米政府は水曜日、軍事システムおよび重要インフラシステムを標的とした攻撃で中国の脅威アクターに利用されていたハッキングプラットフォームおよびボットネットを摘発したと発表しました。
司法省によると、今回の摘発活動はQTFYと呼ばれる国家支援型グループを標的としたものです。同グループは南京新九维网络科技(Nanjing Xinjiuwei Network Technology)という企業から活動していました。
QTFYは中国政府をはじめとする組織にハッキングサービスを提供しており、2018年の設立以来、米国内の多くの重要システムに対する攻撃を可能にしてきました。
QTFYハッキングプラットフォームの摘発
米政府はQTFYが提供する2つのハッキングサービス、すなわちスキャン・攻撃プラットフォームの「QScan」と、匿名化ネットワークの「QTRouter」を標的としました。
QScanは、インターネット上で脆弱なIoTデバイスをスキャンし、それらをQTRouterボットネットに取り込むよう設計されています。これにより脅威アクターは、侵害したデバイスを悪用して自らの悪意ある活動を隠蔽し、検知を回避することが可能になっていました。
米当局は、QScanおよびQTRouterが使用していたドメインを特定し、押収しました。
司法省は「押収されたドメインは、通信や認証といった重要な処理のためにQScanとQTRouterのマルウェア双方にハードコードされていたため、裁判所の許可を得たドメイン押収によってQScanとQTRouterは機能不全に陥った」と説明しています。
QTFYによる攻撃と悪用の手口
FBIが水曜日に公表した技術的なサイバーセキュリティ勧告によると、QTFYは攻撃を実行するために、悪意あるツールの開発、マルウェアやエクスプロイトの取引、ボットネットの維持を行ってきたことが明らかになっています。
標的となったセクターには、防衛産業基盤、地方自治体、通信事業者、高等教育機関などが含まれます。
FBIによると、同グループが機密性の高いネットワークへの侵入を試みたものの失敗に終わった事例には、エネルギー省、選挙システム、保健福祉省、米上院、小児病院、半導体企業、電力会社を狙った攻撃が含まれるとしています。
一方、少なくともある程度は成功したとみられる攻撃には、NASA、司法省、連邦準備制度、エネルギー省、州政府、大手小売企業、通信企業、防衛関連企業、大学、金融機関に対するものが含まれます。
同グループのハッカーは、BeyondTrust、CrushFTP、Ivanti、Check Point、Atlassian、Kentico、F5、Microsoft、Citrix、Fortinet、Pulse Secureの各製品の脆弱性を悪用していたことが確認されています。
FBIは「QTFYの関係者はエクスプロイト開発コミュニティ、中華人民共和国(PRC)のフリーランスハッカーネットワーク、そしてPRCによる悪意あるサイバー活動の請負・下請け市場において活発に活動している」と指摘しています。「QTFYは、中国の重要インフラを対象としたネットワーク攻撃・防御イベントにおいて、攻撃側の一端を担っている」としています。
さらにFBIは、QTFYの背後にある企業が、Salt Typhoonサイバースパイグループやi-Soonサイバー侵入企業をはじめ、複数の関連組織とビジネス上の関係を有していたことも指摘しています。
