معمولاً وقتی حرف از هکرهای دولتی می‌شود، ذهن‌ها سراغ زیرو-دی‌های میلیون‌دلاری می‌رود. هشدار مشترکی که هفتهٔ گذشته FBI، CISA و NSA همراه با بریتانیا، استرالیا، کانادا، ژاپن، نیوزیلند و اسپانیا منتشر کردند، روایت متفاوتی دارد: بخش بزرگی از نفوذها با آسیب‌پذیری‌هایی انجام شده که ده سال یا بیشتر از وصله‌شان گذشته است.
در مشاورهٔ AA26-281A، شرکتی چینی به نام Integrity Technology Group به‌عنوان تأمین‌کنندهٔ ابزار و زیرساخت برای گروه‌هایی مثل Flax Typhoon معرفی شده است. FBI هفت دامنهٔ این شرکت را توقیف کرد؛ از جمله درگاه اسکنری به نام MicroScan که بیش از ۱۳۰۰ اسکریپت نفوذ داشت و سکوی FishHub که برای فیشینگ هدفمند و سرقت فایل به کار می‌رفت. روی یکی از سرورهای FishHub دادهٔ بیش از ۲۰ سازمان پیدا شد.
مسیر حمله پیچیده نیست: اسکن انبوه اینترنت، اجرای اکسپلویت روی نرم‌افزارهای قدیمی، Password Spraying روی Exchange و Microsoft 365، نصب یک VPN متن‌باز با نام فایل‌های ویندوزی برای ماندگاری، و در نهایت سرقت اطلاعات Active Directory و صندوق‌های ایمیل.
پنج نقص تازه به فهرست KEV رسید: ProFTPD (CVE-2015-3306)، ISC BIND (CVE-2015-5477)، Apache Struts (CVE-2016-3081)، ONLYOFFICE (CVE-2021-3199) و Strapi (CVE-2023-22894). کنار آن‌ها Shellshock، نقص Pulse Secure VPN و GitLab هم دوباره دیده شدند. تجربه نشان می‌دهد این‌ها معمولاً روی سرورهایی هستند که برای یک پروژهٔ موقت راه افتاده‌اند و بعد هیچ‌کس مسئولیتشان را نپذیرفته است.
فهرستی از همهٔ سرویس‌هایی که از اینترنت در دسترس‌اند تهیه کنید؛ مخصوصاً FTP، DNS و اپلیکیشن‌های وب پروژه‌های تمام‌شده.
احراز هویت چندعاملی را برای ایمیل وب و VPN اجباری کنید و قفل حساب در برابر حدس رمز را فعال کنید.
هر فایل conhost.exe یا dllhost.exe خارج از پوشهٔ System32 را بررسی کنید.
درخواست‌های Replication از سیستمی که کنترلر دامنه نیست را هشدار بدهید؛ نشانهٔ کلاسیک DCSync است.
برای حجم آپلود ایستگاه‌ها و سرورهای ایمیل خط پایه تعریف کنید.
طبق گزارش DBIR ۲۰۲۵ ورایزن، انگیزهٔ ۱۷ درصد رخنه‌ها جاسوسی بوده است. یعنی این تهدید فقط مسئلهٔ وزارتخانه‌ها نیست و هر سازمانی که دادهٔ ارزشمند دارد باید سرویس‌های فراموش‌شده‌اش را جدی بگیرد.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در سایت symantecland دات کام منتشر شده است؛ برای رسیدن مستقیم به آن، بعد از نام سایت در نوار آدرس مرورگر بنویسید: /flax-typhoon
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
