Le FBI a perturbé les infrastructures en ligne associées à un groupe accusé de fournir des capacités de reconnaissance et d’obscurcissement du trafic à des opérations d’espionnage cybernétique liées à la Chine visant des agences gouvernementales américaines et d’autres organisations sensibles.
According to the U.S. Department of Justice , le groupe est suivi sous les noms QTFY, QT ou QTCYBER et exploitait deux plateformes appelées QScan et QTRouter. Les autorités affirment que l’infrastructure soutenait les opérations visant les infrastructures critiques américaines et d’autres réseaux à forte valeur.
Les organisations ciblées par QTFY auraient inclus la NASA, la Réserve fédérale, le Sénat américain et les départements de l’Énergie, de la Justice, ainsi que de la Santé et des Services sociaux. Les National Institutes of Health figuraient également parmi les cibles identifiées.
QTFY aurait développé et maintenu QScan et QTRouter alors qu’il travaillait pour la société Nankin Xinjiuwei Network Technology Company, une entreprise basée en Chine. Les dossiers judiciaires cités par le ministère de la Justice indiquent que les membres du groupe incluent d’anciens membres de l’Armée populaire de libération chinoise. Les enquêteurs ont également identifié des paiements du ministère chinois de la Sécurité d’État à Nankin Xinjiuwei, ce qui, selon les autorités, indique que la société a mené des opérations cybernétiques au nom du gouvernement chinois.
Dans le cadre de cette perturbation, les autorités ont saisi trois domaines associés à l’infrastructure : qtproxy.xyz, qt-proxy.org et qt-team.com. Ces domaines auraient été utilisés pour faire fonctionner QScan, décrit dans les documents judiciaires comme une plateforme de numérisation et d’exploitation, ainsi que QTRouter, qui offrait des capacités de dissimulation de l’activité réseau.
Des recherches menées par Black Lotus Labs de Lumen Technologies ont identifié un système plus large soutenant l’opération. QScan a collecté des informations sur les cibles potentielles, y compris les ports exposés, les bannières d’application, les empreintes digitales du système d’exploitation et les détails de configuration.
Un autre composant, connu sous le nom de Fast Labyrinth, fournissait un réseau de relais chiffré pour dissimuler les communications entre les opérateurs et les environnements ciblés. QTRouter donnait accès à l’infrastructure proxy via un dispositif physique préconfiguré, tandis que QTProxy permettait aux opérateurs de sélectionner des nœuds relais et de construire des routes personnalisées à travers le réseau.
L’infrastructure a été observée ciblant des organisations de nombreux secteurs sensibles, notamment l’armée et la défense, le gouvernement, l’aérospatiale, la santé, les services financiers, l’énergie, les universités, les institutions de recherche, la bioinformatique et les logiciels d’entreprise.
Black Lotus Labs a également pris des mesures contre les infrastructures identifiées lors de son enquête par le trafic de routage nul associé à des points opérationnels connus.
Une partie centrale du système impliquait des techniques de boîte de relais opérationnelle (ORB). Ces réseaux permettent aux opérateurs de router l’activité via l’infrastructure intermédiaire, rendant plus difficile pour les défenseurs d’identifier l’origine réelle du trafic malveillant.
Plutôt que de dépendre entièrement d’un réseau conventionnel d’appareils compromis, l’opération QTFY aurait acheté un accès premium à certains nœuds appartenant au service proxy commercial fastlink.ws. Ces nœuds sont devenus partie intégrante du réseau Fast Labyrinth, permettant au trafic lié à l’espionnage de se mélanger au trafic proxy légitime tandis que son infrastructure de sortie changeait dynamiquement.
Les chercheurs ont trouvé un lien important entre les organisations initialement identifiées via QScan et les systèmes qui ont ensuite été contactés via Fast Labyrinth. Lumen a estimé que les communications bidirectionnelles observées provenant de l’infrastructure proxy pouvaient représenter des activités telles que des tentatives d’exploitation, des déplacements latéraux, la persistance ou la collecte d’informations, bien que ces activités individuelles n’aient pas été confirmées dans chaque connexion observée.
La saisie du FBI supprime les domaines soutenant l’opération, tandis que l’intervention de Lumen perturbe des infrastructures identifiées supplémentaires. Cependant, les chercheurs avertissent que le blocage IP conventionnel présente des limites contre les infrastructures construites autour de nœuds proxy commerciaux tournant dynamiquement, permettant à l’origine apparente du trafic réseau de changer fréquemment.