ה-FBI השבית פלטפורמות פריצה סיניות שהסתתרו מאחורי נתבים ומצלמות ביתיים
משרד המשפטים האמריקאי תפס ב-26 באוגוסט את הדומיינים של QScan ו-QTRouter, כלים שקבוצת האקרים סינית השתמשה בהם כדי לתקוף את NASA, הפדרל ריזרב והסנאט, תוך הסוואת התעבורה דרך מכשירים פרוצים ביותר מ-130 מדינות.
TL;DR בקצרה
- ב-26 באוגוסט 2026 תפסו משרד המשפטים וה-FBI את הדומיינים שהפעילו את QScan ו-QTRouter, ושתי המערכות הושבתו.
- לפי מסמכי בית המשפט, הכלים שייכים לחברה סינית מנאנג׳ינג שמוכרת שירותי פריצה למשרד לביטחון המדינה ולצבא סין.
- בין היעדים: NASA, הפדרל ריזרב, משרד האנרגיה, משרד המשפטים והסנאט. הפעילות נמשכת לפחות מאז 2018.
- לפי ה-FBI, נתבים ביתיים ומצלמות אבטחה שימשו כחוליות ברשת ההסוואה, במכשירים ביותר מ-130 מדינות.
הנתב שבבית או מצלמת האבטחה בחנות יכולים לשמש כמסווה לתקיפות סייבר. זה קורה בלי ידיעת הבעלים, ונגד מוסדות ממשלתיים בצד השני של העולם. זה הלקח המרכזי מפעולה שמשרד המשפטים האמריקאי וה-FBI הכריזו עליה ב-26 באוגוסט 2026. הם תפסו את הדומיינים של QScan ו-QTRouter, שתי פלטפורמות של קבוצת האקרים שסין תומכת בה. הקבוצה השתמשה בהן כדי לסרוק, להדביק ולהסוות תקיפות.
לפי משרד המשפטים, הדומיינים היו חלק מהקוד של התוכנות עצמן. הם שימשו לתקשורת ולאימות, ולכן התפיסה השביתה את שתיהן.
QScan מדביק, QTRouter מסתיר
לפי ההודעה הרשמית, QScan סורק את האינטרנט ומדביק אוטומטית מכשירי IoT בכל העולם. אלה מכשירים שמתחברים לרשת, כמו נתבים ומצלמות. המכשירים הפרוצים מצטרפים ל-QTRouter, שמשרד המשפטים מכנה ״רשת הסוואה״.
הרשת משלבת מכשירים נגועים, מכשירים של שירותי פרוקסי מסחריים ושרתים וירטואליים שכורים. דרכם היא מנתבת את התקיפות. כך תקיפה שיוצאת מסין נראית כאילו הגיעה ממדינה אחרת. לפעמים היא נראית כאילו הגיעה ממכשיר קרוב פיזית לקורבן.
עוזר מנהל ה-FBI, ברט לית׳רמן, דיבר עם האתר The Record. לדבריו, בין המכשירים הפרוצים יש נתבים ביתיים ומצלמות אבטחה. הוא אמר שהכלים הדביקו אלפי מכשירים, ושהקבוצה ניצלה מכשירים ביותר מ-130 מדינות.
גם חוקרי Black Lotus Labs בחברת Lumen פרסמו ניתוח מקביל. לדבריהם, המפעילים קנו גם מנויים לשירותי פרוקסי סיניים מסחריים. השירותים האלה נועדו לעקוף את חומת האש של סין. כך התעבורה של התוקפים נראית כמו שימוש רגיל של צרכנים ב-VPN.
מי עומד מאחורי QScan ואת מי תקפו
לפי מסמכי בית המשפט במחוז הדרומי של קליפורניה, חברה סינית פיתחה והפעילה את הכלים. שם החברה: Nanjing Xinjiuwei Network Technology. היא מעסיקה קבוצה שמשרד המשפטים מכנה QTFY.
לפי ההודעה, הקבוצה מוכרת שירותי פריצה ללקוחות משלמים. בין הלקוחות: המשרד לביטחון המדינה של סין וצבא השחרור העממי. במקביל פרסמו ה-FBI וה-NSA התראה משותפת עם סימני זיהוי (IOCs). ההתראה מתבססת על פעילות שנמשכת לפחות מאז 2018.
רשימת היעדים במסמכים כוללת את NASA, הפדרל ריזרב ומשרד האנרגיה. היא כוללת גם את משרד המשפטים, משרד הבריאות, המכונים הלאומיים לבריאות (NIH) והסנאט. לפי The Record, אחד המקרים הראשונים בחקירה היה ניסיון ב-2019 לנצל חולשה ב-VPN של NASA. החקירה הגיעה עד תקיפה על הסנאט ב-2026. גם בתי חולים, ספקיות תקשורת וחברות חשמל מופיעים כיעדים. כך גם מוסדות פיננסיים וקבלני ביטחון.
למה זה רלוונטי גם לכם
אין במקרה הזה זווית ישראלית מדווחת, אבל המודל עצמו גלובלי. רשתות כאלה בנויות ממכשירים ביתיים ועסקיים פרוצים. לכן כל נתב ישן או מצלמה עם סיסמת ברירת מחדל הם חוליה פוטנציאלית בשרשרת. בעל המכשיר עלול לגלות שכתובת ה-IP שלו חסומה ברשימות שחורות של שירותי אבטחה. בנוסף, מישהו אחר שולט במכשיר שלו.
לצוותי אבטחה יש כאן לקח נוסף: חסימה לפי מדינה כבר לא מספיקה. תקיפה יכולה להגיע דרך נתב ביתי באותה עיר. היא יכולה להגיע גם דרך שירות פרוקסי שנראה כמו VPN רגיל. במקרים כאלה, כללי חסימה גאוגרפיים לא יזהו אותה. הניתוחים של הפעולה ממליצים במפורש לא להסתמך בעיקר על חסימת כתובות או אזורים.
מה זה אומר עבורכם
- עדכנו או החליפו נתבים ישנים: נתב בלי עדכוני קושחה מהיצרן הוא מטרה קלה. בדקו באתר היצרן אם הדגם עדיין מקבל תמיכה. אם לא, תכננו החלפה.
- סגרו גישה מרחוק: כבו ניהול מרחוק בנתב אם אתם לא צריכים אותו. החליפו סיסמאות ברירת מחדל בנתב ובמצלמות האבטחה.
- הפרידו את המצלמות: בעסק, חברו מצלמות ומכשירי IoT לרשת אחרת מזו של המחשבים. הפעילו מחדש מדי פעם נתבים ומכשירי קצה. זה צעד בסיסי שגם Lumen ממליצה עליו.
- צוותי IT: הריצו את סימני הזיהוי מההתראה של FBI ו-NSA מול יומני הרשת. זכרו שתעבורה זדונית יכולה להגיע מכתובות מקומיות ולגיטימיות למראה.
מה הלאה
תפיסת הדומיינים השביתה את QScan ואת QTRouter, אבל לא עוצרת את מי שמפעיל אותם. ההודעה הרשמית לא מזכירה מעצרים. חוקר של Lumen העריך שהקבוצה תעבור לתשתית חדשה. מבצעים דומים נגד Volt Typhoon ו-Flax Typhoon מראים שרשתות כאלה נוטות לחזור בגרסה אחרת.
מקורות והרחבה
- Justice Department and FBI Seize Platforms Operated and Used by China State-Sponsored HackersU.S. Department of Justice
- US takes down QScan, QTRouter hacking tools allegedly used by ChinaThe Record
- The Infrastructure Quartermaster: Inside a China-Nexus State Enablement ModelLumen Black Lotus Labs
- FBI Seizes Domains Behind China-Linked Hacking OperationeSecurity Planet
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
