أعلنت وزارة العدل الأميركية بالتعاون مع مكتب التحقيقات الفيدرالي (FBI) عن تعطيل منصتين للاختراق تحملان اسم QScan وQTRouter، تُدار من قبل مجموعة تهديد مرتبطة بالصين تُعرف باسم QTFY، وتعمل تحت مظلة شركة Nanjing Xinjiuwei Network Technology.
طبيعة الاستهداف
- من بين الضحايا مؤسسات حساسة مثل ناسا، الاحتياطي الفيدرالي، وزارة الطاقة، وزارة العدل، وزارة الصحة والخدمات الإنسانية، المعاهد الوطنية للصحة، ومجلس الشيوخ الأميركي.
- المجموعة تنشط منذ عام 2018، وتُعتبر بمثابة “مستودع رقمي” يزوّد جهات حكومية صينية مثل وزارة أمن الدولة (MSS) وجيش التحرير الشعبي (PLA) بأدوات اختراق متقدمة.
أدوات الهجوم
- QScan: أداة مسح تستغل ثغرات في أجهزة IoT وتضيفها إلى شبكة QTRouter.
- QTRouter: شبكة إخفاء تعتمد على أجهزة مخترقة وخدمات بروكسي تجارية وخوادم VPS مستأجرة، تُستخدم لإخفاء مصدر الهجمات وجعلها تبدو وكأنها قادمة من مواقع جغرافية مختلفة.
- البنية تشمل أيضاً منصات مثل Fast Labyrinth وQTProxy، التي تدير عقد البروكسي وتسمح بإنشاء مسارات مشفرة ومعقدة لتجاوز أنظمة الحماية.
دورة الهجوم
- استخدام QScan للاستطلاع واستغلال ثغرات Zero-Day وN-Day (مثل ثغرات في Ivanti، Fortinet، Citrix، Microsoft Exchange، F5 BIG-IP، Apache Log4j، Atlassian Confluence، Check Point، BeyondTrust).
- تثبيت أدوات وصول مستمر مثل RATs وWeb Shells.
- استخدام QTRouter للوصول إلى الشبكات المستهدفة عبر أجهزة IoT قريبة لتجنب الرصد.
- تشغيل أوامر على الأجهزة المصابة أو شن هجمات DDoS عبر خوادم التحكم.
أهمية التعطيل
- تعطيل هذه البنية التحتية أدى إلى توقف العمليات، حيث كانت النطاقات المخترقة مدمجة بشكل صلب في الأدوات.
- بحسب Lumen Black Lotus Labs، يمثل هذا مثالاً على التصنيع الصناعي للهجمات السيبرانية، حيث انتقلت المجموعات من إعدادات عشوائية إلى شبكات متعددة المستأجرين تُدار مركزياً وتسمح بتنفيذ حملات معقدة بسرعة وعلى نطاق عالمي.
- الاعتماد على خدمات بروكسي تجارية مدفوعة يجعل من الصعب على الدفاعات التقليدية مثل قوائم الحظر الثابتة أو سياسات الموقع الجغرافي إيقاف هذه الهجمات.
