FBI、NSA 摧毁中国关联黑客网络，NASA、美联储等遭攻击

美国联邦调查局和国家安全局已瓦解一个针对美国关键基础设施和敏感网络的中国关联黑客行动。

这两个机构周三宣布了这一行动，司法部和 FBI 表示他们查封了 QTFY 平台 QScan 和 QTRouter 使用的域名。NSA、FBI 和网络国家任务部队还联合发布了一份关于该组织自 2018 年以来活动的网络安全咨询。

“今天我们宣布瓦解了一个全球僵尸网络和黑客平台，该平台被中国国家支持的黑客用于针对美国关键基础设施，”FBI 局长 Kash Patel 在司法部声明中表示。“这些工具被中国人民共和国网络行为体用来隐藏其攻击的来源。感谢 FBI 圣地亚哥分局、FBI 网络部门和司法部合作伙伴的工作，我们查封了对手基础设施并关闭了这些平台。”

QTFY 如何隐藏其攻击

美国当局将 QTFY 与总部位于中国南京的南京新九维网络技术公司联系在一起。调查人员表示，该组织使用 QScan 扫描和利用易受攻击的互联网连接设备，使用 QTRouter 隐藏其攻击的来源。

根据法庭文件，QTFY 向包括中国国家安全部和人民解放军在内的付费客户提供黑客服务。QTRouter 网络包括被攻击的物联网设备、商业代理服务和租赁的虚拟专用服务器。

FBI 宣誓书表示，QTFY 活动针对美国政府和关键基础设施网络，包括 NASA、美联储、能源部、卫生与公众服务部、国家卫生研究院和美国参议院。它还描述了 2019 年的 NASA 入侵事件和 2024 年涉及三个能源部实验室的攻击。

根据宣誓书，QScan 在 2024 年处理了超过 200 万个扫描和利用任务。调查人员还表示，QTFY 利用一个漏洞从超过 300 个美国组织窃取了服务器配置文件和用户账户数据。

FBI 表示，查封的域名对 QScan 和 QTRouter 的运营至关重要，司法部表示控制这些域名使这些平台无法运行。

中国关联网络威胁

最新行动发生在美国对中国关联网络活动日益关注之际。CrowdStrike Holdings 之前发现，针对科技公司的国家支持网络攻击中超过 58% 来自中国关联行为体，攻击者寻求人工智能技术和知识产权。

另外，以色列网络安全公司 Dream 的研究人员报告了 7 月份针对台湾政府系统的一场人工智能辅助活动，该活动至少破坏了 85 个账户并提取了超过 2500 条人员记录。研究人员表示该行动显示出与中国的关联迹象。

JPMorgan Chase & Co. CEO Jamie Dimon 也支持改进公司之间在网络安全和关键基础设施风险方面合作的努力，因为来自网络攻击和先进人工智能的威胁在增加。

QTFY 使用额外隐藏方法

根据周三发布的《华尔街日报》报道，该行动还使用了所谓的中国“机场”网络来将恶意流量与正常互联网活动混合。

研究这些网络的斯坦福大学博士生 Rumaisa Habib 告诉《华尔街日报》，数千个这样的网络在中国运营，并通过 Telegram 进行宣传。

Lumen 的 Black Lotus Labs 工程师 Damon Rouse 告诉《华尔街日报》，这种方法通过给攻击者“合理否认”来使攻击者更难被识别。

“针对美国关键基础设施的国家支持恶意黑客将被制止和起诉，”司法部声明中司法部长 Todd Blanche 表示。“我们在这里是为了确保美国人民的安全，并将使用我们拥有的每一个工具来履行这一承诺。”

“今天的宣布表明司法部对网络威胁国家安全采取主动出击的坚定承诺，”国家安全助理司法部长 John A. Eisenberg 表示。“这些法院授权的查封行为拒绝了中国人民共和国关联黑客访问他们用于对我们国家关键基础设施发动在线攻击的工具。”

司法部表示，QTFY 瓦解是美国针对中国支持的黑客网络的更广泛系列行动的一部分。FBI 和 NSA 还发布了妥协指标，以帮助组织识别该组织的活动。