FBIは、中国によるサイバースパイ活動に対して偵察やプロキシ管理、通信ルーティングなどの機能を提供していた技術的な「兵站基地」のインフラを摘発しました。
Lumen Technologiesの脅威調査部門であるBlack Lotus Labsは、このインフラを過去1年間にわたって追跡しており、米国の重要インフラを狙った攻撃で使われていたフレームワークの構成要素を突き止めました。
研究者らによると、このプロバイダーは以下の4つの独立した機能要素から成る、再利用可能なサービスを提供していたということです。
- QScan: 価値の高い標的を特定してプロファイリングする偵察コンポーネント。開いているポート、アプリケーションのバナー、OSのフィンガープリント、設定情報などを収集する
- Fast Labyrinth: 被害組織との通信を隠蔽する暗号化リレーネットワーク
- QTRouter: プロキシインフラおよびノード管理システムへのアクセスを担う、事前設定済みの物理デバイスを提供する
- QTProxy: ユーザーがリレーを選択し、Fast Labyrinthを経由するカスタムルートを設定できる管理ツール
このインフラは、米軍・国防関連組織、政府機関のネットワーク、大学や研究機関、航空宇宙・バイオインフォマティクス関連組織、医療機関、金融企業、重要インフラおよびエネルギー関連企業、そして企業向けソフトウェアベンダーのプロファイリングとデータ窃取に使われていました。
「Lumen Technologiesは、米国の重要インフラを標的とした中国のサイバー活動に対抗するFBIおよびDOJ(米司法省)の取り組みに敬意を表します」とレポートには記されています。
「今回の調査において、Black Lotus Labsは脅威インテリジェンスを共有し、我が国の戦略的資産に影響を及ぼしかねない新たなリスクについて米国政府の各機関に警告しました」
研究者らはまた、兵站基地の運営者が使用していた既知のインフラポイントへのトラフィックをヌルルーティング(無効な経路への転送)することで、このインフラを妨害したとも述べています。
検知回避型のORBネットワーク構築
Lumenによると、この「兵站基地」は、中国と関係のあるスパイ活動オペレーターのためにOperational Relay Box(ORB)ネットワークの構築を工業化していました。
ORBとは、SOHOルーター、IoTデバイス、VPSサーバー、商用プロキシノードなど、侵害されたインフラで構成される分散型ネットワークであり、悪意あるトラフィックの中継や、真の発信元を隠すために使用されます。
中国の脅威アクターは2024年以降、サイバー作戦においてORBの活用を強めており、今年に入ってからはその動きをさらに強化しています。
今回の「兵站基地」のケースでは、数千台規模の侵害デバイスから従来型のORBネットワークを構築するのではなく、中国の商用プロキシサービスfastlink.wsが運営する特定のノードへのプレミアムアクセス権を購入するという手法が取られていました。
これらのノードがFast Labyrinthを形成しており、これはORB型のリレーネットワークとして、スパイ活動のトラフィックを正規の一般消費者向けプロキシトラフィックに紛れ込ませつつ、出口インフラを自動的にローテーションさせていました。
研究者らは、QScanが標的にした組織と、その後Fast Labyrinthを通じて接触があった組織との間に重なりが見られる点を、偵察と後続の作戦活動を結びつける最も有力な証拠として挙げています。
Lumenは、このプロキシネットワークで観測された双方向の通信について、悪用の試み、水平移動、持続的アクセスの確保、あるいはデータ収集を目的としていた可能性が高いと評価しています。
今回のプロバイダー摘発は重要な成果である一方、Lumenは、兵站基地のトラフィックが動的にローテーションする商用プロキシサービスを経由しているため、静的なブロックだけでは今回のケースにおいて有効とは言えないだろうと警告しています。
防御側には、中国系脅威への対策としてCISAおよびNCSCのガイダンスに従うとともに、ルーターやファイアウォール、IoTデバイスを常に最新の状態に保ち、安全に設定しておくことが推奨されます。
