米連邦捜査局（FBI）は、米司法省が中国に関連するサイバー諜報活動のために偵察サービス、プロキシ管理、通信指揮を提供していた技術組織と関連しているとしたインフラを停止した。公表された標的には、米国政府機関に属するネットワークや重要インフラが含まれ、NASA、連邦準備制度、エネルギー省、司法省、保健福祉省、国立衛生研究所、米国上院などが挙げられている。
この組織はQTFY、QT、またはQTCYBERとして知られており、事件記録によると、QScanとQTRouterという2つのプラットフォームを構築・運用していた。文書では、QScanはスキャンと悪用のためのプラットフォーム、QTRouterは通信経路を隠すネットワークとして機能していたと説明されている。当局はqtproxy[.]xyz、qt-proxy[.]org、qt-team[.]comのドメインを押収し、現在は法執行機関に属するバナーを表示している。
単独のツールではなくサービスプラットフォーム
Lumen Technologiesのセキュリティ研究部門であるBlack Lotus Labsの調査によると、このインフラは相互に連携した一連のサービスを提供していた。QScanは、開放ポート、アプリケーションのバナー、オペレーティングシステムのフィンガープリント、設定データなど、高価値の標的に関する情報を収集していた。Fast Labyrinthは、標的組織との間の通信を隠すための暗号化リレー網だった。
QTRouterは、プロキシインフラとノード管理システムにアクセスするため、あらかじめ設定された物理デバイスを提供していた。一方、QTProxyではリレーを選択し、Fast Labyrinthを通じてカスタム経路を作成できた。調査結果は、これらの要素が単一の侵入ツールに依存するのではなく、偵察の実施と通信元の隠蔽に必要な運用上の負担を軽減するよう設計されていたことを示している。
Lumenによると、このインフラは軍事・防衛機関、政府ネットワーク、大学・研究センター、航空会社・情報関連企業、医療分野、金融機関、エネルギー企業・重要インフラに加え、企業向けソフトウェアのプロバイダーを標的にするために使用された。
停止作戦が明らかにすること
Black Lotus Labsは、QTFYのインフラを1年間監視し、脅威情報を米国政府機関と共有したと述べている。また、既知のエンドポイントに向かうトラフィックを無効な経路へ転送することで、それらを無力化した。Lumenは、QScanがスキャンした標的と、その後Fast Labyrinthのネットワークが通信した組織との重複が、活動が偵察から後続作戦へ移行したことを示す最も強力な指標だとみている。
同社は、観測された双方向通信が、悪用の試み、横方向移動、アクセスの永続化、またはデータ収集を反映している可能性があると評価している。一方、裁判所文書は、同グループに中国人民解放軍の軍事部門の元構成員が含まれていたこと、またNanjing Xinjiuwei Network Technology Company（南京新久威网络科技有限公司）が中国国家安全部から支払いを受けていたことを記している。司法省はこれを、中国政府のために悪意ある活動を実行していたことを示す指標としている。
このニュースが防御担当者にとって重要な理由
この作戦の重要性は、単一のサーバーではなく、運用インフラを提供するビジネスモデルを標的にしている点にある。Fast Labyrinthは、商用プロキシサービスfastlink.wsから有料ノードを利用し、スパイ活動の通信を正規ユーザーの通信に混在させるとともに、通信が発信されるインフラをローテーションさせていた。また、QTFYは他の組織にQScanとQTRouterへのアクセスを販売し、脆弱なIoT機器をスキャンして、通信元を隠すリレー網に組み込めるようにしていた。
しかしLumenは、通信の遮断だけでは十分ではないと警告している。通信は常に変化する商用プロキシサービスを経由するためである。実務上のデータは、中国に関連する脅威についてのCISAおよびNCSCの指針に従い、ルーター、ファイアウォール、IoT機器を更新し、その設定を安全にすることを推奨している。押収作戦だけで脅威が終結したことが証明されるわけではない。プロキシのローテーションによる制約や、別のサービスを通じてインフラが再構築される可能性は、依然として防御チームにとって未解決の問題である。