ABD Federal Soruşturma Bürosu, Adalet Bakanlığının Çin bağlantılı siber casusluk operasyonları için keşif hizmetleri, vekil yönetimi ve iletişim yönlendirmesi sağladığını belirttiği bir teknoloji kuruluşuyla bağlantılı olduğunu söylediği altyapıyı devre dışı bıraktı. Açıklanan hedefler arasında NASA, Federal Rezerv, Enerji ve Adalet bakanlıkları, Sağlık ve İnsan Hizmetleri Bakanlığı, Ulusal Sağlık Enstitüleri ve ABD Senatosu da dahil olmak üzere ABD devlet kurumlarına ait ağlar ve hassas altyapılar yer aldı.
Kuruluş QTFY, QT veya QTCYBER olarak biliniyor ve dava dosyasına göre QScan ile QTRouter platformlarını oluşturup işletiyordu. Belgelerde QScan, tarama ve istismar platformu olarak tanımlanırken QTRouter, iletişim güzergâhını gizleyen bir ağ olarak çalışıyordu. Yetkililer qtproxy[.]xyz, qt-proxy[.]org ve qt-team[.]com alan adlarına el koydu; bu alan adlarında artık kolluk kuvvetlerine ait bir uyarı görüntüleniyor.
Tek bir araç değil, hizmet platformu
Lumen Technologies'in güvenlik araştırma kolu Black Lotus Labs'ın araştırmasına göre altyapı, birbirine bağlı bir dizi hizmet sunuyordu. QScan; açık portlar, uygulama başlıkları, işletim sistemi parmak izleri ve yapılandırma verileri gibi yüksek değer taşıyan hedefler hakkında bilgi topluyordu. Fast Labyrinth ise hedef alınan kurumlara giden ve bu kurumlardan gelen iletişimleri gizlemek için şifreli bir röle ağı olarak kullanılıyordu.
QTRouter, vekil altyapısına ve düğüm yönetim sistemine erişim sağlamak üzere önceden yapılandırılmış fiziksel bir cihaz sunarken QTProxy, rölelerin seçilmesine ve Fast Labyrinth üzerinden özel güzergâhlar oluşturulmasına olanak tanıyordu. Bulgular, bu unsurların tek bir sızma aracına dayanmak yerine keşif faaliyetlerini yürütmek ve trafiğin kaynağını gizlemek için gereken operasyonel çabayı azaltacak şekilde tasarlandığını gösteriyor.
Lumen, altyapının askeri ve savunma kuruluşlarını, devlet ağlarını, üniversiteleri ve araştırma merkezlerini, havacılık ve kritik bilgi şirketlerini, sağlık sektörünü, finans kuruluşlarını, enerji şirketlerini ve kritik altyapıları, ayrıca kurumsal yazılım sağlayıcılarını hedef almak için kullanıldığını belirtti.
Devre dışı bırakma operasyonu neyi ortaya koyuyor?
Black Lotus Labs, QTFY altyapısını bir yıl boyunca izlediğini ve tehdit bilgilerini ABD hükümeti kurumlarıyla paylaştığını söylüyor. Ekip ayrıca bilinen noktaları, bunlara yönelen trafiği etkisiz güzergâhlara aktararak devre dışı bıraktı. Lumen, QScan'ın taradığı hedeflerle Fast Labyrinth ağının daha sonra iletişim kurduğu kurumlar arasındaki örtüşmenin, faaliyetin keşiften sonraki operasyonlara geçtiğine ilişkin en güçlü gösterge olduğunu değerlendiriyor.
Şirket, gözlemlenen çift yönlü iletişimin istismar girişimlerini, yanal hareketi, erişimi kalıcı hâle getirme faaliyetlerini veya veri toplamayı yansıtabileceğini tahmin ediyor. Mahkeme belgelerinde ise grupta Çin Halk Kurtuluş Ordusuna bağlı bir askeri kanadın eski üyelerinin bulunduğu ve Nanjing Xinjiuwei Network Technology Company'nin Çin Devlet Güvenlik Bakanlığından ödemeler aldığı belirtiliyor. Adalet Bakanlığı bu durumu, Çin hükümeti adına kötü niyetli faaliyetler yürütüldüğüne dair bir gösterge olarak kullanıyor.
Bu haber savunma ekipleri için neden önemli?
Operasyonun önemi, yalnızca tek bir sunucuyu değil, operasyonel altyapı sağlamak için kullanılan ticari bir modeli hedef almasında yatıyor. Fast Labyrinth, ticari fastlink.ws vekil hizmetinden ücretli düğümlere dayanıyor, casusluk trafiğini meşru kullanıcı trafiğiyle karıştırıyor ve iletişimlerin çıktığı altyapıyı dönüşümlü olarak değiştiriyordu. QTFY ayrıca QScan ve QTRouter'a erişim imkânını başka taraflara sattı; bu da zayıf Nesnelerin İnterneti cihazlarının taranmasına ve trafiğin kaynağını gizleyen röle ağlarına dahil edilmesine olanak sağladı.
Bununla birlikte Lumen, trafiğin sürekli değişen ticari vekil hizmetleri üzerinden geçmesi nedeniyle yalnızca sabit engellemenin yeterli olmayacağı konusunda uyarıyor. Uygulamadaki veriler, CISA ve NCSC'nin Çin bağlantılı tehditlere ilişkin yönergelerinin izlenmesini, yönlendiricilerin, güvenlik duvarlarının ve Nesnelerin İnterneti cihazlarının güncellenmesini ve yapılandırmalarının güvenli hâle getirilmesini öneriyor. El koyma operasyonu tek başına tehdidin sona erdiğini kanıtlamıyor; vekillerin dönüşümlü kullanılmasının yarattığı kısıtlamalar ve altyapının başka hizmetler üzerinden yeniden kurulabilmesi, savunma ekipleri için hâlâ açık sorular olmaya devam ediyor.