人気記事
FBIは水曜日、中国政府のサイバー工作員がNASA、米上院、エネルギー省、その他複数の政府機関や重要インフラをハッキングする際に使用していたボットネットを解体し、2つのプラットフォームを押収したと発表しました。
連邦準備制度理事会(FRB)、司法省、保健福祉省(HHS)、国立衛生研究所(NIH)も、今回押収された2つのハッキングツールの被害に遭った組織に含まれています。このツールとは、脆弱性スキャン・悪用マルウェアの「QScan」と、匿名化ネットワークの「QTRouter」です。
FBIによれば、中華人民共和国(PRC)の支援を受けた「QTFY」と呼ばれるグループが、この2つのプラットフォームに加え、侵害されたIoTデバイスによるボットネットを構築・運用していたとのことです。FBIは、QTFYのハッカーたちが「南京鑫久維(Nanjing Xinjiuwei)」という中国の民間企業に所属していると説明しています。
裁判資料によれば、「例えば中国国家安全部(MSS)から南京鑫久維への支払いは、同社が中国政府に代わって悪意あるサイバー活動を行っていることを示している」とされています。
裁判資料には、「QTFYの実行犯には中国人民解放軍(PLA)の元メンバーが含まれており、彼らは人民解放軍とのつながりを利用して、攻撃的サイバー作戦を支援する契約や下請け契約を獲得している」と記載されています。
ボットネットの構築手法
QScanは世界中の数千台に及ぶIoTデバイスをスキャンして自動的に感染させ、QTFYが制御するデバイス群からなる「QTRouter」ネットワークに組み込みます。
これら侵害済みのIoTデバイスに加え、商用プロキシサービスのデバイスやレンタルの仮想プライベートサーバー(VPS)から構成されるQTRouterボットネットは、匿名化ネットワークとして機能します。これにより、QTFYや料金を支払ったその他の犯罪者は、自らのデジタル侵入活動の発信元を隠し、あたかも通信が現地のコンピューターから発信されたかのように見せかけることができます。
月曜日、米連邦裁判所はQTFYに関連する3つのドメイン、qtproxy.xyz、qt-proxy.org、qt-team.comに対する押収令状を発行しました。これら3つのドメインはQScan、QTRouterの両マルウェアにハードコードされており、司法省によれば、裁判所の許可を得たこの押収により両方のハッキングサービスが使用不能になったとしています。
少なくとも2018年から続く重要インフラへの攻撃
裁判資料によれば、これらのハッキングサービスとマルウェアは少なくとも2018年から使用されており、直近では今年、QTFYのインフラが米上院を侵害する事案も発生しています。
FBIは2019年8月、NASAに対する侵入未遂事案を捜査しました。この際、中国政府のスパイたちはIvanti製Pulse Secure VPNの重大な脆弱性であるCVE-2019-11510の悪用を試みています。この脆弱性は、攻撃者が正規ユーザーのユーザー名とパスワードを窃取できるもので、事実上、保護されたネットワークへの不正アクセスを可能にするものでした。Ivantiはこの欠陥を2019年4月に修正しています。
The Registerが過去に報じたとおり、中国はこのバグをゼロデイとしても悪用しており、米国内外の国防関連企業や政府機関、金融機関数十社に侵入していました。
裁判資料によれば、QTFYはその後、新型コロナウイルス(COVID-19)のパンデミック下にあった2020年にも同じCVEを悪用し、オハイオ州の医療センターを攻撃しています。2019年から2020年にかけての他の被害者には、ミシガン州と韓国の金融グループ(社名非公開)、ミズーリ州の保険代理店が含まれます。この保険代理店への攻撃では別の脆弱性が悪用されました。Citrix製VPN製品の重大な欠陥であるCVE-2019-19781で、アカウント認証情報なしで任意のコード実行を可能にするものでした。
その数年後、2024年にはQTFYのハッカーたちがDOEの国立研究所3施設、NIH、そして米国のセキュリティデバイスメーカーのコンピューターにも侵入しています。裁判資料には「これらの組織はIvanti Cloud Services Applianceに対するゼロデイ攻撃の被害者だった」と記されています。
FBIは、QTFYがどれだけの台数のコンピューターを侵害したのか、また同グループが中国の「Typhoon」系グループと関連があるのかといったThe Registerの問い合わせに対し、回答していません。
中国政府系集団とのいたちごっこ
今回の摘発は、ここ数年にわたり中国のハッキング活動を封じ込めることを目的とした、裁判所命令による一連の押収の流れをくむものです。2025年にはFBIが、中国政府の支援を受けたグループ「Mustang Panda」に感染した米国内4,000台超のコンピューターから、スパイウェア「PlugX」を除去しています。
その1年前の2024年には、中国の「Flax Typhoon」が、当局に追い詰められた際、数十万台に及ぶ感染IoTデバイスから構成される自らのボットネットを自ら焼き払っています。さらに2023年後半には、FBIが中国政府の別の攻撃集団であるVolt Typhoonが米国および海外の重要インフラを攻撃するために使用していたボットネットを解体しました。
しかし6月には、LumenのBlack Lotus Labsが、Volt Typhoonに関連するボットネットの「大幅な再興」を報告しており、この感染マシン群は侵害されたルーターやIoTデバイス1,500台にまで急拡大しているとのことです。®
