FBI、中国関連ハッキング活動の背後にあるドメインを差し押さえ

米司法省は水曜日、QScanおよびQTRouterという2つのハッキングプラットフォームを支えていたドメインを差し押さえたと発表しました。これにより、中国関連のグループが米政府機関や重要インフラ、その他の機密性の高いネットワークを標的とする際に使用していたとされるインフラが破壊されました。

これらのプラットフォームを運用していたのはQTFYという組織で、司法省によれば南京信九維網絡科技有限公司(Nanjing Xinjiuwei Network Technology Company)に雇われていたとされています。同社は中国を拠点とする企業で、その顧客には中国国家安全部(Ministry of State Security)や人民解放軍が含まれているとされています。この活動は少なくとも2018年まで遡るとされており、FBIの宣誓供述書に記載されています。

被害者とされる組織には、NASA、連邦準備制度理事会(Federal Reserve)、エネルギー省、司法省、保健福祉省、国立衛生研究所(NIH)、そして米上院が含まれています。FBIはまた、この作戦が電力会社、病院、金融機関、防衛関連企業も標的にしていたと述べています。

侵入の試みがすべて成功したわけではありません。宣誓供述書によると、QTFYは2019年にNASAのVPNの脆弱性を突こうとしましたが失敗し、2026年3月には上院や病院のネットワークをスキャンしていたことも判明しています。一方、成功した事例としては、2024年に匿名の防衛関連企業、金融機関、大学からデータが窃取されたケースがあります。

身を隠すために構築されたハッキングネットワーク

QScanはネットワークをスキャンし、脆弱なインターネット接続デバイスを侵害するために使われ、その一部をプロキシノードへと変えていました。続いてQTRouterが、それらのデバイスや貸し出されたサーバー、商用プロキシサービスを経由してハッキングトラフィックをルーティングする役割を担っていました。

この仕組みにより、攻撃が中国以外の場所、場合によっては被害者に近いデバイスから発生しているかのように見せかけることができていました。

Lumenは、このより広範なインフラを、他の中国系脅威アクターに偵察、ルーティング、隠蔽といったサービスを提供するサイバー「兵站係(quartermaster)」だと表現しています。同社の調査によれば、運営者らは中国の商用「Airport」プロキシネットワークも取り込んでおり、悪意あるトラフィックを通常のインターネット活動に紛れ込ませていました。

Lumenの研究者であるDamon Rouse氏は、Wall Street Journalによると「こうしたネットワークを利用することで、彼らは非常に強力なもっともらしい否認(plausible deniability)の材料を手に入れています」と述べています。

差し押さえられたドメインはQScanおよびQTRouterにハードコードされていたため、その削除によってこれらのプラットフォームは機能を停止しました。司法省によると、今回の作戦は防御側にとって深刻化する課題を浮き彫りにしています。それは、攻撃者がもはやインフラのすべてを自前で構築する必要がないという点です。

Lumenによれば、共有型のマルチテナントプロキシネットワークにより、国家の支援を受けたグループは正規のトラフィックに紛れながら、複数のキャンペーンにわたってインフラを使い回すことができるといいます。これにより、不審なIPアドレスや地理的位置のブロックを主な手段とする防御策の効果が弱まってしまいます。

「これは非常に長期にわたる作戦です」とRouse氏はWIREDに語り、その背後にある企業は「人民解放軍の最高幹部と非常に近い関係にある」と付け加えています。

今後の見通し

FBIと国家安全保障局(NSA)は、防御側が関連する活動を検知できるよう、QTFYに関連する技術的指標を公開しました。両機関はこれまでにも、Mustang Panda、Flax Typhoon、Volt Typhoonに関連する中国系ボットネットに対する妨害活動を実施してきています。

今回のドメイン差し押さえによってツールは機能停止に追い込まれましたが、個人の起訴には至っておらず、研究者らはこのグループの活動が終わったとは見ていません。Rouse氏は今回の摘発について「彼らにとっては顔に泥を塗られたような瞬間だ」としつつも、彼らは方針転換し新たなインフラを立ち上げるだろうと予測しています。

セキュリティチームへの示唆

QScanとQTRouterの摘発は、悪意あるトラフィックが必ずしも明らかに不審な場所から発生するとは限らないことを改めて示しています。侵害されたデバイスや貸し出されたサーバー、商用プロキシネットワークを経由して攻撃をルーティングすることで、QTFYは悪意ある活動が中国以外の場所から、場合によっては標的ネットワークの近くのインフラから発生しているかのように見せかけることができていました。

セキュリティチームにとっては、FBIとNSAが公開したQTFYに関連する侵害指標(IOC)を、関連する活動の調査に活用できる点が重要です。また今回の作戦は、意図的に侵害された、あるいは一見正規に見えるインフラを経由してトラフィックをルーティングする攻撃者を特定することの難しさも示しています。

司法省によれば、差し押さえられたドメインによってQScanとQTRouterは機能停止に追い込まれましたが、こうした手口自体はこれらのプラットフォームに限った話ではありません。防御側にとって今回の摘発は、侵入の可能性を調査する際に、不審なトラフィックの見かけ上の発信元だけにとらわれず、その先を見る必要性を改めて示す事例だと言えるでしょう。

あわせて読みたい: T-Mobileがネットワークケーブルを物理的に切断した事例もご覧ください。これは、中国関連のSalt Typhoonハッカーがネットワークへのアクセスを維持しようとするのを阻止するための対応でした。