBI beschlagnahmt – und von wem?
Laut Justizministerium klärte Microscan die Netze der Opfer auf, um ausnutzbare Schwachstellen zu finden, und nutzte dafür ein Botnetz aus internetfähigen Geräten, die mit einer Mirai-Variante infiziert waren. FishHub übernahm, sobald ein Ziel auf eine Phishing-Mail hereingefallen war: Die Plattform lud weitere Schadsoftware nach, die den Betreibern Fernzugriff verschaffte und es ihnen erlaubte, Dateien zu durchsuchen und abzuziehen. Laut The Record war Microscan seit 2017 im Einsatz.
FBI-Vertreter nannten das Vorgehen „wahllos und rücksichtslos“ und erklärten, Ziel der Aktion sei, den Betreibern diese Fähigkeit zu nehmen, berichtete die Associated Press. Das begleitende multinationale Advisory dokumentiert zudem eine E-Mail-Diebstahlskampagne gegen Behörden, Polizei, Gesundheitswesen und religiöse Organisationen sowie ein Werkzeug, mit dem per Passwortangriff in Microsoft Exchange eingebrochen wurde. Es ist die zweite Störaktion gegen Infrastruktur von Integrity Tech binnen etwa zwei Jahren.
Warum sind zehn Jahre alte Lücken immer noch das Einfallstor?
Die Lücken, die die CISA am 8. Oktober in ihre Liste aufnahm, sind nicht neu. Die Fehler in ProFTPD und BIND stammen von 2015, die Apache-Struts-Lücke von 2016, die in ONLYOFFICE von 2021 und die in Strapi von 2023. Für alle gibt es seit Jahren Patches. BleepingComputer, das die Gerichtsunterlagen ausgewertet hat, zählt sie zu den CVEs, die Flax Typhoon am häufigsten ins Visier nahm – neben älteren Fehlern in Bash und Pulse Secure VPN sowie einer GitLab-Lücke von 2021.
Dieses Muster ist bei großen Scan-Kampagnen typisch. Automatisierte Scanner sind billig, der Ertrag kommt aus dem „Long Tail“: ein vergessener FTP-Server, eine interne DNS-Maschine, die nach einer Firewall-Änderung offenliegt, eine Struts-Anwendung ohne Verantwortlichen, ein selbst gehostetes CMS für eine Marketingkampagne, das nie aktualisiert wurde. Nichts davon erfordert einen Zero-Day.
Was das für Software-Teams in den USA und der EU bedeutet
Erstens: Zu Ihrer Angriffsfläche gehört alles, was ein Dienstleister oder ein altes Projekt zurückgelassen hat. Die meisten Unternehmen kennen ihren Haupt-Stack. Weniger können binnen einer Stunde sagen, welche Versionen von FTP-, DNS-, Dokumentenservern und Headless-CMS-Instanzen aus dem Internet erreichbar sind. Werkzeuge wie Microscan beantworten diese Frage für Angreifer laufend.
Zweitens: Regulierer werten ungepatchte, bekannte Lücken bereits als Governance-Versagen. In der EU erwarten NIS2 und DORA von betroffenen Einrichtungen ein dokumentiertes Schwachstellenmanagement und zeitnahes Patchen; ein Vorfall, der mit einer CVE von 2015 beginnt, ist in der Nachbetrachtung schwer zu verteidigen. In den USA ist der KEV-Katalog der CISA nur für zivile Bundesbehörden verbindlich, doch Großkunden und Cyberversicherer nutzen ihn zunehmend als Maßstab in Sicherheitsfragebögen.
Drittens: Phishing bleibt die zweite Hälfte der Kette. FishHub machte aus einer erfolgreichen Phishing-Mail dauerhaften Zugriff. Scans finden den schwachen Server, Phishing findet die Person mit Zugang zu allem anderen. Die Abwehr muss beides abdecken: Patchen und phishing-resistente MFA, nicht das eine oder das andere.
Was bedeutet der Fall für Unternehmen im DACH-Raum?
Unter den genannten Zielen ist ein Flughafen in Polen – das Muster macht also nicht an der EU-Grenze halt, und europäische Betreiber kritischer Infrastruktur liegen im selben Scan-Raster. Im DACH-Raum ist das Problem gut dokumentiert: Das BSI warnt seit Jahren wiederholt vor Tausenden aus dem Internet erreichbaren Exchange-Servern in Deutschland, die keine aktuellen Sicherheitsupdates haben. Gerade im Mittelstand laufen alte FTP-Server, selbst betriebene DNS-Systeme und vergessene Kampagnen-CMS oft noch auf Hosting-Verträgen, die niemand mehr verantwortet.
Regulatorisch wächst der Druck: Mit der nationalen Umsetzung von NIS2 fallen in Deutschland deutlich mehr Unternehmen als bisher unter Pflichten zu Risikomanagement und Meldung, und KRITIS-Betreiber müssen „Stand der Technik“ nachweisen – eine ausgenutzte Lücke von 2015 ist damit kaum vereinbar. In der Schweiz gilt seit April 2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gegenüber dem Bundesamt für Cybersicherheit (BACS). Praktisch heißt das: externe Assets inventarisieren, die KEV-Liste und die Warnungen von CERT-Bund bzw. den nationalen CERTs als Patch-Priorität nutzen und die Nachweise für die nächste Prüfung gleich mitdokumentieren.
Was sollten Teams diese Woche prüfen?
- Nach den fünf KEV-Einträgen suchen. ProFTPD (CVE-2015-3306), ISC BIND (CVE-2015-5477), Apache Struts mit aktivierter Dynamic Method Invocation (CVE-2016-3081), ONLYOFFICE Docs (CVE-2021-3199) und Strapi (CVE-2023-22894) – in Produktion, Staging und auf vergessenen Hosts.
- Ein externes Asset-Inventar aufbauen. Jede öffentliche IP, jeden Hostnamen und jeden exponierten Dienst samt Softwareversion erfassen – einschließlich von Dienstleistern gehosteter Systeme und alter Kampagnenseiten.
- Abschalten, was sich nicht patchen lässt. Ist eine Komponente aus dem Support gefallen, hinter ein VPN legen oder entfernen. Ein ungepatchter Dienst ohne Verantwortlichen ist das ideale Ziel für automatisierte Scans.
- MFA überall erzwingen, auch für Exchange und VPN. Das Advisory beschreibt Passwortangriffe auf Microsoft Exchange; phishing-resistente MFA entschärft sowohl Password Spraying als auch abgefischte Zugangsdaten.
- Die Indikatoren prüfen. Die Indicators of Compromise aus dem gemeinsamen Advisory sichten und in DNS- und Proxy-Logs nach Verkehr zu den beschlagnahmten Domains suchen.
Häufige Fragen
Was hat das FBI bei Flax Typhoon beschlagnahmt?
Am 8. Oktober 2026 gaben Justizministerium und FBI gerichtlich angeordnete Beschlagnahmen von Domains bekannt, über die Microscan, ein Werkzeug für Schwachstellen-Scans, und FishHub, eine Plattform für Spear-Phishing und Schadsoftware, liefen. Laut FBI wurden sieben Domains beschlagnahmt. Nach Angaben der Behörden wurden beide Werkzeuge von der Integrity Technology Group entwickelt und betrieben, einem chinesischen Unternehmen mit Regierungsaufträgen, das mit Flax Typhoon in Verbindung steht.
Wen haben Microscan und FishHub angegriffen?
Zu den von US-Behörden genannten Zielen gehören ein Energieversorger in South Carolina, Flughäfen in Japan und Polen, eine multinationale NGO, taiwanische Erdgas- und Stromversorger sowie rund 20 taiwanische Universitäten, die Opfer von FishHub wurden.
Welche Lücken sollten wir zuerst patchen?
Beginnen Sie mit den fünf Lücken, die die CISA am 8. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen hat: ProFTPD CVE-2015-3306, ISC BIND CVE-2015-5477, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199 und Strapi CVE-2023-22894. Prüfen Sie danach ältere Lücken in Bash, Pulse Secure VPN und GitLab, die Flax Typhoon ebenfalls ausnutzte.
Sind wir durch die Beschlagnahme sicher?
Nein. Die Beschlagnahme stört die Werkzeuge eines Betreibers, doch die verwundbaren Systeme, die diese Werkzeuge gefunden haben, bleiben verwundbar, bis sie gepatcht, isoliert oder abgeschaltet sind. Andere Gruppen betreiben ähnliche Scanner gegen dieselben bekannten Lücken.
Ist der KEV-Katalog der CISA für europäische Unternehmen verbindlich?
Verbindliche Fristen gelten nur für zivile US-Bundesbehörden. Private Unternehmen sind rechtlich nicht an den KEV gebunden, doch Großkunden, Prüfer und Cyberversicherer nutzen ihn verbreitet als Maßstab für Patch-Disziplin. In der EU verlangen NIS2 und DORA von betroffenen Einrichtungen ein dokumentiertes Schwachstellenmanagement; die KEV-Liste ist dafür eine praktische Prioritätenliste.
Quellen
US Department of Justice — Justice Department and FBI seize vulnerability scanning and spear phishing tools operated and used by China state-sponsored hackers
Associated Press (via Fortune) — FBI says it seized phishing tools used by Chinese hackers in ‘indiscriminate and reckless’ cyber operation
The Record — International coalition seizes tools used by cyber firm behind Flax Typhoon
BleepingComputer — FBI disrupts Chinese hacking tools used to breach critical infrastructure