Das US-amerikanische Federal Bureau of Investigation hat eine Infrastruktur lahmgelegt, die nach Angaben des Justizministeriums mit einem Technologieanbieter verbunden war, der Aufklärungsdienste, Agentenverwaltung und die Steuerung der Kommunikation für mit China verbundene Cyber-Spionageoperationen bereitstellte. Zu den genannten Zielen gehörten Netzwerke US-amerikanischer Regierungsbehörden und kritische Infrastrukturen, darunter die NASA, die Federal Reserve, das Energieministerium, das Justizministerium, das Ministerium für Gesundheitspflege und Soziale Dienste, die National Institutes of Health und der US-Senat.
Die Einheit ist unter den Bezeichnungen QTFY, QT oder QTCYBER bekannt. Laut den Gerichtsunterlagen entwickelte und betrieb sie die Plattformen QScan und QTRouter. Die Dokumente beschrieben QScan als Plattform für Scans und Exploitation, während QTRouter als Netzwerk zur Verschleierung des Kommunikationswegs fungierte. Die Behörden beschlagnahmten die Domains qtproxy[.]xyz, qt-proxy[.]org und qt-team[.]com, die nun ein Banner einer Strafverfolgungsbehörde anzeigen.
Eine Dienstleistungsplattform statt eines einzelnen Werkzeugs
Nach Untersuchungen von Black Lotus Labs, dem Sicherheitsforschungszweig von Lumen Technologies, bot die Infrastruktur eine miteinander verbundene Gruppe von Diensten. QScan sammelte Informationen über hochwertige Ziele, etwa offene Ports, Anwendungsbanner, Fingerabdrücke von Betriebssystemen und Konfigurationsdaten. Fast Labyrinth war dagegen ein Netzwerk verschlüsselter Relays, um die Kommunikation zu und von den Zielorganisationen zu verschleiern.
QTRouter stellte ein vorkonfiguriertes physisches Gerät für den Zugriff auf die Agenteninfrastruktur und das Knotenverwaltungssystem bereit, während QTProxy die Auswahl von Relays und die Erstellung benutzerdefinierter Pfade über Fast Labyrinth ermöglichte. Die Ergebnisse deuten darauf hin, dass diese Komponenten darauf ausgelegt waren, den für Aufklärung und die Verschleierung der Herkunft des Datenverkehrs erforderlichen operativen Aufwand zu verringern, anstatt sich auf ein einzelnes Hacking-Tool zu stützen.
Lumen zufolge wurde die Infrastruktur eingesetzt, um militärische und verteidigungsbezogene Einrichtungen, Regierungsnetzwerke, Universitäten und Forschungseinrichtungen, Luftfahrtunternehmen und Unternehmen aus dem Bereich kritischer Informationen, den Gesundheitssektor, Finanzinstitute, Energieunternehmen und kritische Infrastrukturen sowie Anbieter von Unternehmenssoftware anzugreifen.
Was offenbart die Lahmlegung?
Black Lotus Labs zufolge beobachtete das Unternehmen die QTFY-Infrastruktur ein Jahr lang und teilte Informationen zu den Bedrohungen mit US-Regierungsstellen. Außerdem deaktivierte es bekannte Knoten, indem es den Datenverkehr zu ihnen auf unwirksame Pfade umleitete. Lumen ist der Ansicht, dass die Überschneidung zwischen den von QScan gescannten Zielen und den Organisationen, mit denen das Fast-Labyrinth-Netzwerk später kommunizierte, der stärkste Hinweis auf einen Übergang von der Aufklärung zu nachfolgenden Operationen ist.
Das Unternehmen schätzt, dass der beobachtete bidirektionale Datenverkehr Versuche zur Ausnutzung von Schwachstellen, laterale Bewegungen, die Aufrechterhaltung des Zugriffs oder die Sammlung von Daten widerspiegeln könnte. Die Gerichtsunterlagen führen außerdem aus, dass die Gruppe ehemalige Mitglieder eines militärischen Arms der chinesischen Volksbefreiungsarmee umfasste und dass die Nanjing Xinjiuwei Network Technology Company Zahlungen vom chinesischen Ministerium für Staatssicherheit erhielt. Das Justizministerium wertet dies als Hinweis darauf, dass bösartige Aktivitäten im Auftrag der chinesischen Regierung durchgeführt wurden.
Warum ist diese Nachricht für Verteidiger wichtig?
Die Bedeutung der Operation liegt darin, dass sie ein Geschäftsmodell zur Bereitstellung der operativen Infrastruktur ins Visier nimmt und nicht nur einen einzelnen Server. Fast Labyrinth stützte sich auf von dem kommerziellen Proxy-Dienst fastlink.ws bezahlte Knoten und vermischte Spionageverkehr mit dem Datenverkehr legitimer Nutzer, wobei die Infrastruktur, von der aus die Kommunikation erfolgte, regelmäßig ausgetauscht wurde. QTFY verkaufte außerdem anderen Akteuren den Zugang zu QScan und QTRouter und ermöglichte damit das Scannen anfälliger Internet-of-Things-Geräte und deren Einbindung in Relay-Netzwerke, die die Herkunft des Datenverkehrs verschleiern.
Lumen warnt jedoch, dass eine statische Sperrung allein nicht ausreichen werde, weil der Datenverkehr über sich ständig verändernde kommerzielle Proxy-Dienste geleitet werde. Die praktischen Erkenntnisse legen nahe, die Leitlinien von CISA und NCSC zu mit China verbundenen Bedrohungen zu befolgen, Router, Firewalls und Internet-of-Things-Geräte zu aktualisieren und ihre Konfigurationen abzusichern. Die Beschlagnahmung allein beweist nicht, dass die Gefahr beendet ist; die durch den Austausch der Proxys entstehenden Einschränkungen und die Möglichkeit, die Infrastruktur über andere Dienste neu aufzubauen, bleiben offene Fragen für die Verteidigungsteams.