ФБР викрило проксі-мережу, що використовувалася для шпигунства Китаю

ФБР викрило інфраструктуру, яка використовувалася китайськими кібершпигунськими операціями для розвідки, управління проксі та маршрутизації трафіку. Цю мережу відстежувала команда Black Lotus Labs, що входить до складу Lumen Technologies, протягом останнього року.

За даними дослідників, ця інфраструктура надавала послуги, що складалися з чотирьох основних компонентів:

QScan: компонент для розвідки, який визначає та профілює високоцільові об’єкти, збираючи інформацію про відкриті порти, банери програм, відбитки операційних систем та дані конфігурації.
Fast Labyrinth: зашифрована ретрансляційна мережа, яка приховує комунікації з організаціями-жертвами.
QTRouter: надає попередньо налаштований фізичний пристрій для доступу до проксі-інфраструктури та системи управління вузлами.
QTProxy: інструмент управління, що дозволяє користувачам вибирати ретранслятори та налаштовувати власні маршрути через Fast Labyrinth.

ФБР викрило проксі-мережу, що використовувалася для шпигунства Китаю 2

Інфраструктура використовувалася для збору даних і крадіжки інформації з американських військових і оборонних організацій, державних мереж, університетів і дослідницьких інститутів, аерокосмічних і біоінформатичних компаній, медичних закладів, фінансових фірм, компаній, що займаються критичною інфраструктурою та енергетикою, а також постачальників корпоративного програмного забезпечення.

«Lumen Technologies висловлює подяку ФБР та Міністерству юстиції США за їхні зусилля у протидії китайській кібердіяльності, спрямованій на критичну інфраструктуру США», — зазначено у звіті. «Під час нашого розслідування Black Lotus Labs ділилася інформацією про загрози, щоб попередити агентства по всьому уряду США про нові ризики, які могли б вплинути на стратегічні активи нашої країни».

Дослідники також зазначили, що їм вдалося порушити роботу інфраструктури шляхом null-маршрутизації трафіку до відомих точок інфраструктури, що використовувалися операторами.

Створення стійкої мережі ORB

Lumen повідомляє, що “квартмістер” індустріалізував створення мереж Operational Relay Box (ORB) для шпигунських операторів, пов’язаних з Китаєм.

ORB — це децентралізовані мережі скомпрометованої інфраструктури, такої як SOHO-маршрутизатори, IoT-пристрої, VPS-сервери та комерційні проксі-вузли, що використовуються для ретрансляції шкідливого трафіку та приховування його справжнього джерела.

Китайські кіберзлочинці все частіше використовують ORB у своїх операціях з 2024 року, а інтенсивність цієї діяльності зросла на початку цього року.

У випадку з “квартмістером” замість створення традиційної мережі ORB з тисяч скомпрометованих пристроїв, платформа придбала преміум-доступ до вибраних вузлів, керованих китайським комерційним проксі-сервісом fastlink.ws.

ФБР викрило проксі-мережу, що використовувалася для шпигунства Китаю 3

Ці вузли сформували Fast Labyrinth — мережу ретрансляції в стилі ORB, яка змішувала шпигунський трафік із легітимним трафіком споживчих проксі та автоматично ротувала свою вихідну інфраструктуру.

Дослідники підкреслюють, що збіг між цілями QScan та організаціями, з якими згодом зв’язалися через Fast Labyrinth, є найсильнішим доказом зв’язку між розвідкою та подальшими операціями.

ФБР викрило проксі-мережу, що використовувалася для шпигунства Китаю 4

Lumen вважає, що спостережувані двосторонні з’єднання з проксі-мережі, ймовірно, вказують на спроби експлуатації, латеральний рух, постійний доступ або збір даних.

Хоча припинення роботи цього провайдера є значним досягненням, Lumen попереджає, що статичного блокування може бути недостатньо, оскільки трафік “квартмістера” проходить через динамічно ротовані комерційні проксі-сервіси.

Захисникам рекомендується дотримуватися рекомендацій CISA та NCSC для пом’якшення загроз, пов’язаних з Китаєм, а також регулярно оновлювати та безпечно налаштовувати маршрутизатори, брандмауери та IoT-пристрої.

Після отримання дійсних облікових даних блокується лише 37% дій зловмисників

Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Як тільки зловмисники використовують дійсні облікові дані, запобігання різко знижується.

Звіт Blue Report 2026 вимірює захист техніка за технікою на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.

Microsoft Teams тепер дозволяє адміністраторам блокувати зовнішні боти в нарадах.
Шкідливе ПЗ ToxicPanda для Android використовує дозволи VPN для блокування Google Play.
Поліція заарештувала десятки підозрюваних у масштабній боротьбі з кіберзлочинністю.

Дізнайтеся, як принцип найменших привілеїв забезпечує ефективність, контроль та безпеку ваших інструментів ШІ.
Дізнайтеся, як ШІ змінює методи електронного фішингу. Завантажте звіт Kaseya Email Security Report 2026.
Захистіть себе від дата-брокерів, шахраїв та наступних витоків даних за допомогою цифрової ідентифікації.
Чи потребує ваша політика паролів перевірки? Безкоштовно перевірте свій Active Directory.
Дізнайтеся, чому шифрування та управління ключами є критично важливими для сучасного бізнесу.
Pixellot виявив та захистив сотні некерованих ідентифікаторів ШІ-агентів за тижні, а не місяці. Завантажте приклад.