ABD Adalet Bakanlığı ve FBI, Çin devlet destekli olduğu öne sürülen bir siber operasyonla bağlantılı üç alan adına el koyduklarını duyurdu. Açıklamaya göre operasyon, QTFY olarak tanımlanan bir grup tarafından yürütüldü ve ABD’deki çok sayıda kamu kurumunu etkiledi. Yetkililer, Federal Reserve, Department of Energy, Department of Justice, Department of Health and Human Services, NIH, NASA ve U.S. Senate sistemlerinde izinsiz erişim faaliyetleri tespit edildiğini belirtti.
ABD makamlarına göre grubun faaliyetlerinde iki zararlı yazılım öne çıkıyor: QTRouter ve QScan. QScan’in dünya genelinde binlerce IoT cihazını tarayıp otomatik olarak enfekte ettiği, ardından bu cihazların QTRouter ağına dahil edildiği ifade ediliyor. Bu yapı klasik bir botnet gibi çalışsa da, yetkililer tarafından saldırı trafiğinin gerçek kaynağını gizleyen bir “obfuscation layer” olarak da tanımlanıyor.
Mahkeme evraklarında yer alan bilgilere göre söz konusu altyapı, ABD’nin kritik altyapılarını hedef alan faaliyetlerde 2018’den bu yana kullanıldı. Adalet Bakanlığı ayrıca Çin Halk Cumhuriyeti Ministry of State Security’nin, QTFY’nin ödeme yapan müşterileri arasında bulunduğunu öne sürüyor. Grup üyelerinin Nanjing Xinjiuwei Network Technology Company bünyesinde çalıştığı belirtilse de şirket hakkında kamuya açık ayrıntılı bilgi bulunmadığı aktarılıyor.
Operasyon kapsamında el konulan alan adları qtproxy.xyz, qt-proxy.org ve qt-team.com oldu. Bu adresler şu anda resmi el koyma bildirimi gösteriyor. Soruşturmanın kökeni ise 2019 yılına uzanıyor. FBI, NASA’da yaşanan ve daha sonra yamalanan CVE-2019-11510 açığıyla ilişkili bir sızma vakasını incelerken izleri iki Gmail hesabına ve +86 ülke kodlu bir telefon numarasına kadar takip etti.
Yetkililerin aktardığına göre grup, ticari altyapı sağlayıcılarından kiralanan sunucu ve hizmetleri de kullandı. Bu süreçte hosting sağlayıcısı Hostwinds üzerinden kötüye kullanım şikayetleri oluştuğu, alan adlarının ise 2022 ile 2024 arasında Namecheap üzerinden kaydedildiği ve ödemelerin PayPal aracılığıyla yapıldığı belirtildi.
Çin yönetimi ABD içindeki siber saldırı iddialarını genellikle reddediyor. Buna karşın haberde yer verilen bilgilere göre Çinli yetkililer, 2024 içinde ABD altyapısına yönelik bazı saldırıların arkasında hükümetin bulunduğunu daha önce kabul etmişti. Aynı yıl, ABD hükümeti tarafından telekom ve internet sağlayıcılarında kullanılan 30 yıllık dinleme sistemlerinin de Çinli saldırganlar tarafından ihlal edildiği bildirilmişti. Son adım, doğrudan saldırı araçlarından çok bu faaliyetlerin yönetim ve yönlendirme katmanını hedef alması açısından dikkat çekiyor.
