In sintesi
Un sequestro elimina gli strumenti, non le esposizioni che hanno trovato. L'8 ottobre 2026 il Dipartimento di Giustizia statunitense e l'FBI hanno annunciato il sequestro, autorizzato dal tribunale, dei domini usati per far funzionare Microscan, uno scanner di vulnerabilità, e FishHub, una piattaforma di spear phishing e malware. Secondo le autorità, entrambi erano sviluppati e gestiti da Integrity Technology Group, un'azienda di Pechino con contratti governativi cinesi che il settore della sicurezza traccia come Flax Typhoon.
Tra gli obiettivi citati ci sono un fornitore di energia elettrica della Carolina del Sud, aeroporti in Giappone e Polonia, società taiwanesi del gas e dell'energia e una ventina di università taiwanesi. Lo stesso giorno la CISA ha aggiunto al catalogo delle vulnerabilità note sfruttate (KEV) cinque vecchie falle in ProFTPD, ISC BIND, Apache Struts, ONLYOFFICE Docs e Strapi. Se nella vostra infrastruttura girano ancora componenti legacy che nessuno aggiorna da anni, è proprio il tipo di campagna che li trova per primo.
Che cosa ha sequestrato l'FBI, e a chi?
Secondo il Dipartimento di Giustizia, Microscan effettuava ricognizioni sulle reti delle vittime per individuare vulnerabilità da sfruttare, usando una botnet di dispositivi connessi infettati da una variante di Mirai. FishHub entrava in gioco quando un obiettivo abboccava a un'e-mail di phishing: installava ulteriore malware che dava agli operatori accesso remoto e la possibilità di cercare ed esfiltrare file. Secondo The Record, Microscan era in uso dal 2017.
Funzionari dell'FBI hanno definito l'attività «indiscriminata e sconsiderata» e hanno spiegato che l'obiettivo dell'operazione era sottrarre la capacità agli operatori, ha riferito l'Associated Press. L'advisory multinazionale che accompagna l'annuncio documenta anche un'operazione di furto di e-mail ai danni di enti governativi, forze dell'ordine, sanità e organizzazioni religiose, e uno strumento usato per violare Microsoft Exchange con attacchi alle password. È la seconda azione contro l'infrastruttura di Integrity Tech in circa due anni.
Perché falle vecchie di dieci anni sono ancora la porta d’ingresso?
Le falle aggiunte dalla CISA alla sua lista l'8 ottobre non sono nuove. Quelle di ProFTPD e BIND risalgono al 2015, quella di Apache Struts al 2016, quella di ONLYOFFICE al 2021 e quella di Strapi al 2023. Le patch esistono da anni per tutte. BleepingComputer, che ha esaminato gli atti giudiziari, le colloca tra le CVE più spesso prese di mira da Flax Typhoon, insieme a vecchi bug di Bash e Pulse Secure VPN e a una falla di GitLab del 2021.
È uno schema tipico delle grandi campagne di scansione. Gli scanner automatici costano poco e il guadagno arriva dalla coda lunga: un server FTP dimenticato, un DNS interno esposto dopo una modifica al firewall, un'applicazione Struts senza più un responsabile, un CMS self-hosted messo online per una campagna marketing e mai aggiornato. Nessuno di questi richiede uno zero-day.
Cosa cambia per i team software negli Stati Uniti e nell'UE
Primo: la vostra superficie di attacco comprende tutto ciò che un fornitore o un vecchio progetto ha lasciato in giro. La maggior parte delle organizzazioni conosce il proprio stack applicativo principale. Meno sono quelle in grado di dire, entro un'ora, quali versioni di server FTP, DNS, documentali e istanze di CMS headless siano raggiungibili da Internet. Strumenti come Microscan rispondono a questa domanda per gli attaccanti, di continuo.
Secondo: i regolatori trattano già le falle note non corrette come un fallimento di governance. Nell'UE, NIS2 e DORA richiedono ai soggetti interessati una gestione documentata delle vulnerabilità e patch tempestive; un incidente che parte da una CVE del 2015 è difficile da difendere in un'analisi post-incidente. Negli Stati Uniti il catalogo KEV della CISA è vincolante solo per le agenzie federali civili, ma grandi clienti e assicuratori cyber lo usano sempre più come metro di giudizio nei questionari di sicurezza.
Terzo: il phishing resta la seconda metà della catena. FishHub trasformava un'e-mail di phishing riuscita in accesso persistente. La scansione trova il server debole; il phishing trova la persona con accesso a tutto il resto. Le difese devono coprire entrambi: patch e MFA resistente al phishing, non l'una o l'altra.
Cosa significa per le aziende italiane?
Tra gli obiettivi citati c'è un aeroporto in Polonia: campagne di questo tipo non si fermano ai confini dell'UE, e gli operatori europei di infrastrutture critiche rientrano nello stesso raggio di scansione. In Italia lo CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale (ACN) pubblica regolarmente bollettini su vulnerabilità sfruttate, comprese quelle vecchie ma ancora attive, e il tessuto di PMI, enti locali e strutture sanitarie conserva spesso server FTP, DNS e CMS ereditati da fornitori che non ci sono più. È esattamente la coda lunga che uno scanner come Microscan monetizza.
Sul piano normativo la NIS2 è stata recepita con il D.Lgs. 138/2024, che ha ampliato in modo significativo la platea di soggetti essenziali e importanti tenuti a registrarsi presso l'ACN, gestire il rischio e notificare gli incidenti; per gli operatori più strategici si aggiunge il Perimetro di sicurezza nazionale cibernetica. Una falla del 2015 sfruttata su un sistema esposto è difficile da giustificare davanti all'ACN come davanti a un assicuratore. In pratica: inventariate gli asset esposti, usate la lista KEV e i bollettini di CSIRT Italia per dare priorità alle patch e documentate via via cosa correggete o dismettete.
Cosa controllare questa settimana?
- Cercare le cinque voci KEV. ProFTPD (CVE-2015-3306), ISC BIND (CVE-2015-5477), Apache Struts con Dynamic Method Invocation attivo (CVE-2016-3081), ONLYOFFICE Docs (CVE-2021-3199) e Strapi (CVE-2023-22894), in produzione, staging e sugli host dimenticati.
- Costruire un inventario degli asset esterni. Elencare ogni IP pubblico, hostname e servizio esposto con la relativa versione software, compresi i sistemi ospitati da fornitori e i vecchi siti di campagna.
- Dismettere ciò che non si può aggiornare. Se un componente è fuori supporto, isolatelo dietro una VPN o rimuovetelo. Un servizio non aggiornato e senza responsabile è il bersaglio ideale per le scansioni automatiche.
- Imporre la MFA ovunque, anche su Exchange e VPN. L'advisory descrive attacchi alle password contro Microsoft Exchange; una MFA resistente al phishing neutralizza sia il password spraying sia le credenziali rubate con il phishing.
- Controllare gli indicatori. Esaminare gli indicatori di compromissione dell'advisory congiunto e cercare nei log DNS e proxy traffico verso i domini sequestrati.
Domande frequenti
Che cosa ha sequestrato l'FBI a Flax Typhoon?
L'8 ottobre 2026 il Dipartimento di Giustizia e l'FBI hanno annunciato il sequestro, autorizzato dal tribunale, dei domini usati per far funzionare Microscan, uno strumento di scansione delle vulnerabilità, e FishHub, una piattaforma di spear phishing e malware. Secondo l'FBI sono stati sequestrati sette domini. Le autorità affermano che entrambi gli strumenti erano sviluppati e gestiti da Integrity Technology Group, un'azienda cinese con contratti governativi legata a Flax Typhoon.
Chi è stato preso di mira da Microscan e FishHub?
Tra gli obiettivi indicati dalle autorità statunitensi ci sono un fornitore di energia elettrica della Carolina del Sud, aeroporti in Giappone e Polonia, una ONG multinazionale, società taiwanesi del gas naturale e dell'energia e una ventina di università taiwanesi vittime di FishHub.
Quali falle correggere per prime?
Iniziate dalle cinque falle che la CISA ha aggiunto al catalogo delle vulnerabilità note sfruttate l'8 ottobre 2026: ProFTPD CVE-2015-3306, ISC BIND CVE-2015-5477, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199 e Strapi CVE-2023-22894. Poi verificate i vecchi bug di Bash, Pulse Secure VPN e GitLab presi di mira anch'essi da Flax Typhoon.
Il sequestro dei domini ci mette al sicuro?
No. Il sequestro ostacola gli strumenti di un operatore, ma i sistemi vulnerabili che quegli strumenti hanno individuato restano vulnerabili finché non vengono aggiornati, isolati o dismessi. Altri gruppi usano scanner simili contro le stesse falle note.
Il catalogo KEV della CISA è vincolante per le aziende italiane?
Le scadenze vincolanti valgono solo per le agenzie federali civili statunitensi. Le aziende private non sono obbligate per legge, ma grandi clienti, auditor e assicuratori cyber lo usano ampiamente per valutare la disciplina nel patching. Nell'UE, NIS2 e DORA richiedono ai soggetti interessati una gestione documentata delle vulnerabilità; la lista KEV è una base pratica per stabilire le priorità.
Fonti
US Department of Justice — Justice Department and FBI seize vulnerability scanning and spear phishing tools operated and used by China state-sponsored hackers
Associated Press (via Fortune) — FBI says it seized phishing tools used by Chinese hackers in ‘indiscriminate and reckless’ cyber operation
The Record — International coalition seizes tools used by cyber firm behind Flax Typhoon
BleepingComputer — FBI disrupts Chinese hacking tools used to breach critical infrastructure