FBIによるQTFYの摘発は、民間サイバー請負業者への依存が中国の国家ハッカーにどれほどの規模とステルス性をもたらしているかを明らかにしました。同時に、CISOがもはやIPレピュテーションだけを信頼できない理由も浮き彫りにしています。
先週、米司法省とFBIは発表しました。中国国家支援のハッカーが米国の重要インフラなど機微なネットワークを標的にする際に使用していた、「QScan」と「QTRouter」という2つの相互補完的なハッキングプラットフォームに組み込まれたドメインを、裁判所の許可を得て押収したというものです。
中華人民共和国(PRC)の国家支援グループ「QTFY」は、中国を拠点とする企業Nanjing Xinjiuwei Network Technology Companyに雇われ、QScanとQTRouterを開発・運用していました。
QTFYの標的には、米航空宇宙局(NASA)、連邦準備制度、エネルギー省、司法省、保健福祉省、国立衛生研究所(NIH)、そして米上院が含まれています。
両法執行機関によれば、QTFYは中国国家安全部(MSS)や人民解放軍を含む有償の顧客に対してハッキングサービスを提供しています。このハッキングサービスにはQScanとQTRouterが含まれており、QScanは世界中の数千台のモノのインターネット(IoT)デバイスをスキャンして自動的に感染させ、それらのデバイスをQTFYが管理するQTRouterネットワークに組み込んでいます。
FBIサイバー担当次官補のブレット・レザーマン氏は次のように述べています。「QTFYはこの10年近くにわたり、ソフトウェアの脆弱性を悪用して米国政府機関、電力会社、通信事業者、大手病院システムに対するサイバー攻撃を仕掛けてきました。QTFYは、中華人民共和国内のハッカー請負業者と政府顧客からなる複雑なネットワークの中で活動しています」
FBIは中国のハッキング活動を摘発してきた長い実績を持っています。過去の措置としては、中国が支援するハッキンググループ「Mustang Panda」に感染した4,000台超の米国内コンピューターから、監視型マルウェア「PlugX」を除去した事例が挙げられます。
2026年、FBIは数十万台の感染したモノのインターネットデバイスからなるボットネットを無力化しました。これは中国支援のハッキンググループ「Flax Typhoon」が中国政府の顧客に提供していたものです。2023年には、FBIは別のボットネットを妨害しています。これは中国支援のハッキンググループ「Volt Typhoon」が米国および他国の重要インフラへの侵害活動を隠蔽するために使用していたものです。
QTFYを際立たせているのは、複数の攻撃チーム向けに偵察、侵害能力、ルーティング、難読化インフラを組み合わせて提供していたとされる、その共有サービスの広範さです。「複数の攻撃的ハッキングチームに同時に影響を及ぼせる効果的なツールです。彼らはこのサービスを利用しているからです」と、SentinelOneで中国関連の分析を担当するコンサルタント、ダコタ・キャリー氏はCSOに語っています。
「いわばボトルネックのようなもので、複数のチームが同じネットワークを使って攻撃的な作戦を実行している状態です」と同氏は述べます。「そのネットワークを摘発すれば、彼らは全員、活動を隠蔽するための新しいインフラを探さなければならなくなります」
ハッキングの「兵站将校」モデル
摘発の1年前から、LumenのBlack Lotus LabsはQTFYの動向を追跡していました。同グループは「兵站将校(クォーターマスター)」として機能し、偵察、プロキシの調整、作戦上のルーティングを統合して「再利用可能なサービス層」を構築していました。これにより、悪意ある攻撃者は共有インフラを使ってアクセス経路を検証し、自らの活動を隠すことができていたといいます。
「特定の標的を直接狙う様子を確認できました」と、Black Lotus Labsのシニアリード情報セキュリティエンジニアであるデイモン・ラウズ氏はCSOに語っています。「そこから、彼らのスキャニングフレームワークであるアプリケーション『QScan』を発見しました。そして、QScanの活動と、『Fast Labyrinth』と呼ばれるプロキシネットワークによるその後の活動との相関関係を実際に突き止め始めました」
ラウズ氏は、Nanjing Xinjiuweiの役割を防衛請負業者になぞらえています。「中国にはこの種の企業が数多くあり、たいてい人民解放軍を退役した人物によって直後に設立されます」と同氏は言います。「人民解放軍とのつながりがあるため、彼らは中国政府のために特定の活動を行う特別な立場を得ています。そしてそれは、活動が実際には自分たちの部隊から出ているわけではないという、政府にとってのもっともらしい否認可能性を生み出しているのです」
市場化された中国の国家ハッキング
Nanjing Xinjiuweiが民間請負業者として果たしている役割は、北京がより広範な商業エコシステムから運用能力を調達している実態を物語っています。
「この企業は、自分たちがハッカーの攻撃的な作戦を後押ししていることを認識しています」とSentinelOneのキャリー氏は言います。「ハッキングチームがこの種のインフラを必要としているからこそ、この事業は成り立っています。そして中国は、資本主義をうまく利用してサイバー作戦向けのインフラを数多く作り出してきました」
FBIは捜査を通じて、この市場化された国家ハッキングシステムの資金の流れを追跡することができました。「FBIは資金の流れを追い、顧客や支払いに関する非常に精緻なマップを作成することに長けています」とLumenのラウズ氏は言います。「そうした手法によって、人民解放軍の部隊やMSSの部隊、さらには情報セキュリティ・ハッキング分野で非常に強いコネクションを持つ他の中国企業といった、この会社の格の高い顧客の多くを暴くことができたのです」
要するに中国は、国家のハッキングチームに専門的な能力を供給する民間請負業者の市場を育成してきたのです。「彼らは市場のインセンティブをうまく活用し、自らの作戦上のニーズに合致する事業の発展を後押しすることに非常に長けています」とキャリー氏は述べています。
効率性がボトルネックを生む
こうした市場さながらの効率性は、北京に規模、速度、そしてもっともらしい否認可能性をもたらします。しかし同時にリスクを一点に集中させることにもなり、米国の法執行機関が共有サービスをひとつ摘発するだけで、それを利用するすべてのチームが新たなインフラの確保に奔走せざるを得なくなるのです。
とはいえ、今回の摘発によって、中国の民間企業や共有インフラへの依存という構造そのものが恒久的に解消されるわけではありません。
より隠密性の高い住宅用・商業用プロキシネットワークが、かつての「モグラ叩き」型モデルに取って代わってはいますが、「彼らの穴を埋めたり置き換えたりするために、非常によく似たことをする別の企業、あるいはさらに10社ほどの企業が現れないと考えるのは、あまりにも楽観的です」とラウズ氏は言います。
Nanjing Xinjiuweiが今後も存続する可能性さえあります。ちょうど、国家支援ハッキンググループAPT41のフロント企業として米国および国際当局に起訴された中国のサイバーセキュリティ企業、成都404(Chengdu 404)がそうであったように。
「成都404はまさに好例です」とキャリー氏は言います。「起訴を受け、司法省とFBIが『お前たちが何者か分かっている。どこで働いているかも、どこに住んでいるかも分かっている』と明確に示したにもかかわらず、成都404はいまだに事業を続けています。同じ住所でオペレーションを続けており、まったく意に介していません」
一方でキャリー氏は、これを上海を拠点とする民間サイバーセキュリティ請負業者「i-Soon」の状況と対比させています。i-Soonは中国政府機関のために大規模な国家支援型ハッキング・スパイ活動を実行していたとされる企業です。「対照的な例がi-Soonです。i-Soonは’24年2月に情報漏洩事件を起こし、その後完全に活動を停止しました」と同氏は言います。「オフィスもすべて閉鎖しました。もう完全に、跡形もなく終わりです」
CISOへの教訓
今回の摘発から得られる最も重要な運用上の教訓のひとつは、地理的情報やレピュテーションに基づくIPブロッキングがますます不十分になっているという点です。中国の国家支援活動は、中国国外にある一見ごく普通のデバイスや、正規の商業インフラから発信されているように見えるからです。
QTRouterとFast Labyrinthによるより広範な難読化インフラは、小規模オフィス向けルーターやIoTデバイス、商業用プロキシインフラ、リース契約の仮想プライベートサーバー、そして動的に切り替わるIPアドレスを経由してトラフィックをルーティングしており、地理的情報やレピュテーションに基づくブロッキングを無力化していました。
FBIのレザーマン氏が述べたように、「トラフィックは中国から発信されているように見せかけるのではなく、130カ国以上に存在する日常的なデバイスを経由してルーティングされます。場合によっては、被害者自身のネットワークのすぐ近くにあるシステムを経由することさえあります」
ラウズ氏は、悪意ある中国側のトラフィックが「例えばCharter Communicationsなど、米国内から発信されているトラフィックのように見える」可能性があると警告しています。「それが不正なものだと見抜くのは非常に困難になります」
専門家たちはCISOに対し、IPの発信元やレピュテーションへの依存を超え、挙動の可視化、より強固なエッジセキュリティ、そして正規のトラフィックに関する明確なベースラインの整備を重視するよう促しています。
「そのデバイスやIPアドレスが中国のASNに解決されないからといって、悪意がないとは限りません」とキャリー氏は言います。
ラウズ氏はCISOに対し、次のように助言しています。「境界機器に確実にパッチを適用してください。パッチ適用のサイクルは可能な限り短縮してください」
さらにこう付け加えています。「ファイアウォールや境界に関する十分なロギングを確保し、住宅用回線からのトラフィックがないか注視してください。そうしたベースラインがあれば、トラフィックがどのような状態であるべきかを把握でき、異常を見抜く精度を大幅に高めることができます」
