FBI zhabala čínske hackerské platformy používané na útoky proti americkým agentúram

FBI odstavila QScan a QTRouter

Federálne orgány 26. augusta znefunkčnili dve prepojené hackerské platformy tým, že zabavili domény nevyhnutné pre ich komunikačné a autentifikačné funkcie. Ministerstvo spravodlivosti oznámilo, že QScan a QTRouter sa zameriavali na kritickú infraštruktúru a citlivé siete prevádzkované NASA, Federálnym rezervným systémom, Ministerstvom energetiky, Ministerstvom spravodlivosti, Ministerstvom zdravotníctva a sociálnych služieb, Národnými inštitútmi zdravia a Senátom USA.

Súdne záznamy pripisujú tieto platformy skupine QTFY, čínskej hackerskej skupine podporovanej štátom, ktorá pracuje pre spoločnosť Nanjing Xinjiuwei Network Technology Company. Prísežné vyhlásenie FBI, ktoré zdôvodňuje zabavenie domén, tvrdí, že skupina QTFY predávala hackerské služby zákazníkom, medzi ktorých patrilo čínske Ministerstvo štátnej bezpečnosti a Ľudová oslobodzovacia armáda. Tri zabavené domény boli pevne zakódované v týchto platformách, čo umožnilo operácii vyradiť oba systémy z prevádzky.

Toto zabavenie narušilo infraštruktúru, ktorá údajne pomáhala hackerom identifikovať zraniteľné systémy a zamaskovať ich pripojenia k cieľovým sieťam. Generálny prokurátor Todd Blanche uviedol:

„Federálne orgány presadzovania práva vyšetrovali a znefunkčnili škodlivý softvér Čínskej ľudovej republiky, čo je najnovšia z radu technických operácií zameraných na rozbitie bezohľadných hackerských aktivít sponzorovaných Čínskou ľudovou republikou.“

QScan vyhľadával ciele, zatiaľ čo QTRouter maskoval útoky

Tieto dve platformy plnili rôzne funkcie v rámci integrovaného systému prieskumu, zneužitia a maskovania prevádzky. Spoločné kyberbezpečnostné oznámenie FBI, Národnej bezpečnostnej agentúry (NSA) a Cyber National Mission Force uvádza, že QScan obsahoval viac ako 200 exploitov typu „proof-of-concept“ a v jednom dni v roku 2024 spracoval vyše 2 miliónov úloh skenovania a penetračných testov. Kampaň z mája 2024 viedla k exfiltrácii údajov z viac ako 300 organizácií po celom svete.

QScan automaticky napádal zraniteľné zariadenia pripojené k internetu a pridával ich do QTRouteru, ktorý kombinoval unesené zariadenia s komerčnými proxy službami a prenajatými virtuálnymi súkromnými servermi. Spoločnosť Black Lotus Labs analyzovala infraštruktúru QTFY a opísala túto skupinu ako poskytovateľa infraštruktúry podporujúceho čínske kybernetické operácie. Smerovaním prevádzky cez zariadenia v blízkosti obetí sa podarilo navodiť dojem, že škodlivá komunikácia pochádza od legitímnych miestnych používateľov.

Riaditeľ FBI Kash Patel uviedol:

„Dnes sme oznámili rozbitie globálnej botnetovej siete a hackerskej platformy, ktorú čínski hackeri podporovaní štátom využívali na útoky na kritickú infraštruktúru USA. Tieto nástroje používali kybernetickí aktéri z ČĽR na skrytie pôvodu svojich útokov.“

Napadnuté smerovače a iné zariadenia internetu vecí podporovali aj kyberzločin motivovaný finančným ziskom mimo operácií sponzorovaných štátom. Orgány už skôr rozložili proxy sieť obsahujúcu 369 000 napadnutých zariadení v 163 krajinách. Táto sieť umožňovala zločincom zamaskovať činnosť súvisiacu s prevzatím kryptomenových účtov, bankovými podvodmi, ransomwarom a inými podvodmi, pričom jej prevádzkovateľom priniesla zisk vo výške viac ako 5,7 milióna dolárov.

Operácia rozširuje kampaň zameranú na likvidáciu infraštruktúry

Najnovšie zabavenia nadväzujú na niekoľko súdom schválených operácií zameraných na čínsku kybernetickú infraštruktúru sponzorovanú štátom. V januári 2025 FBI oznámila, že odstránila sledovací malvér PlugX z približne 4 258 amerických systémov infikovaných skupinou Mustang Panda. Federálne orgány tiež v roku 2024 vyradili z prevádzky botnet Flax Typhoon a v roku 2023 narušili činnosť botnetu Volt Typhoon.

Federálny prístup k zahraničným kybernetickým hrozbám sa tiež rozširuje nad rámec konvenčných súdom schválených zaistení a operácií zameraných na odstraňovanie malvéru. Prezidentské memorandum z 12. augusta nariadilo vytvorenie federálne dohliadaného programu narušenia kybernetických aktivít, ktorý umožňuje prevereným americkým spoločnostiam navrhovať misie proti zahraničným zločineckým sieťam, pričom úradníci majú 60 dní na stanovenie kritérií oprávnenosti, postupov preskúmania cieľov a bezpečnostných opatrení.

Federálni vyšetrovatelia čoraz častejšie narúšajú účty, servery, domény a sieťové pripojenia, ktoré umožňujú zahraničné kybernetické operácie. V rámci samostatnej iniciatívy v máji sa technologické spoločnosti zapojili do operácie Ministerstva spravodlivosti (DOJ), ktorá zablokovala viac ako 1,4 milióna účtov spojených s podvodmi. Účastníci tiež zablokovali škodlivý internetový prevádzku, vyradili z prevádzky hostingovú infraštruktúru a pomohli zmraziť kryptomenu v hodnote viac ako 3,8 milióna dolárov.

Jednotliví používatelia čelia odlišným rizikám v porovnaní so sofistikovanými skupinami, ktoré sa zameriavajú na vládne agentúry a kritickú infraštruktúru, hoci obidve skupiny môžu zneužívať škodlivý softvér a kompromitované zariadenia. Medzi bežné ochranné opatrenia patrí aktualizácia softvéru, vyhýbanie sa podozrivým súborom na stiahnutie a overovanie webových stránok pred zadávaním citlivých informácií. Phishing a falošné webové stránky môžu inštalovať škodlivý softvér alebo odhaliť heslá, zatiaľ čo zastarané smerovače môžu útočníkom poskytnúť infraštruktúru na zakrytie samostatných vniknutí.