أعلنت السلطات الفيدرالية الأمريكية يوم 26 أغسطس عن إغلاق منصتين إلكترونيتين للاختراق مرتبطتين ببعضهما، وذلك بعد الاستيلاء على نطاقات إلكترونية أساسية تستخدمانها في عمليات التواصل والتحقق. وأوضحت وزارة العدل الأمريكية أن هاتين المنصتين، المعروفتين باسم QScan وQTRouter، كانتا تستهدفان بنية تحتية حساسة تابعة لوكالة ناسا، ومجلس الاحتياطي الفيدرالي، ووزارة الطاقة، ووزارة العدل، ووزارة الصحة والخدمات الإنسانية، والمعاهد الوطنية للصحة، ومجلس الشيوخ الأمريكي.
وتشير الوثائق القضائية إلى أن هذه المنصات تعود لمجموعة قرصنة صينية تُعرف باسم QTFY، وهي مجموعة مدعومة من الدولة الصينية وتعمل لصالح شركة نانجينغ شينجيووي لتكنولوجيا الشبكات. وتزعم أفيدافيت مكتب التحقيقات الفيدرالي (FBI) الذي دعم عملية الاستيلاء على النطاقات، أن مجموعة QTFY كانت تبيع خدمات القرصنة لعملاء من بينهم وزارة أمن الدولة الصينية وجيش التحرير الشعبي. وقد تم ترميز ثلاثة نطاقات إلكترونية داخل المنصتين بشكل ثابت، مما سمح للعملية بتعطيل النظامين بالكامل.
وقد أدى الاستيلاء على هذه النطاقات إلى تعطيل بنية تحتية كانت تساعد القراصنة على تحديد الأنظمة الضعيفة وإخفاء اتصالاتهم بالشبكات المستهدفة. وفي هذا السياق، صرّح النائب العام الأمريكي تود بلانش قائلاً: “لقد وجدت QScan الأهداف، بينما أخفت QTRouter الهجمات”.
كيف عملت المنصتان؟
كانت المنصتان تؤديان وظائف مختلفة ضمن نظام متكامل للاستطلاع والاستغلال وإخفاء مسارات الحركة. ووفقاً لنشرة استشارية صادرة عن مكتب التحقيقات الفيدرالي ووكالة الأمن القومي وقوة المهمات السيبرانية الوطنية، فإن منصة QScan احتوت على أكثر من 200 ثغرة برمجية مثبتة، وعالجت أكثر من مليوني مهمة مسح واختبار اختراق في يوم واحد خلال عام 2024. كما تمكنت حملة هجومية في مايو 2024 من سرقة بيانات من أكثر من 300 منظمة حول العالم.
وكانت QScan تعمل على اختراق الأجهزة المتصلة بالإنترنت ذات الحماية الضعيفة تلقائياً، ثم تضيفها إلى منصة QTRouter، التي كانت تجمع بين الأجهزة المخترقة وخدمات الوكلاء التجاريين وخوادم خاصة افتراضية مستأجرة. وقد قامت شركة Black Lotus Labs بتحليل البنية التحتية لمجموعة QTFY ووصفتها بأنها مزود بنية تحتية يدعم العمليات السيبرانية الصينية. وكان تمرير الحركة عبر أجهزة قريبة من الضحايا يجعل الرسائل الخبيثة تبدو وكأنها صادرة من مستخدمين محليين شرعيين.
وفي هذا الإطار، صرّح مدير مكتب التحقيقات الفيدرالي كاش باتيل قائلاً: “هذه العملية تعطل الأدوات والبنية التحتية التي يستخدمها خصومنا لاستهداف البنية التحتية الحيوية الأمريكية”.
توسيع نطاق الحملات ضد البنية التحتية للقرصنة
من الجدير بالذكر أن الأجهزة المخترقة مثل أجهزة التوجيه (الراوترات) وأجهزة إنترنت الأشياء لم تُستخدم فقط في عمليات مدعومة من دول، بل أيضاً في جرائم إلكترونية بدافع مالي. وقد قامت السلطات سابقاً بتفكيك شبكة وكلاء تضم 369,000 جهاز مخترق في 163 دولة. وكانت تلك الشبكة تسمح للمجرمين بإخفاء أنشطتهم التي شملت سرقة حسابات العملات الرقمية، والاحتيال البنكي، وبرامج الفدية، وغيرها من المخططات، بينما حققت أكثر من 5.7 مليون دولار لمشغليها.
وتأتي عمليات الاستيلاء الأخيرة هذه بعد عدة عمليات بأمر من المحكمة استهدفت البنية التحتية السيبرانية الصينية المدعومة من الدولة. ففي يناير 2025، أعلن مكتب التحقيقات الفيدرالي إزالته لبرنامج التجسس PlugX من حوالي 4,258 نظاماً أمريكياً أصابته مجموعة Mustang Panda. كما عطّلت السلطات الفيدرالية شبكة بوتنت Flax Typhoon في عام 2024، وعرقلت شبكة بوتنت Volt Typhoon في عام 2023.
ويبدو أن النهج الفيدرالي تجاه التهديدات السيبرانية الأجنبية يتوسع إلى ما هو أبعد من عمليات الاستيلاء التقليدية وإزالة البرمجيات الخبيثة. فقد صدرت مذكرة رئاسية في 12 أغسطس تأمر بإنشاء برنامج فيدرالي خاضع للإشراف لتعطيل العمليات السيبرانية، يسمح للشركات الأمريكية الموثوقة باقتراح مهام ضد الشبكات الإجرامية الأجنبية، مع منح المسؤولين 60 يوماً لوضع معايير الأهلية وإجراءات مراجعة الأهداف والضمانات اللازمة.
وقد كثف المحققون الفيدراليون جهودهم لتعطيل الحسابات والخوادم والنطاقات واتصالات الشبكات التي تمكّن العمليات السيبرانية الأجنبية. وفي مبادرة منفصلة خلال مايو، انضمت شركات تقنية إلى عملية لوزارة العدل أدت إلى تعطيل أكثر من 1.4 مليون حساب مرتبط بالاحتيال. كما ساهم المشاركون في حظر حركة المرور الخبيثة على الإنترنت، وإيقاف تشغيل بنية تحتية للاستضافة، والمساعدة في تجميد أكثر من 3.8 مليون دولار من العملات الرقمية.
ماذا يعني هذا للمستخدم العادي؟
يواجه المستخدمون الأفراد مخاطر مختلفة عن تلك التي تواجهها المجموعات المتطورة التي تستهدف الوكالات الحكومية والبنية التحتية الحيوية، على الرغم من أن كلاهما قد يستغل البرمجيات الخبيثة والأجهزة المخترقة. وتشمل الحماية الأساسية تحديث البرامج باستمرار، وتجنب تنزيل الملفات المشبوهة، والتحقق من المواقع الإلكترونية قبل إدخال معلومات حساسة. فمواقع التصيد الاحتيالي والمواقع المزيفة يمكنها تثبيت برمجيات خبيثة أو كشف كلمات المرور، بينما يمكن لأجهزة التوجيه القديمة أن توفر للمهاجمين بنية تحتية لإخفاء عمليات اختراق منفصلة.
أسئلة شائعة
س1: ما هي منصتا QScan وQTRouter؟
ج: هما منصتان للقرصنة كانتا تستخدمان من قبل مجموعة QTFY الصينية المدعومة من الدولة. الأولى كانت تكتشف الأنظمة الضعيفة، والثانية كانت تخفي مصدر الهجمات عبر تمرير الحركة من خلال أجهزة مخترقة قريبة من الضحايا.
س2: كيف قام مكتب التحقيقات الفيدرالي بتعطيل هذه المنصات؟
ج: قام المكتب بالاستيلاء على ثلاثة نطاقات إلكترونية كانت مدمجة بشكل ثابت في المنصتين وتستخدم للتواصل والتحقق، مما جعل النظامين غير قادرين على العمل بشكل كامل.
س3: ماذا يمكنني كفرد أن أفعل لحماية نفسي من هجمات مماثلة؟
ج: يجب تحديث البرامج وأجهزة التوجيه باستمرار، وتجنب تنزيل الملفات من مصادر غير موثوقة، والتحقق من عناوين المواقع قبل إدخال أي معلومات شخصية أو كلمات مرور، والحذر من رسائل البريد الإلكتروني المشبوهة.
