L’FBI ha interrotto infrastrutture online associate a un gruppo accusato di fornire capacità di ricognizione e offuscamento del traffico a operazioni di spionaggio informatico collegate alla Cina contro agenzie governative statunitensi e altre organizzazioni sensibili.
According to the U.S. Department of Justice , il gruppo è tracciato come QTFY, QT o QTCYBER e gestiva due piattaforme chiamate QScan e QTRouter. Le autorità affermano che l’infrastruttura supportava le operazioni dirette alle infrastrutture critiche statunitensi e ad altre reti di alto valore.
Le organizzazioni prese di mira da QTFY avrebbero incluso NASA, la Federal Reserve, il Senato degli Stati Uniti e i Dipartimenti dell’Energia, della Giustizia e della Salute e dei Servizi Umani. Anche i National Institutes of Health erano tra gli obiettivi identificati.
QTFY avrebbe sviluppato e mantenuto QScan e QTRouter mentre lavorava per la Nanjing Xinjiuwei Network Technology Company, un’azienda con sede in Cina. I documenti giudiziari citati dal Dipartimento di Giustizia indicano che i membri del gruppo includono ex membri dell’Esercito Popolare di Liberazione Cinese. Gli investigatori hanno anche identificato pagamenti dal Ministero della Sicurezza di Stato cinese a Nanchino Xinjiuwei, che secondo le autorità indicano che l’azienda ha condotto operazioni informatiche per conto del governo cinese.
Come parte della disgregazione, le autorità hanno sequestrato tre domini associati all’infrastruttura: qtproxy.xyz, qt-proxy.org e qt-team.com. I domini sarebbero stati utilizzati per gestire QScan, descritto nei documenti giudiziari come una piattaforma di scansione e sfruttamento, e QTRouter, che forniva capacità per nascondere l’attività di rete.
Ricerche dei Black Lotus Labs di Lumen Technologies hanno identificato un sistema più ampio che supportava l’operazione. QScan ha raccolto informazioni su potenziali obiettivi, inclusi porte esposte, banner applicazioni, impronte digitali del sistema operativo e dettagli di configurazione.
Un altro componente, noto come Fast Labyrinth, forniva una rete di relè criptata per nascondere le comunicazioni tra operatori e ambienti target. QTRouter forniva l’accesso all’infrastruttura proxy tramite un dispositivo fisico preconfigurato, mentre QTProxy permetteva agli operatori di selezionare nodi relay e costruire percorsi personalizzati attraverso la rete.
L’infrastruttura è stata osservata come colpa di organizzazioni di numerosi settori sensibili, tra cui militare e difesa, governo, aerospaziale, sanità, servizi finanziari, energia, università, istituti di ricerca, bioinformatica e software aziendale.
Black Lotus Labs ha inoltre preso provvedimenti contro infrastrutture identificate durante le indagini tramite traffico null-routing associato a punti operativi noti.
Una parte centrale del sistema riguardava tecniche di Operational Relay Box (ORB). Tali reti permettono agli operatori di instradare l’attività attraverso infrastrutture intermedie, rendendo più difficile per i difensori identificare da dove provenga effettivamente il traffico malevolo.
Invece di dipendere interamente da una rete convenzionale di dispositivi compromessi, l’operazione QTFY avrebbe acquistato accesso premium a nodi selezionati appartenenti al servizio proxy commerciale fastlink.ws. Questi nodi divennero parte della rete Fast Labyrinth, permettendo al traffico legato allo spionaggio di fondersi con il traffico proxy legittimo mentre la sua infrastruttura di uscita cambiava dinamicamente.
I ricercatori hanno trovato un collegamento importante tra le organizzazioni inizialmente identificate tramite QScan e i sistemi successivamente contattati tramite Fast Labyrinth. Lumen ha valutato che le comunicazioni bidirezionali osservate dall’infrastruttura proxy potevano rappresentare attività che includono tentativi di sfruttamento, movimento laterale, persistenza o raccolta di informazioni, anche se tali attività individuali non sono state confermate in ogni connessione osservata.
Il sequestro dell’FBI rimuove i domini che supportano l’operazione, mentre l’intervento di Lumen ha interrotto ulteriori infrastrutture identificate. Tuttavia, i ricercatori avvertono che il blocco convenzionale dell’IP presenta limitazioni contro infrastrutture costruite attorno a nodi proxy commerciali a rotazione dinamica, permettendo che l’apparente origine del traffico di rete cambi frequentemente.