QScan og QTRouter.
Det hedder de to hackerværktøjer, som kinesiske hackere ifølge det amerikanske forbundspoliti FBI i årevis har anvendt til angreb mod en lang række amerikanske myndigheder, herunder Nasa, det amerikanske senat, flere ministerier, den amerikanske nationalbank og en række andre.
FBI har nu beslaglagt de to værktøjer samt ødelagt et botnet, som de kinesiske hackere ligeledes har anvendt. I kikkerten er nu beslaglæggelse af tre domæner, som de kinesiske har anvendt.
Ifølge FBI er det en kinesisk hackergruppe ved navn QTFY, der står bag angreb og værktøjer. Hackergruppen er angiveligt støttet af det kineiske kommununistiske parti.
Gruppen har anvendt QScan som selve angrebsværktøjet.
Ifølge FBI scanner det automatisk internettet efter sårbare IoT-enheder som routere, kameraer og andet netværksudstyr.
Når det finder en enhed med en kendt sårbarhed, forsøger det at bryde ind i den og installere malware. De kompromitterede enheder bliver derefter rekrutteret til angribernes infrastruktur.
QTRouter er det netværk, som de kompromitterede enheder indgår i.
Botnettet består af kaprede IoT-enheder, kommercielle proxytjenester og lejede servere i et antal, der gør, at det kan fungere som et slags sløringsnetværk, der skjuler hackernes identitet og gør det svært at spore, hvor angrebene reelt kommer fra.
Sammen fungerer de to systemer som en komplet cyberangrebsplatform, hvor QScan finder og overtager nye enheder, mens QTRouter bruger de kaprede enheder som mellemstationer til at dirigere trafikken.
Resultatet er, at kinesiske operatører eller betalende kriminelle har været i stand til at angribe amerikanske mål, mens angrebene ser ud til at komme fra almindelige lokale internetforbindelser frem for fra den egentlige angriber.
Ifølge FBI har QTFY været aktiv siden mindst 2018.
I 2019 blev gruppen sat i forbindelse med forsøg på at kompromittere Nasa gennem den alvorlige VPN-sårbarhed CVE-2019-11510 i Pulse Secure.
Den samme sårbarhed blev senere brugt mod en lang række forsvarsvirksomheder, finansielle institutioner og offentlige myndigheder.
I 2024 lykkedes det gruppen at kompromittere en række systemer hos det amerikanske energiministerium via en nul-dags-sårbarhed i Ivanti Cloud Services Appliance.
