O FBI desmantelou infraestrutura online associada a um grupo acusado de fornecer capacidades de reconhecimento e confundimento de tráfego para operações de espionagem cibernética ligadas à China, direcionadas a agências do governo dos EUA e outras organizações sensíveis.
According to the U.S. Department of Justice , o grupo é rastreado como QTFY, QT ou QTCYBER e operava duas plataformas chamadas QScan e QTRouter. As autoridades dizem que a infraestrutura apoiava operações direcionadas à infraestrutura crítica dos EUA e outras redes de alto valor.
Organizações alvo do QTFY supostamente incluíam a NASA, o Federal Reserve, o Senado dos EUA e os Departamentos de Energia, Justiça e Saúde e Serviços Humanos. Os Institutos Nacionais de Saúde também estavam entre os alvos identificados.
A QTFY supostamente desenvolveu e manteve o QScan e o QTRouter enquanto trabalhava para a Nanjing Xinjiuwei Network Technology Company, uma empresa sediada na China. Registros judiciais citados pelo Departamento de Justiça indicam que membros do grupo incluem ex-membros do Exército de Libertação Popular da China. Investigadores também identificaram pagamentos do Ministério da Segurança do Estado da China para Nanjing Xinjiuwei, o que, segundo as autoridades, indica que a empresa realizou operações cibernéticas em nome do governo chinês.
Como parte da interrupção, as autoridades apreenderam três domínios associados à infraestrutura: qtproxy.xyz, qt-proxy.org e qt-team.com. Os domínios teriam sido usados para operar o QScan, descrito em documentos judiciais como uma plataforma de varredura e exploração, e o QTRouter, que fornecia capacidades para ocultar a atividade da rede.
Pesquisas dos Black Lotus Labs da Lumen Technologies identificaram um sistema mais amplo que suporta a operação. O QScan coletou informações sobre potenciais alvos, incluindo portas expostas, banners de aplicação, impressões digitais do sistema operacional e detalhes de configuração.
Outro componente, conhecido como Fast Labyrinth, fornecia uma rede de relés criptografada para ocultar comunicações entre operadores e ambientes-alvo. O QTRouter fornecia acesso à infraestrutura proxy por meio de um dispositivo físico pré-configurado, enquanto o QTProxy permitia que operadores selecionassem nós de retransmissão e construíssem rotas personalizadas pela rede.
A infraestrutura foi observada mirando organizações de diversos setores sensíveis, incluindo militares e defesa, governo, aeroespacial, saúde, serviços financeiros, energia, universidades, instituições de pesquisa, bioinformática e software empresarial.
A Black Lotus Labs também tomou medidas contra infraestrutura identificada durante sua investigação pelo tráfego de roteamento nulo associado a pontos operacionais conhecidos.
Uma parte central do sistema envolvia técnicas de Caixa de Retransmissão Operacional (ORB). Tais redes permitem que operadores roteem atividades por infraestrutura intermediária, dificultando para os defensores identificarem de onde o tráfego malicioso realmente se origina.
Em vez de depender inteiramente de uma rede convencional de dispositivos comprometidos, a operação QTFY supostamente comprou acesso premium a nós selecionados pertencentes ao serviço comercial de proxy fastlink.ws. Esses nós passaram a fazer parte da rede Fast Labyrinth, permitindo que o tráfego relacionado à espionagem se misturasse com tráfego proxy legítimo enquanto sua infraestrutura de saída mudava dinamicamente.
Pesquisadores encontraram uma conexão importante entre organizações inicialmente identificadas pelo QScan e sistemas que foram posteriormente contatados pelo Fast Labyrinth. Lumen avaliou que comunicações bidirecionais observadas da infraestrutura proxy poderiam representar atividades incluindo tentativas de exploração, movimento lateral, persistência ou coleta de informações, embora essas atividades individuais não tenham sido confirmadas em todas as conexões observadas.
A apreensão do FBI remove domínios que apoiam a operação, enquanto a intervenção da Lumen interrompeu infraestrutura adicional identificada. No entanto, pesquisadores alertam que o bloqueio convencional de IP tem limitações contra infraestrutura construída em torno de nós proxy comerciais rotativos dinamicamente, permitindo que a origem aparente do tráfego de rede mude frequentemente.