FBIと司法省は、中国系ハッカーが数年にわたって展開してきた作戦に関連するドメインを押収したと発表しました。この作戦は、諜報活動などを目的に米国の重要インフラ事業者や政府機関を標的にしていたとされています。
当局によると、QTFYという名称で知られる中国政府系のグループが、QScanおよびQTRouterと呼ばれるハッキング用プラットフォームを運用し、米国内のさまざまな業界や政府サイトを攻撃していたということです。
標的となった政府機関には、司法省、米航空宇宙局(NASA)、連邦準備制度(FRB)、エネルギー省、保健福祉省(HHS)、国立衛生研究所(NIH)、そして米上院が含まれていました。
連邦政府機関に加え、QTFYのハッカーは通信会社、病院、防衛関連企業、電力会社、金融機関といった米国の重要インフラ事業者も標的にしていたと、裁判記録は伝えています。
中国人民解放軍とのつながり
Nanjing Xinjuwei Network Technology Companyという企業が、この国家支援型脅威グループに属するハッカーを雇用しており、同グループは中国人民解放軍や中国国家安全部を含む有料の顧客に対してサービスを提供していました。
QTFYはQScanを使って世界中の数千台のIoTデバイスに感染を広げ、これらをQTRouterネットワークへと組み込んでいました。このネットワークには、脅威アクターがリースした商用プロキシサーバーや仮想プライベートサーバーも含まれていました。
この悪質なハッキングプログラムの出所は長年にわたり隠蔽されており、これまで中国と直接結び付けることはできていませんでした。
国家安全保障局(NSA)とFBIは、QTFYのハッカーがゼロデイ脆弱性やNデイ脆弱性を特定して被害者ネットワークへの初期アクセスを獲得し、その後は正規の認証情報を窃取して持続的なアクセスを維持していたと、水曜日に発表した勧告の中で述べています。
ハッカーは特定の標的にアクセスするため、複数のテクノロジー製品に存在する重大な脆弱性を悪用していました。
- QScanは2024年、電力会社や通信会社を対象としたスキャンに使用され、Check Point Quantum Gatewayの脆弱性であるCVE-2024-24919が悪用されました。これにより、金融サービス企業、大学、防衛関連企業を含む世界中の300を超える組織からデータが窃取されました。
- Ivanti Cloud Services Applianceに存在するゼロデイ脆弱性、具体的にはCVE-2024-8190、CVE-2024-8963、CVE-2024-9380が、エネルギー省やHHS、NIH傘下の研究所、および米国のセキュリティ機器メーカーを標的にする目的で使用されました。
- CrushFTPの認証バイパスの脆弱性であるCVE-2025-31161は、米国のバイオテクノロジー企業を狙う攻撃で悪用されました。
- BeyondTrustの脆弱性であるCVE-2026-1731は、米国のある州政府に対する攻撃で使用されました。また、ある水道事業者も標的となっていました。
NSA当局者は、各組織に対し、IoTデバイスやネットワーク機器に最新のファームウェアアップデートを適用すること、重要システムをエッジデバイスから分離すること、そしてWebページやインターネットに公開されているアプリケーションを不審な活動がないか監査することを推奨しています。
Black Lotus Labsの研究者たちは、この中国系の作戦を「クオーターマスター・モデル」と表現しています。これは、偵察・プロキシの統制・通信経路の運用を一体化させることで、サイバー攻撃キャンペーンの本質を覆い隠す手法を指します。
「我々が確認した限り、これは偵察、脆弱性の悪用、情報収集に主眼を置いた典型的なスパイ活動でした」と、Black Lotus Labsのシニア情報セキュリティエンジニアであるDamon Rouse氏はCybersecurity Diveに語っています。「情報操作作戦や破壊的な要素は確認されませんでした」
Lumen Technologies傘下のBlack Lotus Labsによるブログ投稿によれば、これらの構成要素は「標的の特定、通信の経路制御、そして運用者の活動の隠蔽」を担うために連携して機能していたということです。Black Lotus Labsは長年にわたりこのグループの活動を追跡しており、今回の摘発作戦に向けて法執行機関に情報を提供していました。
