США розкрили масштабну китайську кіберкампанію проти держструктур

Read Time:2 Minute, 14 Second

Влада США оголосила про ліквідацію інфраструктури китайського хакерського угруповання, яке, за даними американського слідства, зламувало мережі NASA, Федеральної резервної системи, Міністерства юстиції, Сенату та інших державних відомств. Мін'юст і ФБР вилучили домени двох платформ, які використовувалися для проведення та приховування кібератак. Операцію провели 26 серпня на підставі судових дозволів.

Йдеться про платформи QScan і QTRouter, які, як стверджує американська влада, створила та обслуговувала пов'язане з Китаєм угруповання QTFY. Згідно з розсекреченими судовими документами, QTFY діє через зареєстровану в Китаї компанію Nanjing Xinjiuwei Network Technology. Американське слідство стверджує, що вона виконувала хакерські замовлення, зокрема для Міністерства державної безпеки Китаю та Народно-визвольної армії Китаю.

Серед жертв кібератак Мін'юст США назвав NASA, Федеральну резервну систему, Міністерство енергетики, Міністерство юстиції, Міністерство охорони здоров'я та соціальних служб, Національні інститути охорони здоров'я та Сенат США. Крім американських державних структур, у матеріалах розслідування фігурують лікарні, телекомунікаційні компанії, енергетичні підприємства, фінансові організації та оборонні підрядники. Інфраструктуру QTFY, за даними ФБР, використовують для атак на чутливі мережі в США та інших країнах щонайменше з 2018 року.

Як працювала хакерська інфраструктураQScan використовувалася для пошуку вразливих пристроїв, підключених до інтернету, та їх автоматичного зараження. Таким способом під контроль зловмисників потрапляли тисячі пристроїв інтернету речей по всьому світу. Після зараження пристрої підключалися до системи QTRouter.

До неї також входили комерційні проксі-сервери та орендовані віртуальні сервери. Ця інфраструктура дозволяла приховувати реальне джерело атак. Шкідливий трафік міг виглядати так, ніби він іде не з Китаю, а із зараженого комп'ютера або іншого пристрою в третій країні — іноді навіть із регіону, де знаходилася сама ціль атаки.

Мін'юст США повідомив, що вилучені домени були безпосередньо вбудовані в QScan і QTRouter та використовувалися для зв'язку та аутентифікації. Після переходу доменів під контроль американської влади обидві платформи, за твердженням відомства, перестали працювати. Китайських хакерів пов'язують з військовимиУ судових матеріалах зазначається, що серед учасників QTFY є колишні військовослужбовці Народно-визвольної армії Китаю.

За версією ФБР, вони використовували колишні зв'язки для отримання контрактів і субпідрядів, пов'язаних з наступальними кіберопераціями. Американська влада поки не розкрила повний масштаб проникнення в мережі державних органів і не повідомила, які саме дані могли бути отримані в результаті атак. Китайське посольство у Вашингтоні не відповіло Reuters на запит про нові звинувачення.

Пекін раніше неодноразово заперечував причетність китайської влади до приписуваних їм хакерських операцій. Нинішня операція стала черговим втручанням ФБР в інфраструктуру угруповань, які Вашингтон пов'язує з Китаєм. У 2025 році відомство видалило шкідливу програму PlugX з понад 4 тисяч комп'ютерів у США, а раніше ліквідувало ботнети, які американська влада пов'язувала з угрупованнями Flax Typhoon і Volt Typhoon.

За матеріалами: Міністерство юстиції США, Reuters