#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
QTFY, злоумышленник, связанный с Китаем, эксплуатирует инфраструктуру для масштабного сканирования и эксплуатации уязвимостей, предназначенную для других операторов, связанных с государствами. Платформа QTFY QScan автоматизирует разведку и эксплуатацию уязвимостей в системах, доступных из интернета, с использованием сотен эксплойтов, подтверждающих наличие уязвимости (proof-of-concept), в то время как QTRouter и связанные с ним ботнеты маскируют трафик через скомпрометированные маршрутизаторы, устройства IoT и прокси-сервисы. Активность носит оппортунистический характер и была направлена на организации из различных отраслей.
-----

QTFY — это злоумышленник, связанный с Китаем, которому приписывается аффилиация с компанией Nanjing Xinjiuwei Network Technology (XJW), входящей в экосистему подрядчиков Министерства государственной безопасности КНР. Группа действует как минимум с 2018 года и предоставляет другим китайским государственным операторам возможности для масштабного сканирования, эксплуатации уязвимостей и получения доступа. Ведомства США приписывают QTFY 14 CVE в рамках атак, направленных против организаций в сферах обороны, энергетики, водоснабжения, связи, государственного управления, здравоохранения, финансов и высшего образования.

Платформа QScan от QTFY автоматизирует разведку и эксплуатацию уязвимостей в масштабах всего интернета. Построенная на базе RabbitMQ и Redis, она распределяет задачи между арендованными рабочими серверами, преимущественно расположенными за пределами Китая, и включает более 200 эксплойтов proof-of-concept на языке Python. Функциональные возможности платформы включают веб-скрапинг, сбор сертификатов TLS, перечисление поддоменов, определение CMS и плагинов, поиск уязвимостей и их эксплуатацию. По имеющимся данным, в 2024 году QScan обработала более двух миллионов задач за один день. Платформа использовалась для атак на уязвимости, включая Log4Shell, ProxyLogon, уязвимости Ivanti Cloud Services Appliance, CrushFTP, CVE-2024-24919 в Check Point Quantum Gateway и CVE-2026-1731 в BeyondTrust Remote Support. По сообщениям, в ходе кампании 2024 года, организованной Check Point, было просканировано более 300 организаций.

QTRouter обеспечивает обфускацию трафика за счет связывания скомпрометированных маршрутизаторов, работающих на кастомной прошивке OpenWrt, с прокси-инструментом Clash. Его инфраструктура объединяет коммерческие услуги резидентных прокси, системы Alibaba Cloud и скомпрометированные устройства IoT, что позволяет злонамеренному трафику выглядеть как исходящий из легитимных резидентных или локальных сетей. Поддерживающие платформы ботнета, включая Proxy Platform Management, Proxy Pool Management System и QTBotnet, управляют скомпрометированными устройствами IoT, хранят данные об эксплойтах и отпечатках, выполняют команды и проводят DDoS-атаки.

Деятельность QTFY носит преимущественно оппортунистический характер и обусловлена наличием экспозиции в интернете, а не воспринимаемой стратегической ценностью организации. Повторное сканирование затронуло системы, связанные с выборами, больницы, государственные органы и другие чувствительные объекты. Специалисты по защите должны в первую очередь обеспечить оперативное устранение уязвимостей в VPN, шлюзах, устройствах для передачи файлов, платформах CMS и инструментах удаленной поддержки, доступных из интернета; отслеживать наличие скомпрометированных учетных данных, API-ключей и данных конфигурации; а также дополнять блокировку IP-адресов поведенческим обнаружением, способным выявлять активность через цепочки прокси и подозрительный доступ из диапазонов резидентных или коммерческих прокси-серверов.