Le 8 octobre 2026, le ministère américain de la Justice et le FBI ont annoncé une opération autorisée par un tribunal visant des domaines et deux outils associés à des activités attribuées à Flax Typhoon: Microscan et FishHub. Selon les documents judiciaires cités par le DOJ, Microscan servait à rechercher des vulnérabilités, tandis que FishHub aurait facilité des intrusions par hameçonnage ciblé. L’attribution et les éléments de l’affaire sont présentés comme des allégations soumises à la justice.
Deux outils pour des étapes différentes
Le DOJ décrit Microscan comme un outil de reconnaissance conçu par Integrity Technology Group. Il permettait de scanner des réseaux à la recherche de vulnérabilités que des clients pouvaient ensuite exploiter. Les cibles citées comprennent une entreprise électrique de Caroline du Sud, une organisation non gouvernementale internationale, des aéroports au Japon et en Pologne, des entreprises d’infrastructures taïwanaises et deux universités taïwanaises.
FishHub aurait servi à l’étape d’intrusion. Après une compromission initiale par spear-phishing, l’outil pouvait télécharger d’autres malwares, fournir un accès distant non autorisé ou rechercher des fichiers précis et les transmettre aux serveurs d’Integrity Tech. Le DOJ cite environ vingt universités taïwanaises comme victimes confirmées d’activités liées à FishHub.
Des domaines saisis, sans effacer les risques locaux
Le FBI et ses partenaires ont obtenu la saisie de sept domaines associés aux outils ou à leur infrastructure. Cette action vise à empêcher les opérateurs d’utiliser les domaines saisis; elle ne répare pas les systèmes qui auraient déjà été compromis et ne confirme pas que chaque activité associée au groupe a cessé.
BleepingComputer rapporte que l’opération s’accompagnait d’un avis conjoint du FBI, de CISA, de la NSA et de partenaires internationaux. Cet avis décrit des secteurs ciblés et fournit des indicateurs techniques aux défenseurs. Le même article précise que l’activité se recoupe avec plusieurs noms de suivi, mais que les agences n’attribuent pas nécessairement toutes les opérations à Integrity Tech.
Ce que les organisations peuvent vérifier
Les administrateurs peuvent comparer les indicateurs publiés par les autorités avec leurs journaux DNS, proxy, pare-feu et authentification, puis examiner les connexions inhabituelles vers les services exposés. Une tentative de scan n’établit pas à elle seule qu’une intrusion a eu lieu. En revanche, une correspondance doit déclencher une vérification des versions vulnérables, des comptes concernés et des mouvements ultérieurs sur le réseau.
Les documents cités par le DOJ évoquent des scanners automatisés et des techniques d’hameçonnage ciblé. Réduisez l’exposition des interfaces d’administration, appliquez les correctifs disponibles et imposez une authentification forte aux comptes distants. Après un courriel suspect suivi d’une connexion inhabituelle, révoquez les sessions concernées et vérifiez les règles de messagerie et les comptes privilégiés.
Garder la portée judiciaire précise
Le DOJ attribue Microscan et FishHub à Integrity Tech dans le cadre de documents judiciaires et associe certaines opérations à Flax Typhoon. Cette formulation décrit l’accusation et les éléments présentés par les autorités; elle ne transforme pas chaque détail d’attribution en constat indépendant ou en jugement définitif.
La saisie de domaines est une mesure de perturbation technique. Les avis cités indiquent que plusieurs réseaux et secteurs ont été ciblés, mais ne donnent pas un inventaire complet de tous les systèmes affectés ni la preuve qu’ils ont tous été compromis. Les organisations doivent donc partir de leurs propres journaux et des indicateurs officiels, pas déduire leur exposition de la seule annonce.
Le lien avec Soclyde
Soclyde ne détecte pas les scans de Microscan et ne protège pas les infrastructures visées. Son coffre chiffré local-first aide les personnes et les petites équipes à gérer les mots de passe d’accès sans coffre cloud centralisé exploité par Soclyde. La réduction de l’exposition des services, la correction des vulnérabilités et la réponse à une intrusion restent des responsabilités distinctes.
À retenir
Les autorités américaines ont perturbé deux outils et saisi des domaines associés à des activités attribuées dans des documents judiciaires à Integrity Tech et à Flax Typhoon. Les outils couvraient à la fois la reconnaissance de vulnérabilités et l’exploitation après hameçonnage; l’opération ne remplace pas l’examen des journaux ni la correction des systèmes. Consultez notre guide de cybersécurité NIS2 pour structurer les pratiques de sécurité de votre organisation.
