FBI Menyita Platform Peretasan Asal Tiongkok yang Digunakan untuk Menargetkan Lembaga-Lembaga Pemerintah AS

FBI Menonaktifkan QScan dan QTRouter

Pihak berwenang federal menonaktifkan dua platform peretasan yang saling terhubung pada 26 Agustus dengan menyita domain-domain yang penting bagi fungsi komunikasi dan otentikasi mereka. Departemen Kehakiman mengumumkan bahwa QScan dan QTRouter menargetkan infrastruktur kritis dan jaringan sensitif yang dioperasikan oleh NASA, Federal Reserve, Departemen Energi, Departemen Kehakiman, Departemen Kesehatan dan Layanan Kemanusiaan, Institut Kesehatan Nasional, dan Senat AS.

Catatan pengadilan mengaitkan platform-platform tersebut dengan QTFY, sebuah kelompok peretas yang didukung negara Tiongkok dan dipekerjakan oleh Nanjing Xinjiuwei Network Technology Company. Surat pernyataan FBI yang mendukung penyitaan domain tersebut menuduh bahwa QTFY menjual layanan peretasan kepada pelanggan yang mencakup Kementerian Keamanan Negara Tiongkok dan Tentara Pembebasan Rakyat. Tiga domain yang disita telah diprogram secara permanen ke dalam platform-platform tersebut, sehingga memungkinkan operasi tersebut untuk membuat kedua sistem tersebut tidak dapat beroperasi.

Penyitaan tersebut mengganggu infrastruktur yang diduga membantu peretas mengidentifikasi sistem yang rentan dan menyamarkan koneksi mereka ke jaringan yang menjadi sasaran. Jaksa Agung Todd Blanche mengatakan:

"Penegak hukum federal telah menyelidiki dan menonaktifkan perangkat lunak berbahaya milik RRC, yang merupakan operasi teknis terbaru dalam rangkaian upaya untuk membongkar aktivitas peretasan tanpa pandang bulu yang disponsori oleh Republik Rakyat Tiongkok."

QScan Menemukan Target Sementara QTRouter Menyembunyikan Serangan

Kedua platform tersebut menjalankan fungsi yang berbeda dalam sistem pengintaian, eksploitasi, dan penyamaran lalu lintas yang terintegrasi. Siaran pers keamanan siber bersama dari FBI, Badan Keamanan Nasional (NSA), dan Pasukan Misi Siber Nasional (Cyber National Mission Force) menyatakan bahwa QScan mengandung lebih dari 200 eksploit proof-of-concept dan memproses lebih dari 2 juta tugas pemindaian dan pengujian penetrasi dalam satu hari pada tahun 2024. Sebuah kampanye pada Mei 2024 berhasil mencuri data dari lebih dari 300 organisasi di seluruh dunia.

QScan secara otomatis mengkompromikan perangkat yang terhubung ke internet dan rentan, lalu menambahkannya ke QTRouter, yang menggabungkan perangkat yang dibajak dengan layanan proxy komersial dan server pribadi virtual (VPS) yang disewa. Black Lotus Labs menganalisis infrastruktur QTFY dan menggambarkan kelompok tersebut sebagai penyedia infrastruktur yang mendukung operasi siber Tiongkok. Mengarahkan lalu lintas melalui perangkat yang berada di dekat korban membuat komunikasi berbahaya tampak seolah-olah berasal dari pengguna lokal yang sah.

Direktur FBI Kash Patel mengatakan:

"Hari ini kami mengumumkan penonaktifan botnet global dan platform peretasan yang digunakan oleh peretas yang didukung negara Tiongkok untuk menargetkan infrastruktur kritis AS. Alat-alat ini digunakan oleh aktor siber Tiongkok untuk menyembunyikan asal serangan mereka."

Router yang disusupi dan perangkat Internet of Things (IoT) lainnya juga telah mendukung kejahatan siber bermotif finansial di luar operasi yang didukung negara. Pihak berwenang sebelumnya telah membongkar jaringan proxy yang berisi 369.000 perangkat yang diretas di 163 negara. Jaringan tersebut memungkinkan para penjahat menyamarkan aktivitas yang melibatkan pengambilalihan akun mata uang kripto, penipuan perbankan, ransomware, dan skema lainnya, sekaligus menghasilkan lebih dari $5,7 juta bagi para pengelolanya.

Operasi Ini Memperluas Kampanye Penutupan Infrastruktur

Penyitaan terbaru ini menyusul beberapa operasi yang disahkan pengadilan yang menargetkan infrastruktur siber yang disponsori negara Tiongkok. Pada Januari 2025, FBI menyatakan telah menghapus malware pengawasan PlugX dari sekitar 4.258 sistem di AS yang terinfeksi oleh Mustang Panda. Pihak berwenang federal juga menonaktifkan botnet Flax Typhoon pada tahun 2024 dan menggagalkan botnet Volt Typhoon pada tahun 2023.

Pendekatan federal terhadap ancaman siber asing juga semakin meluas melampaui penyitaan konvensional yang disahkan pengadilan dan operasi penghapusan malware. Sebuah memorandum presiden tertanggal 12 Agustus memerintahkan pembentukan program gangguan siber yang diawasi pemerintah federal, yang memungkinkan perusahaan-perusahaan AS yang telah diverifikasi untuk mengusulkan misi melawan jaringan kriminal asing, dengan para pejabat diberi waktu 60 hari untuk menetapkan standar kelayakan, prosedur peninjauan sasaran, dan langkah-langkah pengamanan.

Penyidik federal semakin sering mengganggu akun, server, domain, dan koneksi jaringan yang memfasilitasi operasi siber asing. Selama inisiatif terpisah pada bulan Mei, perusahaan teknologi bergabung dalam operasi Departemen Kehakiman (DOJ) yang menghentikan lebih dari 1,4 juta akun yang terkait dengan penipuan. Para peserta juga memblokir lalu lintas internet berbahaya, menonaktifkan infrastruktur hosting, dan membantu membekukan lebih dari $3,8 juta dalam bentuk mata uang kripto.

Pengguna individu menghadapi risiko yang berbeda dibandingkan kelompok-kelompok canggih yang menargetkan lembaga pemerintah dan infrastruktur kritis, meskipun keduanya dapat memanfaatkan malware dan perangkat yang disusupi. Langkah-langkah perlindungan umum meliputi memperbarui perangkat lunak, menghindari unduhan yang mencurigakan, dan memverifikasi situs web sebelum memasukkan informasi sensitif. Phishing dan situs web palsu dapat menginstal malware atau membocorkan kata sandi, sementara router yang sudah usang dapat memberikan penyerang infrastruktur untuk menyembunyikan intrusi terpisah.