QTFYとして知られる高度な中国系ハッキング集団が、独自開発の悪意あるプラットフォーム群からなるエコシステムを駆使して、米国政府および重要インフラシステムを積極的に標的にしていると、FBIが警告しました。
同グループは2018年の設立以来約10年にわたり、防衛産業基盤(DIB)、通信、政府機関、高等教育機関といった重要インフラ分野を重点的に狙ってきました。
2024年には、Check Point Quantum Gatewayの脆弱性を悪用するエクスプロイトを利用し、米国内外の300以上の組織からデータを窃取することに成功しています。被害者には米国の防衛関連企業、金融機関、大学などが含まれていました。
同グループが標的にしたその他の組織には米国司法省、米連邦準備制度(FRB)、NASAなどがあり、米国内の病院や選挙システムへの侵入も試みられています。
QTFYの攻撃を支える独自開発プラットフォーム
QTFYは分散型の独自エコシステムを開発しており、これによって悪意ある活動を効率的に遂行すると同時に、防御側による活動の特定・追跡を困難にしています。
その一つが「QScan」と名付けられたプラットフォームで、被害者ネットワーク内の脆弱性を迅速に特定し、脆弱なIoTデバイスを悪用するために設計されています。
このスキャンツールは非常に強力で、FBIによればQTFYは2024年に1日で200万件を超えるスキャンおよび侵入テストのタスクを実行したとされています。
QTFYはまた、「QTRouter」と呼ばれる製品も開発しています。これは、カスタムOpenWrtソフトウェアを搭載したルーターなどのデバイス上で稼働する、ネットワークトラフィック秘匿化ネットワークです。
さらに、侵害したIoTデバイスを制御し、それらをQTRouterのプロキシノードとして組み込むためにボットネット製品も使用しています。
「これらの製品は互いに連携して機能します」とFBIは指摘しています。
米国政府機関および重要インフラ事業者に対しては、QTFYによる脅威を軽減するため、早急な対応を取るよう勧告が出されています。
FBIによると、QTおよびQTCYBERという略称でも活動するQTFYは、南京新九維網絡科技有限公司(Nanjing Xinjiuwei Network Technology Co.)に帰属するとされています。同社は中華人民共和国(PRC)に関連するサイバー作戦を支援するイネーブラー企業です。
この勧告では攻撃者の狙いは明らかにされていませんが、諜報活動が主要な動機である可能性が高いとみられます。
Swimlaneのリード・セキュリティ・オートメーション・アーキテクトであるニック・タウセク(Nick Tausek)氏は次のように述べています。「軍事および防衛関連のネットワークは、標的として考えられる中でも極めてセンシティブな部類に入ります。作戦計画、契約企業との関係、技術的能力、そして国家安全保障に直結するシステムへのアクセス経路などが露呈しかねません。限定的なアクセスであっても、当初侵害された組織の範囲をはるかに超えて有用な情報を敵対者にもたらす可能性があります」
QTFYが被害者を特定し攻撃を仕掛ける手口
8月26日に国家安全保障局(NSA)およびサイバー国家任務部隊(Cyber National Mission Force)と共同で発表されたFBIの勧告では、被害者ネットワークへの初期侵入を果たすため、ゼロデイおよびNデイの脆弱性を悪用することにQTFYが重点を置いている点が強調されています。
QScanプラットフォームは、ウェブページのスクレイピング、TLS証明書の収集、サブドメインの列挙、侵入テストなど、被害者ネットワークに対する偵察活動を実施します。
同プラットフォームは大規模なデータベースを保持しており、新たな脆弱性が判明した際に標的候補を迅速に特定できるようになっています。
また、この脅威アクターは中国国内のフリーランス・ハッカーネットワークや、悪意あるサイバー業務の請負・再委託を仲介するマーケットプレイスにも複数参加しています。これにより、AIの活用を含む最新のエクスプロイトや攻撃手法を常に把握できる体制を整えています。
ネットワーク内部に侵入した後、QTFYはリモートアクセス型トロイの木馬(RAT)やウェブシェルの展開から、正規の認証情報の窃取に至るまで、さまざまな手法を用いて持続的なアクセスを維持しようとします。
QTRouterの秘匿化ネットワークにより、同グループは近隣で侵害したIoTデバイス経由で被害者のネットワークにアクセスすることができ、正規ユーザーに紛れ込むことが可能になっています。
FBIは、中国国内のIPアドレスから発信された特有のユーザーエージェント文字列から、QTRouterがQTFYの構成員および中国政府関係者によって利用されていたことがうかがえると明らかにしています。
QTFYはまた、この秘匿化ネットワークの一環として、侵害されたIoTデバイスのボットネットを管理できる少なくとも3つの大規模なプラットフォームを開発・維持してきました。
この勧告についてコメントしたExabeamのセキュリティオペレーション戦略担当、ガブリエル・ヘンペル(Gabrielle Hempel)氏は、QTFYのモデルの規模と巧妙さが防御側にとって特有の課題をもたらしていると述べています。
「彼らは、悪意ある活動が地理的にも運用面でも一見普通に見えるよう設計されたエコシステムを構築しています」と同氏は語りました。
ヘンペル氏はまた、同グループの脆弱性スキャンツールが、新たな脆弱性が発見された際に先手を打つことを可能にしていると指摘しています。
「必ずしもゼロから標的を探す必要はなく、すでに手元にある露出システムのカタログを最新のエクスプロイトと照合するだけで済む場合があります」と同氏は付け加えました。
QTFYの活動への対策方法
勧告を作成した各機関は、政府機関および重要インフラ事業者に対し、QTFYの悪意ある活動から身を守るためさまざまな対策を講じるよう推奨しています。具体的には以下の通りです。
- 組織のデバイスに最新のソフトウェアおよびファームウェアのアップデートを適用する
- APIキーやトークンなど、公開されてしまった機密情報がないか、組織のウェブページやアプリケーションを定期的に監査する
- 勧告に記載された侵害の痕跡(IOC)について、積極的に脅威ハンティングを実施する
- 重要システムをエッジデバイスから隔離する
- 勧告で詳述されているMITRE ATT&CK for Enterpriseフレームワークにマッピングされた脅威の挙動に対して、組織のセキュリティプログラムを定期的にテストする
米当局、QTFYのインフラを無力化
8月26日に発表された別の声明で、米司法省とFBIは、QTFYが使用していたQScanおよびQTRouterのプラットフォームの無力化に成功し、悪意あるサイバーアクターによるこれらツールへのアクセスを遮断したことを明らかにしました。
裁判所提出資料によれば、QTFYはQScanやQTRouterを含むハッキングサービスを有償の顧客に提供していました。
司法省によると、今回の法執行措置は、PRCによる無差別なハッキング活動に対して裁判所の許可を得て実施されてきた一連の技術的作戦の最新の事例だとしています。
翻訳元: https://www.infosecurity-magazine.com/news/chinese-qtfy-us-infrastructure-fbi/
