FBI Merampas Platform Penggodaman China yang Digunakan untuk Menyasarkan Agensi AS

FBI Menyahaktifkan QScan dan QTRouter

Pihak berkuasa persekutuan menyahaktifkan dua platform penggodaman yang saling berkaitan pada 26 Ogos dengan merampas domain yang penting untuk fungsi komunikasi dan pengesahan mereka. Jabatan Kehakiman mengumumkan bahawa QScan dan QTRouter menyasarkan infrastruktur kritikal serta rangkaian sensitif yang dikendalikan oleh NASA, Rizab Persekutuan, Jabatan Tenaga, Jabatan Kehakiman, Jabatan Kesihatan dan Perkhidmatan Manusia, Institut Kesihatan Kebangsaan, dan Senat A.S.

Rekod mahkamah mengaitkan platform tersebut kepada QTFY, sebuah kumpulan penggodaman tajaan negara China yang diupah oleh Nanjing Xinjiuwei Network Technology Company. Afidavit FBI yang menyokong rampasan domain mendakwa bahawa QTFY menjual perkhidmatan penggodaman kepada pelanggan yang termasuk Kementerian Keselamatan Negara China dan Tentera Pembebasan Rakyat. Tiga domain yang dirampas telah dikodkan keras ke dalam platform itu, membolehkan operasi tersebut menjadikan kedua-dua sistem tidak dapat berfungsi.

Rampasan itu mengganggu infrastruktur yang didakwa membantu penggodam mengenal pasti sistem yang terdedah dan menyamarkan sambungan mereka ke rangkaian yang disasarkan. Peguam Negara Todd Blanche berkata:

“Penguatkuasaan undang-undang persekutuan menyiasat dan menyahaktifkan perisian hasad PRC, yang terbaru dalam siri operasi teknikal untuk membongkar aktiviti penggodaman secara membuta tuli yang ditaja oleh Republik Rakyat China.”

QScan Mencari Sasaran, Manakala QTRouter Menyembunyikan Serangan

Dua platform itu menjalankan fungsi berbeza dalam sebuah sistem bersepadu untuk peninjauan, eksploitasi, dan pengaburan trafik. Nasihat keselamatan siber bersama FBI, Agensi Keselamatan Negara, dan Cyber National Mission Force menyatakan bahawa QScan mengandungi lebih daripada 200 eksploit bukti konsep dan memproses lebih 2 juta tugas pengimbasan dan ujian penembusan dalam satu hari pada tahun 2024. Kempen Mei 2024 mengekstrak data daripada lebih 300 organisasi di seluruh dunia.

QScan secara automatik mengkompromi peranti yang terdedah dan bersambung ke internet serta menambahkannya ke QTRouter, yang menggabungkan peranti yang dirampas dengan perkhidmatan proksi komersial dan pelayan persendirian maya yang dipajak. Black Lotus Labs menganalisis infrastruktur QTFY dan menggambarkan kumpulan itu sebagai penyedia infrastruktur yang menyokong operasi siber China. Menghala trafik melalui peranti yang berada dekat dengan mangsa menjadikan komunikasi berniat jahat kelihatan seolah-olah berasal daripada pengguna tempatan yang sah.

Pengarah FBI Kash Patel berkata:

“Hari ini kami mengumumkan gangguan terhadap sebuah botnet global dan platform penggodaman yang digunakan oleh penggodam tajaan negara China untuk menyasarkan infrastruktur kritikal A.S. Alat ini digunakan oleh pelaku siber PRC untuk menyembunyikan asal-usul serangan mereka.”

Penghala yang dikompromi dan peranti internet-of-things lain juga telah menyokong jenayah siber bermotifkan kewangan di luar operasi tajaan negara. Pihak berkuasa sebelum ini membongkar sebuah rangkaian proksi yang mengandungi 369,000 peranti yang digodam merentasi 163 negara. Rangkaian itu membolehkan penjenayah menyamarkan aktiviti yang melibatkan pengambilalihan akaun mata wang kripto, penipuan bank, ransomware, dan skim lain sambil menjana lebih daripada $5.7 juta untuk pengendalinya.

Operasi Memperluas Kempen Penurunan Infrastruktur

Rampasan terbaru itu menyusuli beberapa operasi yang dibenarkan mahkamah yang menyasarkan infrastruktur siber tajaan negara China. Pada Januari 2025, FBI berkata ia menyingkirkan perisian hasad pengawasan PlugX daripada kira-kira 4,258 sistem A.S. yang dijangkiti oleh Mustang Panda. Pihak berkuasa persekutuan juga menyahaktifkan botnet Flax Typhoon pada 2024 dan mengganggu botnet Volt Typhoon pada 2023.

Pendekatan persekutuan terhadap ancaman siber asing juga berkembang melangkaui rampasan yang dibenarkan mahkamah secara konvensional dan operasi penyingkiran perisian hasad. Memorandum presiden pada 12 Ogos mengarahkan pembentukan program gangguan siber yang diselia secara persekutuan yang membolehkan syarikat A.S. yang ditapis mencadangkan misi terhadap rangkaian jenayah asing, dengan pegawai diberi 60 hari untuk menetapkan piawaian kelayakan, prosedur semakan sasaran, dan langkah perlindungan.

Penyiasat persekutuan semakin kerap mengganggu akaun, pelayan, domain, dan sambungan rangkaian yang membolehkan operasi siber asing. Dalam inisiatif berasingan pada Mei, syarikat teknologi menyertai operasi DOJ yang mengganggu lebih daripada 1.4 juta akaun yang dikaitkan dengan penipuan. Para peserta juga menyekat trafik internet berniat jahat, menamatkan penggunaan infrastruktur pengehosan, dan membantu membekukan lebih daripada $3.8 juta dalam mata wang kripto.

Pengguna individu menghadapi risiko yang berbeza daripada kumpulan canggih yang menyasarkan agensi kerajaan dan infrastruktur kritikal, walaupun kedua-duanya mungkin mengeksploitasi perisian hasad dan peranti yang dikompromi. Perlindungan biasa termasuk mengemas kini perisian, mengelakkan muat turun yang mencurigakan, dan mengesahkan laman web sebelum memasukkan maklumat sensitif. Phishing dan laman web palsu boleh memasang perisian hasad atau mendedahkan kata laluan, manakala penghala yang usang boleh menyediakan penyerang dengan infrastruktur untuk menyembunyikan pencerobohan berasingan.