เอฟบีไอยึดแพลตฟอร์มการแฮ็กของจีนที่ถูกใช้เพื่อเล็งเป้าหน่วยงานของสหรัฐฯ

FBI ทำให้ QScan และ QTRouter ออฟไลน์

ทางการรัฐบาลกลางได้ทำให้แพลตฟอร์มแฮ็กที่เชื่อมโยงกันสองระบบใช้งานไม่ได้ในวันที่ 26 ส.ค. ด้วยการยึดโดเมนที่จำเป็นต่อการสื่อสารและการยืนยันตัวตนของแพลตฟอร์มดังกล่าว กระทรวงยุติธรรมประกาศว่า QScan และ QTRouter มุ่งเป้าไปที่โครงสร้างพื้นฐานสำคัญ และเครือข่ายอ่อนไหวที่ดำเนินการโดย NASA ธนาคารกลางสหรัฐ กระทรวงพลังงาน กระทรวงยุติธรรม กระทรวงสาธารณสุขและบริการมนุษย์ (HHS) สถาบันสุขภาพแห่งชาติ (NIH) และวุฒิสภาสหรัฐฯ

บันทึกศาลระบุว่าแพลตฟอร์มดังกล่าวเป็นของ QTFY ซึ่งเป็นกลุ่มแฮ็กที่ได้รับการสนับสนุนจากรัฐจีนและถูกจ้างโดยบริษัท Nanjing Xinjiuwei Network Technology Company คำให้การเป็นลายลักษณ์อักษรของเอฟบีไอที่สนับสนุนการยึดโดเมน กล่าวหาว่า QTFY ขายบริการแฮ็กให้ลูกค้าที่รวมถึงกระทรวงความมั่นคงแห่งรัฐของจีน และกองทัพปลดปล่อยประชาชน (PLA) มีการฝังโดเมนที่ถูกยึดสามโดเมนไว้ในแพลตฟอร์มโดยตรง ทำให้ปฏิบัติการนี้สามารถทำให้ทั้งสองระบบไม่สามารถใช้งานได้

การยึดดังกล่าวทำให้โครงสร้างพื้นฐานที่ถูกกล่าวหาว่าช่วยให้แฮกเกอร์ระบุระบบที่มีช่องโหว่และอำพรางการเชื่อมต่อไปยังเครือข่ายเป้าหมายหยุดชะงัก อัยการสูงสุด ทอดด์ บลานช์ กล่าวว่า:

“เจ้าหน้าที่บังคับใช้กฎหมายของรัฐบาลกลางได้สืบสวนและทำให้ซอฟต์แวร์อันเป็นอันตรายของสาธารณรัฐประชาชนจีน (PRC) ใช้งานไม่ได้ ซึ่งเป็นปฏิบัติการทางเทคนิคล่าสุดในชุดปฏิบัติการเพื่อรื้อถอนกิจกรรมการแฮ็กแบบไม่เลือกเป้าที่ได้รับการสนับสนุนจากสาธารณรัฐประชาชนจีน”

QScan ค้นหาเป้าหมาย ขณะที่ QTRouter ปกปิดการโจมตี

แพลตฟอร์มทั้งสองทำหน้าที่ต่างกันภายในระบบบูรณาการสำหรับการสอดแนม การเจาะระบบ และการทำให้ทราฟฟิกยากต่อการติดตาม คำแนะนำด้านความปลอดภัยไซเบอร์ร่วมของเอฟบีไอ สำนักงานความมั่นคงแห่งชาติ (NSA) และกองกำลังภารกิจไซเบอร์แห่งชาติ (Cyber National Mission Force) ระบุว่า QScan มีเอ็กซ์พลอยต์แบบพิสูจน์แนวคิดมากกว่า 200 รายการ และประมวลผลงานสแกนและการทดสอบเจาะระบบมากกว่า 2 ล้านงานภายในวันเดียวในปี 2024 แคมเปญในเดือนพฤษภาคม 2024 ได้ลักลอบนำข้อมูลออกจากองค์กรกว่า 300 แห่งทั่วโลก

QScan เจาะอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตซึ่งมีช่องโหว่โดยอัตโนมัติและเพิ่มอุปกรณ์เหล่านั้นเข้าไปใน QTRouter ซึ่งผสานอุปกรณ์ที่ถูกยึดครองเข้ากับบริการพร็อกซีเชิงพาณิชย์และเซิร์ฟเวอร์ส่วนตัวเสมือน (VPS) ที่เช่าไว้ Black Lotus Labs วิเคราะห์โครงสร้างพื้นฐานของ QTFY และอธิบายว่ากลุ่มดังกล่าวเป็นผู้ให้บริการโครงสร้างพื้นฐานที่สนับสนุนปฏิบัติการไซเบอร์ของจีน การส่งทราฟฟิกผ่านอุปกรณ์ที่อยู่ใกล้เหยื่อทำให้การสื่อสารที่เป็นอันตรายดูเหมือนมีต้นทางมาจากผู้ใช้ท้องถิ่นที่ถูกต้องตามกฎหมาย

ผู้อำนวยการเอฟบีไอ แคช พาเทล กล่าวว่า:

“วันนี้เราได้ประกาศการทำให้บอตเน็ตและแพลตฟอร์มแฮ็กระดับโลกที่แฮกเกอร์ซึ่งได้รับการสนับสนุนจากรัฐจีนใช้เพื่อเล็งเป้าไปที่โครงสร้างพื้นฐานสำคัญของสหรัฐฯ หยุดชะงัก เครื่องมือเหล่านี้ถูกใช้โดยผู้ปฏิบัติการไซเบอร์ของ PRC เพื่อปกปิดต้นทางของการโจมตี”

เราเตอร์ที่ถูกเจาะและอุปกรณ์อินเทอร์เน็ตของสรรพสิ่ง (IoT) อื่นๆ ยังถูกใช้สนับสนุนอาชญากรรมไซเบอร์เพื่อผลประโยชน์ทางการเงินนอกเหนือจากปฏิบัติการที่ได้รับการสนับสนุนจากรัฐด้วย ก่อนหน้านี้ทางการได้ รื้อเครือข่ายพร็อกซีที่มีอุปกรณ์ถูกแฮ็ก 369,000 เครื่อง ใน 163 ประเทศ เครือข่ายดังกล่าวทำให้อาชญากรสามารถอำพรางกิจกรรมที่เกี่ยวข้องกับการยึดบัญชีคริปโตเคอร์เรนซี การฉ้อโกงธนาคาร แรนซัมแวร์ และแผนการอื่นๆ พร้อมทั้งสร้างรายได้มากกว่า 5.7 ล้านดอลลาร์ให้ผู้ดำเนินการ

ปฏิบัติการขยายแคมเปญการรื้อถอนโครงสร้างพื้นฐาน

การยึดล่าสุดเกิดขึ้นต่อเนื่องจากปฏิบัติการหลายครั้งที่ได้รับอนุญาตจากศาลซึ่งมุ่งเป้าไปยังโครงสร้างพื้นฐานไซเบอร์ที่ได้รับการสนับสนุนจากรัฐจีน ในเดือนมกราคม 2025 เอฟบีไอกล่าวว่าได้ลบมัลแวร์สอดแนม PlugX ออกจากระบบในสหรัฐฯ ประมาณ 4,258 ระบบที่ติดเชื้อโดย Mustang Panda ทางการรัฐบาลกลางยังได้ปิดการทำงานของบอตเน็ต Flax Typhoon ในปี 2024 และทำให้บอตเน็ต Volt Typhoon หยุดชะงักในปี 2023

แนวทางของรัฐบาลกลางต่อภัยคุกคามไซเบอร์ต่างชาติยังขยายไปไกลกว่าการยึดที่ได้รับอนุญาตจากศาลตามแบบแผนและปฏิบัติการลบมัลแวร์ เมื่อวันที่ 12 ส.ค. บันทึกคำสั่งของประธานาธิบดีได้สั่งให้จัดตั้ง โครงการรบกวนปฏิบัติการไซเบอร์ภายใต้การกำกับดูแลของรัฐบาลกลาง ที่เปิดทางให้บริษัทสหรัฐฯ ที่ผ่านการคัดกรองเสนอภารกิจต่อเครือข่ายอาชญากรรมต่างชาติ โดยให้เจ้าหน้าที่มีเวลา 60 วันในการกำหนดมาตรฐานคุณสมบัติ ขั้นตอนการทบทวนเป้าหมาย และมาตรการคุ้มครอง

ผู้สืบสวนของรัฐบาลกลางได้รบกวนบัญชี เซิร์ฟเวอร์ โดเมน และการเชื่อมต่อเครือข่ายที่เอื้อให้เกิดปฏิบัติการไซเบอร์ต่างชาติมากขึ้นเรื่อยๆ ระหว่างโครงการแยกต่างหากในเดือนพฤษภาคม บริษัทเทคโนโลยีได้เข้าร่วมปฏิบัติการของกระทรวงยุติธรรม (DOJ) ที่ขัดขวางบัญชีที่เชื่อมโยงกับการหลอกลวงมากกว่า 1.4 ล้านบัญชี ผู้เข้าร่วมยังบล็อกทราฟฟิกอินเทอร์เน็ตที่เป็นอันตราย ปลดระวางโครงสร้างพื้นฐานโฮสติ้ง และช่วยอายัดคริปโตเคอร์เรนซีมากกว่า 3.8 ล้านดอลลาร์

ผู้ใช้รายบุคคลเผชิญความเสี่ยงที่แตกต่างจากกลุ่มที่ซับซ้อนซึ่งมุ่งเป้าไปยังหน่วยงานรัฐบาลและโครงสร้างพื้นฐานสำคัญ แม้ว่าทั้งสองกรณีอาจใช้มัลแวร์และอุปกรณ์ที่ถูกเจาะเป็นเครื่องมือได้ การป้องกันทั่วไปได้แก่ อัปเดตซอฟต์แวร์ หลีกเลี่ยงการดาวน์โหลดที่น่าสงสัย และตรวจสอบเว็บไซต์ก่อนกรอกข้อมูลสำคัญ ฟิชชิงและเว็บไซต์ปลอมสามารถติดตั้งมัลแวร์หรือเปิดเผยรหัสผ่านได้ ขณะที่เราเตอร์ที่ล้าสมัยอาจเปิดช่องให้ผู้โจมตีใช้เป็นโครงสร้างพื้นฐานเพื่อปกปิดการบุกรุกอื่นๆ แยกต่างหาก