عطّل مكتب التحقيقات الفيدرالي الأمريكي بنية تحتية قالت وزارة العدل إنها ارتبطت بجهة تقنية كانت توفر خدمات الاستطلاع وإدارة الوكلاء وتوجيه الاتصالات لعمليات تجسس إلكتروني مرتبطة بالصين. وشملت الأهداف المعلنة شبكات تابعة لوكالات حكومية أمريكية وبنى تحتية حساسة، من بينها NASA والاحتياطي الفيدرالي ووزارتا الطاقة والعدل ووزارة الصحة والخدمات الإنسانية والمعاهد الوطنية للصحة ومجلس الشيوخ الأمريكي.
وتُعرف الجهة باسم QTFY أو QT أو QTCYBER، ويقول ملف القضية إنها أنشأت وشغّلت منصتي QScan وQTRouter. وصفت الوثائق QScan بأنها منصة للفحص والاستغلال، بينما عملت QTRouter كشبكة لإخفاء مسار الاتصالات. واستولت السلطات على النطاقات qtproxy[.]xyz وqt-proxy[.]org وqt-team[.]com، وأصبحت تعرض لافتة تابعة لجهة إنفاذ القانون.
منصة خدمات لا أداة منفردة
وفقاً لبحث Black Lotus Labs، الذراع البحثية الأمنية لشركة Lumen Technologies، قدمت البنية مجموعة مترابطة من الخدمات. كان QScan يجمع معلومات عن الأهداف ذات القيمة العالية، مثل المنافذ المفتوحة وشعارات التطبيقات وبصمات أنظمة التشغيل وبيانات الإعدادات. أما Fast Labyrinth فكان شبكة مرحلات مشفرة لإخفاء الاتصالات من وإلى المؤسسات المستهدفة.
ووفّر QTRouter جهازاً فعلياً مهيأً مسبقاً للوصول إلى بنية الوكلاء ونظام إدارة العقد، في حين أتاح QTProxy اختيار المرحلات وإنشاء مسارات مخصصة عبر Fast Labyrinth. وتشير النتائج إلى أن هذه العناصر صممت لتقليل الجهد التشغيلي المطلوب لتنفيذ الاستطلاع وإخفاء مصدر الحركة، بدلاً من الاعتماد على أداة اختراق واحدة.
قالت Lumen إن البنية استُخدمت في استهداف مؤسسات عسكرية ودفاعية، وشبكات حكومية، وجامعات ومراكز أبحاث، وشركات طيران ومعلومات حيوية، وقطاع الرعاية الصحية، والمؤسسات المالية، وشركات الطاقة والبنى التحتية الحيوية، إضافة إلى مزودي برمجيات المؤسسات.
ما الذي تكشفه عملية التعطيل؟
تقول Black Lotus Labs إنها راقبت بنية QTFY لمدة عام، وشاركت معلومات التهديد مع جهات حكومية أمريكية. كما عطّلت نقاطاً معروفة عبر توجيه حركة المرور إليها إلى مسارات غير فعالة. وترى Lumen أن التداخل بين الأهداف التي فحصتها QScan والمؤسسات التي تواصلت معها لاحقاً شبكة Fast Labyrinth يمثل أقوى مؤشر على انتقال النشاط من الاستطلاع إلى عمليات لاحقة.
وتقدر الشركة أن الاتصالات ثنائية الاتجاه المرصودة قد تعكس محاولات استغلال أو حركة جانبية أو تثبيت وصول أو جمع بيانات. أما وثائق المحكمة فتذكر أن المجموعة ضمت أعضاء سابقين في جناح عسكري تابع لجيش التحرير الشعبي الصيني، وأن Nanjing Xinjiuwei Network Technology Company تلقت مدفوعات من وزارة أمن الدولة الصينية، وهو ما تستخدمه وزارة العدل مؤشراً على تنفيذ أنشطة خبيثة نيابة عن الحكومة الصينية.
لماذا يهم هذا الخبر للمدافعين؟
تكمن أهمية العملية في أنها تستهدف نموذجاً تجارياً لتوفير البنية التشغيلية، لا مجرد خادم واحد. فقد اعتمدت Fast Labyrinth على عقد مدفوعة من خدمة الوكلاء التجارية fastlink.ws، وخلطت حركة التجسس بحركة مستخدمين شرعيين، مع تدوير البنية التي تخرج منها الاتصالات. كما باعت QTFY إمكانية الوصول إلى QScan وQTRouter لجهات أخرى، بما يسمح بفحص أجهزة إنترنت الأشياء الضعيفة وضمها إلى شبكات مرحلية تخفي مصدر الحركة.
مع ذلك، تحذر Lumen من أن الحجب الثابت وحده لن يكون كافياً، لأن المرور ينتقل عبر خدمات وكلاء تجارية متغيرة باستمرار. وتوصي المعطيات العملية باتباع إرشادات CISA وNCSC الخاصة بالتهديدات المرتبطة بالصين، وتحديث أجهزة التوجيه والجدران النارية وأجهزة إنترنت الأشياء، مع تأمين إعداداتها. ولا تثبت عملية الاستيلاء وحدها انتهاء الخطر؛ فالقيود التي يفرضها تدوير الوكلاء، واحتمال إعادة بناء البنية عبر خدمات أخرى، يظلان سؤالين مفتوحين أمام فرق الدفاع.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.