O aviso AA26-281A saiu no dia 8 de outubro assinado pelas agências de sete países: FBI, CISA e NSA nos Estados Unidos, o NCSC britânico, o ASD australiano, o Canadian Centre for Cyber Security, a Agência Nacional de Polícia e o escritório nacional de cibersegurança do Japão, o NCSC da Nova Zelândia e o Centro Nacional de Inteligência da Espanha. Nenhuma agência latino-americana entrou na lista.
O que o documento descreve não é uma campanha. É uma cadeia de fornecimento, com uma etapa para cada ferramenta:
- Varredura em escala, com o MicroScan, aplicativo web em Python com mais de 1.300 scripts de teste de invasão, somado a BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe e WPScan.
- Entrada por XSS que adultera página legítima para exibir campo falso de usuário e senha, e pelo EBurst, que tenta senha em cerca de dez interfaces do Exchange e do Microsoft 365, entre elas EWS, OWA, ActiveSync e PowerShell.
- Permanência com cliente SoftEther VPN disfarçado de conhost.exe ou dllhost.exe, e com o DC.exe fazendo DCSync no controlador de domínio.
- Coleta com o Curlc4.txt, script PHP que usa a API do Exchange Web Services para juntar, compactar e cifrar a caixa postal antes de enviar, e com o office-cli, utilitário de linha de comando em Linux que automatiza a exfiltração contínua do Outlook 365.
Parte do material roubado só podia ser acessada a partir de endereços IP em Xiamen. É o detalhe que amarra a operação a um endereço, e não a um grupo difuso.
O que foi apreendido
A apreensão foi autorizada no Distrito Oeste da Pensilvânia e anunciada na quinta-feira, 8 de outubro. Sete domínios saíram do ar. Entre eles o c0cc[.]cc, por onde o MicroScan ainda respondia em 9 de setembro de 2026, mais 98aiblog[.]com, 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com e linkedinns[.]net. Os três últimos dizem bastante sobre o método: nomes escolhidos para passar por Outlook, YouTube e LinkedIn na barra de endereço de quem está com pressa.
O MicroScan varre. O FishHub entra, por phishing direcionado, e deixa a carga seguinte na rede. Entre os alvos citados estão uma distribuidora de energia na Carolina do Sul, uma ONG multinacional, aeroportos no Japão e na Polônia, empresas de gás natural e de energia em Taiwan e duas universidades taiwanesas. Somada, a atividade ligada ao FishHub alcançou 20 universidades em Taiwan.
A parte que interessa a quem compra segurança
A Integrity Tech não é uma fachada. É uma empresa chinesa de capital privado, com gente contratada para desenvolver ferramenta, comprar e hospedar infraestrutura e, segundo o aviso, participar do comprometimento das redes. Paul Chichester, diretor de operações do NCSC britânico, usou uma expressão que vale guardar: o "ecossistema malévolo" em que esses atores operam. O Reino Unido já sancionou a empresa no ano passado. Em setembro de 2024 a mesma coalizão desmontou uma botnet dela, baseada em variante do Mirai, com mais de 260 mil equipamentos domésticos.
Dois anos depois, a empresa continua operando e a ferramenta seguinte estava no ar até ontem. Isso diz algo desconfortável sobre o efeito prático de sanção e derrubada de infraestrutura contra um fornecedor que tem cliente estatal garantido. O que foi retirado foi um domínio, não a capacidade.
Oito CVEs, e a mais nova tem três anos
A seção de produtos afetados do aviso lista oito identificadores: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-3199, CVE-2021-22205 e CVE-2023-22894. A mais recente foi publicada em 2023. Metade tem dez anos ou mais.
Os scripts do MicroScan, segundo o mesmo documento, miravam OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins e Apache Struts. As portas varridas com mais frequência foram 21, 22, 53, 80, 443 e 1080. O acesso inicial vem sendo obtido desde pelo menos meados de janeiro de 2021.
Não há zero-day nessa lista. O que sustentou a operação foi inventário desatualizado, serviço exposto sem necessidade e webmail sem segundo fator.
O recado para a América Latina
Sete países assinaram e nenhum deles fica no continente. A Espanha entrou pelo Centro Nacional de Inteligência, única agência de língua espanhola na lista. Não consta órgão brasileiro, mexicano, chileno ou colombiano, o que não indica ausência de alvo. Indica ausência de visibilidade compartilhada, que é coisa diferente e pior.
Vale lembrar o que sustenta esse tipo de operação na prática. No segundo trimestre de 2026, o Brasil apareceu em quinto lugar entre as origens de ataque por Telnet observadas pelos honeypots da Kaspersky, com 3,34%. Variantes do Mirai continuam ocupando a maior parte das primeiras posições entre as ameaças de IoT. Roteador, câmera e gravador mal configurados aqui não são apenas alvo. São infraestrutura emprestada a terceiros sem consentimento, e foi exatamente esse tipo de parque que a botnet da Integrity Tech usou.
O que fazer na segunda-feira
- Exigir segundo fator em webmail e VPN, sem exceção para conta de serviço nem caixa compartilhada. O EBurst existe porque a exceção existe.
- Procurar replicação de Active Directory fora de janela e fora de controlador conhecido. O DCSync aparece aí antes de aparecer em qualquer outro lugar.
- Caçar SoftEther em processos chamados conhost.exe e dllhost.exe, e qualquer binário com esses nomes fora de C:\Windows\System32.
- Limitar o acesso de aplicação em nuvem a caixa postal e arquivo sensível. O office-cli usa client ID, tenant ID e segredo guardados em arquivo de configuração, e não a senha de ninguém.
- Tratar os indicadores do aviso com cuidado. Boa parte é de 2016, e as próprias agências recomendam validar antes de bloquear.
Por que este aviso é diferente dos outros
A maior parte dos avisos conjuntos descreve comportamento. Este descreve uma empresa, com razão social, contrato e linha de produto. E Chris Butera, da CISA, foi além do roubo de dado: disse que há atores posicionados em infraestrutura crítica, inclusive em sistemas de tecnologia operacional, com o objetivo de interromper funções críticas em um momento futuro de sua escolha.
Lido dessa forma, boa parte do que foi feito até aqui não tinha finalidade de espionagem. Era preparação.
Outros sinais do dia
- Recompensa
US$ 10 milhões por Zhang Yu
O Departamento de Estado americano ofereceu até US$ 10 milhões por informação sobre Zhang Yu, acusado pelos ataques ao Microsoft Exchange de 2021 atribuídos ao Silk Typhoon. O corréu Xu Zewei foi extraditado da Itália em abril de 2026.
- Pwn2Own
Pixel 10 e Galaxy S26 caíram com correção em dia
Em Cork, três equipes demonstraram execução remota no Pixel 10 totalmente atualizado, e o Galaxy S26 foi derrubado outras três vezes. A conta da edição irlandesa passou de US$ 1,26 milhão para 98 falhas inéditas.
- Japão
JPCERT/CC vê alta de vazamento via API de aplicativo móvel
O centro japonês relatou crescimento acentuado de vazamento de dado pessoal em serviços web, com abuso de API de aplicativo móvel e exploração de falhas conhecidas no Metabase entre os vetores.
- Ucrânia
UAC-0099 esconde comando dentro do HTML
O grupo alinhado à Rússia voltou contra servidores públicos ucranianos com um infostealer em .NET e o RAT ASHVEIN, que carrega os comandos dentro do próprio HTML da mensagem.
- Coreia do Sul
Ferramenta de pentest com IA usada em roubo de dado financeiro
Entre o fim de setembro e o começo de outubro, ataques contra instituições financeiras sul-coreanas usaram o ARTEX, ferramenta de teste de invasão assistida por IA, para extrair dado.
Fontes e aprofundamento
- FBI, CISA e NSA · Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (AA26-281A), aviso conjunto de 8 de outubro de 2026, com ferramentas, CVEs, vítimas e mitigação.
- NCSC do Reino Unido · China-linked actors called out by UK and international partners for targeting sensitive data, declaração de 8 de outubro e a citação de Paul Chichester.
- CyberScoop · DOJ, FBI seize Flax Typhoon-linked hacking tools Microscan, FishHub, apreensão autorizada no Distrito Oeste da Pensilvânia e a fala de Chris Butera.
- The Record · International coalition seizes tools used by cyber firm behind Flax Typhoon, a contratação pelo Ministério da Segurança do Estado e o histórico de sanções.
- Securelist Brasil · Estatísticas de ameaças para computadores pessoais e IoT no segundo trimestre de 2026, o Brasil em quinto lugar entre as origens de ataque por Telnet, com 3,34%.