El FBI ha interrumpido la infraestructura en línea asociada a un grupo acusado de suministrar capacidades de reconocimiento y confusión de tráfico a operaciones de ciberespionaje vinculadas a China que tienen como objetivo agencias gubernamentales estadounidenses y otras organizaciones sensibles.
According to the U.S. Department of Justice , el grupo se rastrea como QTFY, QT o QTCYBER y operaba dos plataformas llamadas QScan y QTRouter. Las autoridades afirman que la infraestructura apoyaba operaciones dirigidas a infraestructuras críticas de EE. UU. y otras redes de alto valor.
Las organizaciones objetivo de QTFY incluyeron, según se informa, la NASA, la Reserva Federal, el Senado de EE. UU. y los Departamentos de Energía, Justicia y Salud y Servicios Humanos. Los Institutos Nacionales de Salud también estuvieron entre los objetivos identificados.
QTFY supuestamente desarrolló y mantuvo QScan y QTRouter mientras trabajaba para Nanjing Xinjiuwei Network Technology Company, una empresa con sede en China. Los registros judiciales citados por el Departamento de Justicia indican que los miembros del grupo incluyen antiguos miembros del Ejército Popular de Liberación de China. Los investigadores también identificaron pagos del Ministerio de Seguridad del Estado de China a Nanjing Xinjiuwei, que según las autoridades indican que la empresa llevó a cabo operaciones cibernéticas en nombre del gobierno chino.
Como parte de la interrupción, las autoridades incautaron tres dominios asociados a la infraestructura: qtproxy.xyz, qt-proxy.org y qt-team.com. Los dominios supuestamente se usaron para operar QScan, descrito en documentos judiciales como una plataforma de escaneo y explotación, y QTRouter, que proporcionaba capacidades para ocultar la actividad de la red.
Investigaciones de Black Lotus Labs de Lumen Technologies identificaron un sistema más amplio que apoyaba la operación. QScan recopiló información sobre posibles objetivos, incluyendo puertos expuestos, banners de aplicaciones, huellas dactilares del sistema operativo y detalles de configuración.
Otro componente, conocido como Fast Labyrinth, proporcionaba una red de relés cifrada para ocultar comunicaciones entre operadores y entornos objetivo. QTRouter proporcionaba acceso a la infraestructura proxy mediante un dispositivo físico preconfigurado, mientras que QTProxy permitía a los operadores seleccionar nodos de retransmisión y construir rutas personalizadas a través de la red.
Se observó que la infraestructura apuntaba a organizaciones de numerosos sectores sensibles, incluyendo militares y defensa, gobierno, aeroespacial, sanidad, servicios financieros, energía, universidades, instituciones de investigación, bioinformática y software empresarial.
Black Lotus Labs también tomó medidas contra la infraestructura identificada durante su investigación por tráfico nulo asociado a puntos operativos conocidos.
Una parte central del sistema implicaba técnicas de Caja de Retransmisión Operacional (ORB). Estas redes permiten a los operadores enrutar la actividad a través de la infraestructura intermedia, dificultando que los defensores identifiquen de dónde se origina realmente el tráfico malicioso.
En lugar de depender completamente de una red convencional de dispositivos comprometidos, la operación QTFY supuestamente adquirió acceso premium a nodos seleccionados pertenecientes al servicio comercial de proxy fastlink.ws. Esos nodos pasaron a formar parte de la red Fast Labyrinth, permitiendo que el tráfico relacionado con el espionaje se mezclara con el tráfico proxy legítimo mientras su infraestructura de salida cambiaba dinámicamente.
Los investigadores encontraron una conexión importante entre organizaciones identificadas inicialmente mediante QScan y sistemas que posteriormente fueron contactados a través de Fast Labyrinth. Lumen evaluó que las comunicaciones bidireccionales observadas desde la infraestructura proxy podrían representar actividades que incluyen intentos de explotación, movimiento lateral, persistencia o recopilación de información, aunque esas actividades individuales no se confirmaron en todas las conexiones observadas.
La incautación del FBI elimina dominios que apoyan la operación, mientras que la intervención de Lumen interrumpió infraestructuras adicionales identificadas. Sin embargo, los investigadores advierten que el bloqueo convencional de IP tiene limitaciones contra infraestructuras construidas en torno a nodos proxy comerciales que giran dinámicamente, lo que permite que el origen aparente del tráfico de red cambie con frecuencia.