Ликвидирована прокси-сеть китайских правительственных хакеров, атаковавших госорганы США

По данным ФБР и Минюста, инфраструктуру для атак предоставляла китайская компания Nanjing Xinjiuwei Network Technology, тесно связанная с правительством и разведслужбами КНР. Компания предлагала хакерам два основных инструмента — QScan и QTRouter.

QScan искал любые слабозащищённые «умные» устройства (роутеры, IP-камеры) по всему миру и заражал их, чтобы захватить их IP-адреса. Затем из заражённых устройств выстроили прокси-сеть, и когда хакер из Китая пытался подключитья к государственным системам США, его трафик прогоняли через неё, поэтому его запросы не вызывали подозрений. QTRouter, в свою очередь, распределял доступ к созданной прокси-сети и дополнительно арендованным VPS-серверам между различными правительственными хакерскими группами КНР.

Под этой маскировкой хакеры прощупыали защищённые системы ведомств, пытаясь вклиниться, напимер, в их виртуальные частные сети. Атаки совершались как минимум с 2018 года и затронули NASA, Минюст, Федеральную резервную систему и Сенат. В сети трех национальных лабораторий Министерства энергетики, Национальных институтов здравоохранения и одного из подразделений Минздрава США злоумышленникам в итоге удалось проникнуть.

Особое внимание исследователи из ФБР обратили на то, что в последние годы хакеры стали захватывать коммерческие VPN‑сервисы, используемые гражданами КНР для обхода цензуры. Это позволяло смешивать вредоносный трафик с обычным пользовательским и ещё более усложняло его выявление. После раскрытия прокси-сети ФБР конфисковало ключевые домены, а телекоммуникационный гигант Lumen заблокировал трафик на уровне магистральных сетей.

Представитель посольства Китая в Вашингтоне заявил, что хотя им не знакомы подробности, упомянутые в заявлении Министерства юстиции, «правительство КНР решительно выступает против всех форм кибератак и борется с ними в соответствии с законом».