FBIは、米政府機関を標的とした中国のハッキングプラットフォームを押収しました。

FBIが「QScan」と「QTRouter」を停止

連邦当局は8月26日、両プラットフォームの通信・認証に不可欠なドメインを押収し、相互に連携する2つのハッキングツールを無力化しました。 司法省は、QScanとQTRouterがNASAや連邦準備制度、エネルギー省、司法省、保健社会福祉省、国立衛生研究所、米国上院が運営する重要インフラや機密ネットワークを標的にしていたと発表しました。

裁判記録によると、これらのプラットフォームは、南京新九威ネットワークテクノロジー社が雇用する、中国政府が支援するハッキンググループ「QTFY」によるものとされている。ドメイン差し押さえを裏付けるFBIの宣誓供述書では、QTFYが中国国家安全部や中国人民解放軍を含む顧客にハッキングサービスを販売していたと主張している。 差し押さえられたドメインのうち3つはプラットフォームにハードコードされていたため、この措置により両システムを機能不能にすることができました。この差し押さえにより、ハッカーが脆弱なシステムを特定し、標的となったネットワークへの接続を偽装するのに役立っていたとされるインフラが破壊されました。トッド・ブランシュ司法長官は次のように述べました。

「連邦法執行機関は、中華人民共和国の悪意あるソフトウェアを調査し、無差別なハッキング活動を解体するための一連の技術作戦の最新の一環として、これを無力化しました。」

QScanが標的を特定し、QTRouterが攻撃を隠蔽

両プラットフォームは、統合された偵察、脆弱性悪用、トラフィック難読化システムの中でそれぞれ異なる機能を果たしていました。 FBI、国家安全保障局（NSA）、サイバー・ナショナル・ミッション・フォースによる共同サイバーセキュリティ勧告によると、QScanには200件以上の概念実証（PoC）エクスプロイトが含まれており、2024年のある1日だけで200万件以上のスキャンおよび侵入テストタスクを処理した。 2024年5月のキャンペーンでは、世界中の300以上の組織からデータが盗み出されました。QScanは脆弱性のあるインターネット接続デバイスを自動的に侵害し、それらをQTRouterに追加しました。QTRouterは、乗っ取られたデバイスを商用プロキシサービスやリースされた仮想プライベートサーバーと組み合わせました。 Black Lotus LabsはQTFYのインフラを分析し、同グループを中国のサイバー作戦を支援するインフラプロバイダーであると説明した。被害者の近くにあるデバイスを経由してトラフィックをルーティングすることで、悪意のある通信が正当なローカルユーザーから発信されたように見せかけていた。 FBIのカッシュ・パテル局長は次のように述べた。

「本日、我々は、中国の国家支援ハッカーが米国の重要インフラを標的とするために使用していたグローバルなボットネットおよびハッキングプラットフォームの摘発を発表しました。これらのツールは、中華人民共和国のサイバー攻撃者によって、攻撃の発信元を隠蔽するために使用されていました。」

乗っ取られたルーターやその他のIoT（モノのインターネット）デバイスは、国家支援型の作戦以外でも、金銭を目的としたサイバー犯罪を支援してきた。 当局は以前、163カ国にまたがる36万9,000台のハッキングされたデバイスからなるプロキシネットワークを解体した。このネットワークにより、犯罪者たちは仮想通貨アカウントの乗っ取り、銀行詐欺、ランサムウェア、その他の手口に関わる活動を偽装することができ、運営者には570万ドル以上の利益をもたらしていた。

インフラ破壊作戦が拡大

今回の差し押さえは、中国政府が支援するサイバーインフラを標的とした裁判所が認可した一連の作戦に続くものです。2025年1月、FBIはMustang Pandaによって感染した米国内の約4,258台のシステムからPlugX監視マルウェアを削除したと発表しました。 連邦当局はまた、2024年に「Flax Typhoon」ボットネットを無力化し、2023年には「Volt Typhoon」ボットネットの活動を阻止しました。外国によるサイバー脅威に対する連邦政府のアプローチは、従来の裁判所による差し押さえやマルウェア除去作戦の枠を超えて拡大しつつあります。 8月12日の大統領覚書では、連邦政府の監督下にあるサイバー妨害プログラムの創設が命じられ、審査を通過した米国企業が外国の犯罪ネットワークに対する作戦を提案できるようになりました。当局には、適格基準、標的審査手続き、安全対策の策定に60日間の期限が与えられています。

連邦捜査当局は、外国によるサイバー作戦を可能にするアカウント、サーバー、ドメイン、ネットワーク接続を次々と遮断しています。5月に行われた別の取り組みでは、テクノロジー企業が司法省（DOJ）の作戦に協力し、詐欺に関連する140万件以上のアカウントを遮断しました。 参加企業はまた、悪意のあるインターネットトラフィックを遮断し、ホスティングインフラを停止させ、380万ドル以上の暗号資産の凍結を支援しました。

個々のユーザーが直面するリスクは、政府機関や重要インフラを標的とする高度な組織によるものとは異なりますが、いずれもマルウェアや侵害されたデバイスを悪用する可能性があります。一般的な対策としては、ソフトウェアの更新、不審なダウンロードの回避、機密情報を入力する前のウェブサイトの確認などが挙げられます。フィッシングや偽のウェブサイトはマルウェアをインストールしたりパスワードを漏洩させたりする恐れがあり、一方、古いルーターは、攻撃者が別の侵入を隠蔽するためのインフラとして悪用される可能性があります。