FBI зламала проксі-мережу, яку використовували для шпигунства з Китаю

ФБР припинило роботу інфраструктури, яка слугувала технічним «квартирмейстером» для китайських кібершпигунських операцій, надаючи можливості для розвідки, управління проксі-серверами та маршрутизації даних.

Black Lotus Labs, дослідницький підрозділ Lumen Technologies, відстежував цю інфраструктуру протягом останнього року та виявив компоненти фреймворку, що використовуються в атаках на критично важливі об’єкти інфраструктури США.

За словами дослідників, постачальник пропонував багаторазовий сервіс, що складався з чотирьох окремих операційних елементів:

QScan: компонент розвідки, який ідентифікує та створює профілі цілей, що становлять інтерес, збираючи інформацію про відкриті порти, банери додатків, відбитки операційних систем та конфігураційні дані.
Fast Labyrinth: зашифрована релейна мережа, яка приховує комунікації з організаціями-жертвами та до них.
QTRouter: надає попередньо налаштований фізичний пристрій, який забезпечує доступ до проксі-інфраструктури та системи управління вузлами.
QTProxy: інструмент управління, який дозволяє користувачам вибирати реле та налаштовувати власні маршрути через Fast Labyrinth.

FBI зламала проксі-мережу, яку використовували для шпигунства з Китаю 2

Інфраструктура використовувалася для профілювання та викрадення даних з американських військових та оборонних організацій, державних мереж, університетів та дослідницьких інститутів, аерокосмічних та біоінформаційних компаній, закладів охорони здоров’я, фінансових установ, компаній, що займаються критично важливою інфраструктурою та енергетикою, а також постачальників корпоративного програмного забезпечення.

«Lumen Technologies хотіла б відзначити зусилля ФБР та Міністерства юстиції США у протидії китайській кібердіяльності, спрямованій на критично важливу інфраструктуру Сполучених Штатів», — йдеться у звіті.

«Під час нашого розслідування Black Lotus Labs ділилася інформацією про загрози, щоб попередити агентства уряду США про нові ризики, які могли б вплинути на стратегічні активи нашої країни».

Дослідники також зазначають, що їм вдалося порушити роботу інфраструктури шляхом нульової маршрутизації трафіку до відомих точок інфраструктури, що використовуються операторами «квартирмейстера».

Створення мережі ORB з високою скритністю

Lumen повідомляє, що «квартирмейстер» індустріалізував створення мереж Operational Relay Box (ORB) для операторів шпигунства, пов’язаних із Китаєм.

ORB — це децентралізовані мережі скомпрометованої інфраструктури, такої як SOHO-маршрутизатори, IoT-пристрої, VPS-сервери та комерційні проксі-вузли, що використовуються для ретрансляції шкідливого трафіку та приховування його справжнього джерела.

Китайські кіберзлочинці все частіше використовують ORB у своїх операціях з 2024 року, а активність у цій сфері посилилася на початку цього року.

У випадку з «квартирмейстером», замість створення традиційної мережі ORB з тисяч скомпрометованих пристроїв, платформа надавала преміум-доступ до вибраних вузлів, керованих китайським комерційним проксі-сервісом fastlink.ws.

FBI зламала проксі-мережу, яку використовували для шпигунства з Китаю 3

Ці вузли сформували Fast Labyrinth — релейну мережу в стилі ORB, яка змішувала трафік шпигунства з легітимним трафіком споживчих проксі-сервісів та автоматично ротувала свою вихідну інфраструктуру.

Дослідники наголошують на збігу між цілями QScan та організаціями, з якими пізніше зв’язувалися через Fast Labyrinth, як на найсильнішому доказі зв’язку між розвідкою та подальшими операціями.

FBI зламала проксі-мережу, яку використовували для шпигунства з Китаю 4

Lumen вважає, що спостережувані двосторонні з’єднання з проксі-мережі, ймовірно, представляють спроби експлуатації, бічний рух, постійний доступ або збір даних.

Хоча виведення з ладу цього постачальника є значним кроком, Lumen попереджає, що самого лише статичного блокування, ймовірно, буде недостатньо, оскільки трафік «квартирмейстера» проходить через динамічно ротовані комерційні проксі-сервіси.

Захисникам рекомендується дотримуватися рекомендацій CISA та NCSC щодо зменшення загроз, пов’язаних із Китаєм, а також своєчасно оновлювати та безпечно налаштовувати маршрутизатори, міжмережеві екрани та IoT-пристрої.

Після отримання дійсних облікових даних блокується лише 37% дій зловмисників

Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Коли зловмисники використовують дійсні облікові дані, ефективність запобігання різко знижується.

The Blue Report 2026 вимірює захист техніку за технікою на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.

Отримати звіт

Пов’язані статті:

Новий ботнет Dysphoria DDoS поширився на 200 тис. пристроїв по всьому світу

Хакери заражають Android-магнітоли шкідливим програмним забезпеченням проксі-ботнету

CISA: ransomware Medusa вразив понад 500 організацій критичної інфраструктури

Новий Linux-ботнет Evooo1Bot перетворює маршрутизатори на вузли ретрансляції трафіку

Сотні фейкових VPN-розширень для Chrome ретранслюють трафік через проксі

Китай
Припинення операцій
ФБР
Проксі
Quartermaster

Bill Toulas

Bill Toulas — технічний письменник та репортер новин з кібербезпеки з більш ніж десятирічним досвідом роботи в різних онлайн-виданнях, що висвітлюють теми відкритого програмного забезпечення, Linux, шкідливого програмного забезпечення, інцидентів з витоком даних та хакерських атак.

Попередня стаття
Наступна стаття

Залишити коментар Правила спільноти

Вам потрібно увійти, щоб залишити коментар

Ще не зареєстровані? Зареєструйтеся зараз

Вам також може сподобатися:

Майбутній вебінар Популярні історії

Microsoft Teams дозволяє адміністраторам блокувати зовнішніх ботів у нарадах
Android-шкідник ToxicPanda використовує дозволи VPN для блокування Google Play
Поліція заарештувала десятки підозрюваних у глобальній боротьбі з кіберзлочинністю

Спонсорські публікації

Дізнайтеся, як принцип найменших привілеїв допомагає зберігати ваші інструменти ШІ потужними, контрольованими та безпечними.
Захистіться від брокерів даних, шахраїв та наступних витоків даних за допомогою цифрових ідентичностей.
Дізнайтеся, як ШІ змінює атаки на електронну пошту. Завантажте звіт Kaseya Email Security Report 2026.
Pixellot за тижні, а не місяці, виявив та захистив сотні некерованих ідентифікаторів агентів ШІ. Завантажте приклад для ознайомлення.
Дізнайтеся, чому шифрування та управління ключами є критично важливими для сучасного бізнесу.
Прострочений аудит стану паролів? Безкоштовно перевірте ваш Active Directory