FBI Sita Tujuh Domain yang Digunakan Perangkat Peretasan China untuk Menargetkan Universitas Taiwan dan Jaringan Energi

Tujuh domain disita, sekitar 20 universitas Taiwan dipastikan menjadi korban

FBI dan Departemen Kehakiman AS mengumumkan pada 8 Oktober 2026 bahwa mereka telah menyita tujuh domain internet yang mendukung perangkat peretasan yang dioperasikan Integrity Technology Group, perusahaan keamanan siber China yang memiliki kontrak dengan pemerintah. Salah satu perangkat, Microscan, mencari kelemahan di jaringan perusahaan energi Taiwan, bandara di Jepang dan Polandia, serta sebuah perusahaan listrik di South Carolina. Perangkat lainnya, FishHub, terkait dengan penyusupan yang terkonfirmasi di sekitar 20 universitas Taiwan.

Tindakan ini menyasar infrastruktur di balik kampanye peretasan yang dikenal sebagai Flax Typhoon. Menurut pengumuman 8 Oktober Departemen Kehakiman, dokumen pengadilan yang dibuka di Distrik Barat Pennsylvania menduga Integrity Technology Group mengembangkan dan mengoperasikan perangkat yang digunakan kliennya untuk mengidentifikasi jaringan yang rentan, memperoleh akses tanpa izin, dan mencuri berkas.

FBI mengatakan operasi tersebut membuat perangkat-perangkat itu tidak dapat digunakan. Namun, ini bukan berarti semua jaringan yang disusupi kini aman: penyitaan domain mengganggu infrastruktur para penyerang, tetapi tidak otomatis menghapus malware, kredensial curian, atau perangkat lunak akses jarak jauh yang sudah berada di sistem korban.

Bukti yang tersedia juga membedakan jaringan yang dipindai dari jaringan yang berhasil dibobol. Pihak berwenang mengidentifikasi perusahaan gas alam dan listrik Taiwan, perusahaan utilitas South Carolina, bandara Jepang dan Polandia, serta sebuah organisasi nonpemerintah multinasional sebagai sasaran Microscan. Mereka tidak mengungkapkan apakah setiap organisasi tersebut berhasil disusupi.

Bukti mengenai universitas lebih spesifik. Sebuah pernyataan tertulis FBI menjelaskan bahwa pemindaian Microscan diikuti dengan pembobolan yang berhasil di dua universitas Taiwan pada Agustus 2022 dan Maret 2023. Secara terpisah, Departemen Kehakiman mengidentifikasi sekitar 20 universitas Taiwan sebagai korban aktivitas FishHub yang terkonfirmasi. Nama institusi tersebut belum diumumkan ke publik, dan kedua kelompok itu tidak bisa begitu saja dijumlahkan karena sejauh mana keduanya saling tumpang tindih belum diungkapkan.

Apa yang sebenarnya dihentikan melalui tindakan pengadilan

Seorang hakim magistrat federal mengizinkan penyitaan pada 6 Oktober, dua hari sebelum pengumuman kepada publik. Surat perintah tersebut menginstruksikan pengelola registri domain untuk mengunci domain, mengalihkannya ke server yang dikendalikan FBI, dan menampilkan pemberitahuan penyitaan. Langkah ini mencegah operator menggunakan alamat yang mendukung pemindaian, pengiriman malware, dan akses berkelanjutan ke jaringan yang telah disusupi.

Pengumuman penyitaan dari Distrik Barat Pennsylvania menyebutkan tujuh domain. Salah satunya, c0cc[.]cc, menyediakan akses ke Microscan. Lima domain digunakan untuk mengirimkan malware FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, dan linkedinns[.]net. Domain sisanya, 98aiblog[.]com, terkait dengan perangkat lunak SoftEther yang digunakan untuk mempertahankan akses jarak jauh.

Pernyataan tertulis pendukung menuduhkan pelanggaran terhadap Computer Fraud and Abuse Act, undang-undang AS yang mengatur akses tanpa izin ke komputer. Dokumen tersebut juga menyebutkan bahwa pembelian atau perpanjangan domain menggunakan uang yang berasal dari luar Amerika Serikat. Tidak ada penangkapan atau dakwaan pidana yang diumumkan bersamaan dengan penyitaan. Tuduhan dalam dokumen pengadilan bukanlah putusan bersalah.

Microscan mengubah perangkat yang terinfeksi menjadi jaringan pengintaian

Microscan merupakan aplikasi web yang ditulis dengan Python, bahasa pemrograman yang banyak digunakan, dan memuat lebih dari 1.300 skrip untuk menguji kelemahan keamanan. Skrip semacam itu dapat digunakan secara sah dalam pengujian keamanan yang berizin. Dalam kasus ini, penyelidik menduga skrip tersebut digunakan untuk memeriksa sistem organisasi lain demi menemukan kelemahan yang dapat dieksploitasi oleh klien Integrity Tech.

Perangkat lunak tersebut memindai situs web dan layanan yang menjalankan produk seperti OpenSSL, Oracle WebLogic Server, WordPress, Jenkins, dan Apache Struts. Penyelidik mengatakan Microscan masih dapat diakses melalui c0cc[.]cc hingga 9 September 2026, dan mungkin telah digunakan sejak 2017.

Sejumlah pemindaian dialihkan melalui perangkat konsumen yang terinfeksi varian malware Mirai. Secara bersama-sama, perangkat tersebut membentuk botnet, yakni kumpulan mesin yang disusupi dan dikendalikan operator. Mengalihkan lalu lintas melalui perangkat milik orang lain membantu menyamarkan asal pemindaian dan menyediakan infrastruktur yang tersebar di banyak lokasi.

Peringatan keamanan siber yang menyertai pengumuman tersebut mengidentifikasi delapan kerentanan yang umum menjadi sasaran, dengan identifikasi yang berasal dari 2014 hingga 2023. Kerentanan itu mencakup kelemahan pada GNU Bash, Apache Struts, Pulse Secure VPN, dan GitLab. Sebagian memungkinkan penyerang membaca berkas tanpa izin atau menjalankan perintah di sistem yang rentan. Rentang waktu tersebut menunjukkan bahwa kampanye ini tidak terbatas pada kelemahan yang baru ditemukan; perangkat lunak lama yang belum ditambal juga menjadi peluang.

FishHub mendukung akses dan pencurian setelah pembobolan awal

FishHub memiliki fungsi yang berbeda dari Microscan. Pihak berwenang menduga perangkat ini mendukung spear phishing, yaitu pesan menipu yang ditujukan kepada penerima tertentu, serta mengunduh malware tambahan setelah jaringan pertama kali disusupi. Malware tersebut dapat memberikan akses jarak jauh kepada klien Integrity Tech atau mencari berkas tertentu dan mengirimkannya ke server yang dikendalikan perusahaan itu.

Proses pencurian berkas yang diduga terjadi mencakup pembuatan daftar dokumen, pencarian materi tertentu, pemampatan berkas, lalu pengiriman berkas keluar dari jaringan korban. Dengan demikian, FishHub bukan sekadar sarana pengiriman: perangkat ini mendukung pengumpulan dan pengambilan informasi setelah penyerang berhasil masuk.

Pernyataan tertulis FBI menjelaskan adanya data dan berkas milik lebih dari 20 organisasi di sebuah server yang terkait dengan FishHub, termasuk enam universitas Taiwan. Temuan tersebut cakupannya lebih sempit daripada angka sekitar 20 universitas Taiwan yang disebut Departemen Kehakiman sebagai korban. Enam universitas itu merujuk pada bukti yang ditemukan di satu server, sedangkan angka yang lebih besar menggambarkan aktivitas FishHub yang terkonfirmasi. Kedua angka tersebut tidak menunjukkan jumlah total organisasi yang terdampak di seluruh dunia.

Jaringan universitas dapat memuat hasil penelitian, catatan administrasi, dan korespondensi, tetapi pejabat belum mengungkap kategori informasi apa yang diambil dari institusi Taiwan. Keterangan publik juga tidak menyebutkan jumlah data yang dicuri atau mengidentifikasi individu yang informasinya mungkin terdampak.

Perangkat lunak yang sah membantu penyerang bertahan di dalam jaringan

Peringatan bersama dari FBI, Badan Keamanan Siber dan Infrastruktur (CISA), Badan Keamanan Nasional, serta mitra internasional menjelaskan sejumlah cara yang digunakan para pelaku untuk memperoleh kredensial dan mempertahankan akses. Cara-cara tersebut mencakup cross-site scripting, yang dapat menyalahgunakan situs web rentan untuk mengambil informasi pengguna, serta penyebaran kata sandi ke banyak akun Microsoft Exchange. Penyebaran kata sandi menguji sejumlah kecil kata sandi umum pada banyak akun, alih-alih berulang kali menebak kata sandi satu akun.

Penyelidik juga menjelaskan bahwa perangkat lunak VPN SoftEther dipasang pada sistem yang disusupi untuk mempertahankan akses, terkadang dengan menyamarkannya sebagai berkas Windows yang sah. VPN membuat koneksi jaringan yang dapat digunakan untuk pekerjaan jarak jauh biasa. Jika dipasang tanpa izin, VPN dapat memberi penyerang jalur berkelanjutan untuk masuk ke sistem organisasi.

Perangkat lain digunakan untuk mengumpulkan kredensial Active Directory dan mengambil email dari akun Exchange dan Microsoft 365. Active Directory mengelola identitas serta akses pengguna di banyak organisasi, sehingga kredensial yang dicuri dapat membuka akses yang lebih luas dari komputer pertama yang disusupi. Penyelidik juga menemukan aplikasi web khusus yang memungkinkan pihak ketiga menelusuri email curian tanpa mengakses langsung akun yang terdampak.

Chen Yun-nung, profesor ilmu komputer di National Taiwan University, menjelaskan mengapa aktivitas berbahaya yang menggunakan perangkat lunak yang sudah ada dapat sulit diketahui:

Program berbahaya bersembunyi di dalam perangkat lunak manajemen yang sudah ada dan menggunakan perangkat lunak yang sah untuk melakukan tindakan berbahaya. Misalnya, program itu dapat mengunduh dan mengekspor data Anda, sehingga lebih sulit terdeteksi karena Anda tidak akan melihat program tambahan yang berjalan, hanya program asli yang memang sudah ada.

Perbedaan tersebut penting dalam proses pembersihan. Pemeriksaan yang hanya mencari program asing dapat luput mendeteksi penyalahgunaan perangkat lunak yang biasanya dipercaya administrator.

Perusahaan di balik kampanye, bukan sekadar peretas perorangan

Pihak berwenang AS menggambarkan Integrity Technology Group sebagai perusahaan yang mendukung operasi siber terkait pemerintah China. Perusahaan itu berkantor pusat di Beijing dan memiliki kontrak dengan pemerintah China. FBI menilai perusahaan tersebut sebagai organisasi di balik aktivitas yang dikenal di sektor swasta sebagai Flax Typhoon.

Brett Leatherman, asisten direktur Divisi Siber FBI, menjelaskan peran perusahaan tersebut dalam pengumuman Departemen Kehakiman:

Republik Rakyat China mengandalkan perusahaan kontraktor dan perusahaan pendukung untuk memperluas jangkauan dan skala aktivitas siber berbahayanya. Dengan mengungkap dan mengganggu operasi para pendukung ini, kami mempersulit Republik Rakyat China untuk menyasar jaringan dan infrastruktur Amerika.

Peringatan tersebut menjelaskan aktivitas yang tumpang tindih dengan operasi yang dilacak sebagai Flax Typhoon, Ethereal Panda, dan Red Juliett. Peringatan itu mengingatkan bahwa tidak semua aktivitas yang tumpang tindih tersebut tentu dapat dikaitkan dengan Integrity Tech. Karena itu, nama-nama kampanye tersebut tidak boleh dianggap sebagai bukti bahwa setiap penyusupan terkait dilakukan oleh perusahaan yang sama.

Wakil Asisten Direktur Divisi Siber FBI Jason Bilnoski menjelaskan strategi penegakan hukum secara langsung:

Kami berupaya menghilangkan kemampuan para pelaku ancaman. Kami menyasar infrastruktur, uang, dan perangkat mereka.

Bilnoski menyebut operasi peretasan tersebut "tidak pandang bulu dan ceroboh." Peringatan yang lebih luas dari berbagai lembaga menggambarkan sasaran di sektor pemerintahan, manufaktur, layanan kesehatan, teknologi informasi, penegakan hukum, pendidikan, dan organisasi keagamaan, dengan aktivitas yang menjangkau Asia Tenggara, Afrika, dan Amerika Utara.

Bagaimana penyitaan terbaru menyusul tindakan sebelumnya

Operasi pada Oktober merupakan tindakan teknis terbuka kedua Departemen Kehakiman untuk mengganggu infrastruktur peretasan Integrity Tech. Tindakan pertama, pada September 2024, menyasar botnet Mirai yang berisi lebih dari 200.000 perangkat konsumen di seluruh dunia, termasuk kamera, perekam video, serta router rumah dan kantor.

Catatan penyelidikan memberikan gambaran yang lebih terperinci per 5 Juni 2024. Sebuah basis data memuat lebih dari 1,2 juta catatan perangkat terinfeksi, termasuk lebih dari 385.000 perangkat korban unik di AS. Lebih dari 260.000 perangkat sedang aktif terinfeksi pada tanggal tersebut, termasuk sekitar 126.000 di Amerika Serikat. Catatan basis data dan infeksi aktif mengukur hal yang berbeda, sehingga angka 1,2 juta tidak boleh dianggap sebagai jumlah perangkat yang secara bersamaan berada di bawah kendali operator.

Tanggal-tanggal utama menunjukkan kampanye dan respons penegakan hukum yang berlangsung selama beberapa tahun:

• Agustus 2022 dan Maret 2023: Pemindaian Microscan mendahului pembobolan yang berhasil di dua universitas Taiwan, menurut pernyataan tertulis FBI.
• September 2024: Pihak berwenang AS mengganggu botnet Mirai Integrity Tech yang terdiri atas lebih dari 200.000 perangkat konsumen.
• Januari 2025: Departemen Keuangan AS menjatuhkan sanksi kepada Integrity Technology Group atas keterlibatannya dalam penyusupan siber yang menargetkan infrastruktur AS.
• 2025 dan 2026: Inggris dan Uni Eropa masing-masing juga menjatuhkan sanksi kepada perusahaan itu atas aktivitas serangan siber.
• 9 September 2026: Penyelidik memastikan Microscan masih dapat diakses melalui c0cc[.]cc.
• 6 Oktober 2026: Seorang hakim magistrat federal mengizinkan penyitaan domain.
• 8 Oktober 2026: Departemen Kehakiman dan FBI mengumumkan operasi serta peringatan keamanan siber bersama.

Tindakan terbaru menyasar infrastruktur pemindaian, pengiriman malware, dan akses jarak jauh, bukan pengumuman penghapusan botnet perangkat konsumen berskala besar lainnya. Intervensi-intervensi tersebut menyerang bagian berbeda dari operasi yang dituduhkan.

Peringatan soal infrastruktur kritis bukan bukti adanya gangguan layanan

Keterlibatan perusahaan listrik, bisnis gas alam, dan bandara membuat kampanye ini menjadi perhatian di luar pencurian data. Chris Butera, pelaksana tugas wakil direktur eksekutif keamanan siber CISA, memperingatkan tentang kemungkinan tujuan akses ke sistem kritis:

Pelaku yang terkait dengan pemerintah China terus menempatkan diri di dalam jaringan infrastruktur kritis, termasuk sistem teknologi operasional (OT), dengan tujuan mengganggu fungsi-fungsi penting pada waktu yang mereka tentukan di masa mendatang.

Teknologi operasional mengacu pada sistem yang memantau atau mengendalikan proses fisik, seperti peralatan industri. Akses ke sistem tersebut dapat menimbulkan risiko yang berbeda dari akses ke email kantor biasa.

Peringatan Butera menggambarkan ancaman, bukan temuan bahwa kampanye ini menyebabkan pemadaman listrik, gangguan bandara, atau terputusnya pasokan gas Taiwan. Pihak berwenang belum mengungkapkan bahwa pembobolan berhasil terjadi di setiap sasaran infrastruktur yang disebutkan, dan pengumuman itu tidak membuktikan bahwa sistem operasional organisasi-organisasi tersebut disusupi.

Bukti yang tersedia untuk publik paling kuat terkait pemindaian, akses tanpa izin, dan pencurian informasi. Memisahkan temuan-temuan tersebut dari kemungkinan gangguan di masa depan mencegah klaim yang berlebihan tentang apa yang telah dibuktikan penyelidik.

Hal yang perlu diperiksa oleh pihak pembela setelah penyitaan

Peringatan bersama tersebut memuat domain, alamat IP, hash malware, dan deskripsi perangkat untuk membantu organisasi menyelidiki kemungkinan penyusupan. Lembaga dari Amerika Serikat, Inggris, Australia, Kanada, Jepang, Selandia Baru, dan Spanyol turut menyusun peringatan tersebut.

Langkah yang direkomendasikan mencakup menambal sistem yang terhubung ke internet, mewajibkan autentikasi multifaktor untuk akses webmail dan VPN, menonaktifkan layanan yang tidak digunakan, serta meninjau log aplikasi web untuk mencari upaya pemindaian atau eksploitasi. Administrator juga disarankan memantau perangkat lunak akses jarak jauh yang tidak diizinkan dan replikasi Active Directory yang tidak terduga, yang dapat menandakan upaya menyalin data identitas.

Sejumlah indikator berasal dari 2016. Indikator tersebut perlu diselidiki sesuai konteks, bukan otomatis dianggap sebagai bukti penyusupan yang masih berlangsung. Keterkaitan historis dapat membantu merekonstruksi penyusupan, tetapi indikator lama saja tidak membuktikan bahwa suatu sistem saat ini dikendalikan penyerang.

Wang Po-chi, profesor madya peradilan pidana di Ming Chuan University, mengingatkan bahwa sanksi dan gangguan teknis mungkin tidak mencegah para operator kembali beraksi:

Sekalipun perusahaan ini dikenai sanksi, mereka mungkin mendirikan operasi lain untuk memulai aktivitas yang sama. Mereka mungkin merasa tak perlu terlalu khawatir karena perusahaannya bisa saja berbasis di satu tempat, sementara server yang meluncurkan serangan berada di tempat lain.

Agen Khusus Pengawas FBI San Diego Brett Lally mengatakan biro tersebut akan memantau apakah perusahaan itu membangun kembali infrastrukturnya. Kantor lapangan San Diego dan Baltimore menyelidiki kasus ini bersama Divisi Siber FBI, dan Badan Kepolisian Nasional Jepang turut membantu. Jaksa Brendan McKenna dan Jacques Singer-Emery menangani kasus ini. Tidak ada tanggal sidang berikutnya atau tenggat waktu yang diumumkan.

Poin Utama

• FBI menyita tujuh domain yang mendukung Microscan, FishHub, dan akses jarak jauh tanpa izin yang terkait dengan Integrity Technology Group.
• Sekitar 20 universitas Taiwan dipastikan menjadi korban aktivitas FishHub.
• Microscan menargetkan perusahaan energi Taiwan, sebuah perusahaan listrik di South Carolina, bandara di Jepang dan Polandia, universitas, serta organisasi nonpemerintah multinasional.
• Pihak berwenang tidak mengungkapkan apakah setiap sasaran infrastruktur yang disebutkan berhasil dibobol.
• Penyitaan ini menyusul gangguan terhadap botnet pada September 2024 dan sanksi yang dijatuhkan Amerika Serikat, Inggris, serta Uni Eropa.
• Penyitaan domain mengganggu infrastruktur penyerang, tetapi tidak menghapus malware atau kredensial curian yang sudah berada di dalam jaringan korban.
• Tidak ada penangkapan, dakwaan pidana, atau tanggal sidang berikutnya yang diumumkan dalam operasi ini.