مكتب التحقيقات الفيدرالي (FBI) يصادر منصات قرصنة صينية تُستخدم لاستهداف الوكالات الأمريكية

مكتب التحقيقات الفيدرالي (FBI) يغلق منصتي QScan وQTRouter

قامت السلطات الفيدرالية بتعطيل منصتين مترابطتين للقرصنة في 26 أغسطس من خلال مصادرة النطاقات الضرورية لوظائف الاتصال والمصادقة الخاصة بهما. وأعلنت وزارة العدل أن QScan و QTRouter استهدفتا البنية التحتية الحيوية والشبكات الحساسة التي تديرها وكالة ناسا، والبنك الاحتياطي الفيدرالي، ووزارة الطاقة، ووزارة العدل، ووزارة الصحة والخدمات الإنسانية، والمعاهد الوطنية للصحة، ومجلس الشيوخ الأمريكي.

وتشير سجلات المحكمة إلى أن المنصتين تعودان إلى «QTFY»، وهي مجموعة قرصنة صينية مدعومة من الدولة وتعمل لحساب شركة نانجينغ شينجيوي لتكنولوجيا الشبكات. وتزعم الإفادة الخطية التي قدمها مكتب التحقيقات الفيدرالي (FBI) لدعم مصادرة النطاقات أن «QTFY» باعت خدمات القرصنة لعملاء من بينهم وزارة أمن الدولة الصينية وجيش التحرير الشعبي. وكانت ثلاثة نطاقات مصادرة مدمجة برمجياً في المنصات، مما سمح للعملية بجعل كلا النظامين غير قابلين للتشغيل.

أدت عمليات المصادرة إلى تعطيل البنية التحتية التي يُزعم أنها ساعدت القراصنة على تحديد الأنظمة المعرضة للخطر وإخفاء اتصالاتهم بالشبكات المستهدفة. وقال المدعي العام تود بلانش:

"قامت سلطات إنفاذ القانون الفيدرالية بالتحقيق في البرامج الخبيثة التابعة لجمهورية الصين الشعبية وتعطيلها، في أحدث عملية من سلسلة العمليات التقنية الرامية إلى تفكيك أنشطة القرصنة العشوائية التي ترعاها جمهورية الصين الشعبية."

اكتشف QScan الأهداف بينما كان QTRouter يخفي الهجمات

قامت المنصتان بوظائف مختلفة ضمن نظام متكامل للاستطلاع والاستغلال وإخفاء حركة المرور. يذكر التقرير الاستشاري المشترك للأمن السيبراني الصادر عن مكتب التحقيقات الفيدرالي (FBI) ووكالة الأمن القومي (NSA) وقوة المهمة الوطنية السيبرانية (Cyber National Mission Force) أن QScan احتوت على أكثر من 200 ثغرة إثبات المفهوم (proof-of-concept) وقامت بمعالجة ما يزيد عن 2 مليون مهمة مسح واختبار اختراق في يوم واحد من عام 2024. أدت حملة أُطلقت في مايو 2024 إلى سرقة بيانات من أكثر من 300 مؤسسة حول العالم.

كان QScan يخترق تلقائيًا الأجهزة المتصلة بالإنترنت المعرضة للخطر ويضيفها إلى QTRouter، الذي كان يدمج الأجهزة المخترقة مع خدمات البروكسي التجارية والخوادم الخاصة الافتراضية المستأجرة. قامت Black Lotus Labs بتحليل البنية التحتية لـ QTFY ووصفت المجموعة بأنها مزود بنية تحتية يدعم العمليات السيبرانية الصينية. وأدى توجيه حركة المرور عبر أجهزة قريبة من الضحايا إلى جعل الاتصالات الخبيثة تبدو وكأنها صادرة عن مستخدمين محليين شرعيين.

قال كاش باتيل، مدير مكتب التحقيقات الفيدرالي (FBI):

"أعلنا اليوم عن تعطيل شبكة بوتنت عالمية ومنصة قرصنة يستخدمها قراصنة مدعومون من الدولة الصينية لاستهداف البنية التحتية الحيوية للولايات المتحدة. وقد استخدم الفاعلون السيبرانيون من جمهورية الصين الشعبية هذه الأدوات لإخفاء مصدر هجماتهم."

كما ساهمت أجهزة التوجيه المخترقة وأجهزة «إنترنت الأشياء» الأخرى في دعم الجرائم السيبرانية ذات الدوافع المالية خارج نطاق العمليات التي ترعاها الدولة. وكانت السلطات قد قامت سابقًا بتفكيك شبكة بروكسي تضم 369,000 جهاز تم اختراقها في 163 دولة. وقد سمحت تلك الشبكة للمجرمين بإخفاء أنشطتهم التي شملت الاستيلاء على حسابات العملات المشفرة، والاحتيال المصرفي، وبرامج الفدية، وغيرها من المخططات، بينما حققت أرباحًا تجاوزت 5.7 مليون دولار لمشغليها.

العملية توسع نطاق حملة تفكيك البنية التحتية

وتأتي عمليات المصادرة الأخيرة في أعقاب عدة عمليات أذنت بها المحاكم واستهدفت البنية التحتية السيبرانية التي ترعاها الدولة الصينية. في يناير 2025، أعلن مكتب التحقيقات الفيدرالي (FBI) أنه أزال برنامج «PlugX» الخبيث للمراقبة من حوالي 4,258 نظامًا أمريكيًا أصابها فيروس «Mustang Panda». كما قامت السلطات الفيدرالية بتعطيل شبكة بوتنت «Flax Typhoon» في عام 2024، وتعطيل شبكة بوتنت «Volt Typhoon» في عام 2023.

كما يتوسع النهج الفيدرالي في التعامل مع التهديدات السيبرانية الأجنبية ليتجاوز عمليات المصادرة التقليدية التي تأذن بها المحاكم وعمليات إزالة البرمجيات الخبيثة. وأمرت مذكرة رئاسية صادرة في 12 أغسطس بإنشاء برنامج لتعطيل الأنشطة السيبرانية يخضع لإشراف اتحادي، مما يسمح للشركات الأمريكية التي خضعت للتدقيق بتقديم مقترحات لمهام ضد الشبكات الإجرامية الأجنبية، مع منح المسؤولين 60 يومًا لوضع معايير الأهلية وإجراءات مراجعة الأهداف والضمانات.

وقد عمل المحققون الفيدراليون بشكل متزايد على تعطيل الحسابات والخوادم والنطاقات واتصالات الشبكة التي تتيح تنفيذ العمليات السيبرانية الأجنبية. وخلال مبادرة منفصلة في مايو، انضمت شركات التكنولوجيا إلى عملية لوزارة العدل أدت إلى تعطيل أكثر من 1.4 مليون حساب مرتبط بالاحتيال. كما قام المشاركون بحجب حركة المرور الخبيثة على الإنترنت، وإيقاف تشغيل البنية التحتية لاستضافة المواقع، وساعدوا في تجميد أكثر من 3.8 مليون دولار من العملات المشفرة.

يواجه المستخدمون الأفراد مخاطر مختلفة عن تلك التي تواجهها المجموعات المتطورة التي تستهدف الوكالات الحكومية والبنية التحتية الحيوية، على الرغم من أن كلا الطرفين قد يستغلان البرامج الضارة والأجهزة المخترقة. تشمل وسائل الحماية الشائعة تحديث البرامج، وتجنب التنزيلات المشبوهة، والتحقق من المواقع الإلكترونية قبل إدخال المعلومات الحساسة. يمكن أن تؤدي عمليات التصيد الاحتيالي والمواقع الإلكترونية المزيفة إلى تثبيت برامج ضارة أو الكشف عن كلمات المرور، في حين أن أجهزة التوجيه القديمة يمكن أن توفر للمهاجمين البنية التحتية اللازمة لإخفاء عمليات اختراق منفصلة.