FBI, ABD hükümet kurumlarını ve diğer hassas kuruluşları hedef alan Çin bağlantılı siber casusluk operasyonlarına keşif ve trafik gizliliği sağlamakla suçlanan bir grupla bağlantılı çevrimiçi altyapıyı bozdu.
According to the U.S. Department of Justice , grup QTFY, QT veya QTCYBER olarak takip ediliyor ve QScan ile QTRouter adında iki platformu işletiyor. Yetkililer, altyapının ABD kritik altyapısı ve diğer yüksek değerli ağlara yönelik operasyonları desteklediğini söylüyor.
QTFY tarafından hedef alınan kuruluşlar arasında NASA, Federal Rezerv, ABD Senatosu ve Enerji, Adalet ve Sağlık ile İnsan Hizmetleri Bakanlıkları yer aldığı bildirildi. Ulusal Sağlık Enstitüleri de belirlenen hedefler arasındaydı.
QTFY’nin, Çin merkezli Nanjing Xinjiuwei Network Technology Company için çalışırken QScan ve QTRouter’ı geliştirip bakımını yaptığı iddia ediliyor. Adalet Bakanlığı’nın aktardığı mahkeme kayıtları, grubun üyeleri arasında Çin Halk Kurtuluş Ordusu’ndan eski personel de bulunduğunu belirtiyor. Soruşturmacılar ayrıca Çin Devlet Güvenlik Bakanlığı’nın Nanjing Xinjiuwei’ye yaptığı ödemeleri tespit etti; yetkililer, şirketin Çin hükümeti adına siber operasyonlar yürüttüğünü gösteriyor.
Aksaklığın bir parçası olarak, yetkililer altyapıyla ilişkili üç alan adına el koydu: qtproxy.xyz, qt-proxy.org ve qt-team.com. Bu alan adlarının, mahkeme belgelerinde tarama ve istismar platformu olarak tanımlanan QScan ve ağ faaliyetlerini gizleme yetenekleri sağlayan QTRouter’ı işletmek için kullanıldığı iddia ediliyor.
Lumen Technologies’in Black Lotus Labs’ı araştırması, operasyonu destekleyen daha geniş bir sistem ortaya koydu. QScan, potansiyel hedefler hakkında bilgi topladı; açıkta kalan portlar, uygulama bannerları, işletim sistemi parmak izleri ve yapılandırma detayları dahil.
Fast Labyrinth olarak bilinen bir diğer bileşen, operatörler ile hedef ortamlar arasındaki iletişimi gizlemek için şifreli bir aktarma ağı sağlıyordu. QTRouter, önceden yapılandırılmış fiziksel bir cihaz aracılığıyla proxy altyapısına erişim sağlarken, QTProxy operatörlerin aktarma düğümlerini seçmesine ve ağ üzerinden özelleştirilmiş güzergahlar oluşturmasına olanak tanıyordu.
Altyapı, askeri ve savunma, hükümet, havacılık, sağlık hizmetleri, enerji, üniversiteler, araştırma kurumları, biyoinformatik ve kurumsal yazılım dahil olmak üzere birçok hassas sektördeki kuruluşları hedef aldığı gözlemlendi.
Black Lotus Labs ayrıca, bilinen operasyonel noktalarla ilişkili null-route trafiği nedeniyle araştırma sırasında tespit edilen altyapıya karşı da işlem gördü.
Sistemin merkezi bir kısmı, Operasyonel Aktarma Kutusu (ORB) tekniklerini içeriyordu. Bu tür ağlar, operatörlerin faaliyetleri aracı altyapı üzerinden yönlendirmesine olanak tanır ve savunucuların kötü niyetli trafiğin aslında nereden kaynaklandığını tespit etmesini zorlaştırır.
Tamamen konvansiyonel bir ağ olan tecrübe edilmiş cihazlara bağımlı olmak yerine, QTFY operasyonunun ticari proxy hizmetine ait seçilmiş düğümlere fastlink.ws premium erişim satın aldığı bildirildi. Bu düğümler Fast Labyrinth ağının bir parçası haline geldi ve casuslukla ilgili trafiğin meşru proxy trafiğiyle karışmasına izin verdi ve çıkış altyapısı dinamik olarak değişti.
Araştırmacılar, QScan ile ilk olarak tespit edilen organizasyonlar ile daha sonra Fast Labyrinth üzerinden iletişime geçen sistemler arasında önemli bir bağlantı buldu. Lumen, vekil altyapısından gözlemlenen çift yönlü iletişimlerin sömürü girişimleri, yan hareket, ısrarcılık veya bilgi toplama gibi faaliyetleri temsil edebileceğini değerlendirdi; ancak bu bireysel faaliyetler her gözlemlenen bağlantıda doğrulanmadı.
FBI’ın el koyması, operasyonu destekleyen alan alanlarını kaldırırken, Lumen’in müdahalesi ek tanımlanmış altyapıyı bozdu. Ancak araştırmacılar, geleneksel IP engellemenin, dinamik olarak dönen ticari proxy düğümleri etrafında inşa edilen altyapıya karşı sınırlamaları olduğunu ve ağ trafiğinin görünüş kaynağının sıkça değişmesine izin verdiğini belirtiyor.