Hackeri chinezi în NASA și Fed: ce nu s-a spus complet

aptul că FBI și Departamentul de Justiție al SUA au anunțat public destructurarea unei rețele de spionaj cibernetic care a penetrat temporar NASA, Rezerva Federală, Senatul american, DOJ însuși, Departamentul Energiei și Departamentul Sănătății spune ceva important prin simpla sa recunoaștere: dacă autoritățile admit oficial o breșă de această amploare, întrebarea firească este cât de mult din ce nu s-a divulgat rămâne, de fapt, nespus.

Potrivit anunțului oficial, autoritățile americane au reușit să dejoace un atac cibernetic sponsorizat de un stat, care a vizat nu doar instituții guvernamentale de vârf, ci și patru companii nenumite din SUA și Coreea de Sud. Directorul FBI, Kash Patel, a declarat: „Astăzi am anunțat destructurarea unui botnet global și a unei platforme de hacking folosite de hackeri sponsorizați de statul chinez pentru a viza infrastructura critică americană.”

Patel a mai adăugat: „Aceste instrumente au fost folosite de actorii cibernetici din RPC pentru a ascunde originea atacurilor lor. Datorită muncii FBI San Diego, a Diviziei Cyber a FBI și a partenerilor DOJ, am confiscat infrastructura adversarului și am închis aceste platforme.”

Cum funcționa rețeaua de camuflaj

Domeniile folosite de două platforme de hacking identificate drept „QScan” și „QTRouter” au fost confiscate de DOJ în cadrul acestei operațiuni ample de contraspionaj cibernetic. Potrivit relatărilor The Wall Street Journal, scopul rețelei era „să se confunde cu traficul de rețea legitim, făcând activitatea de hacking greu de trasat”, potrivit oficialilor federali citați.

Grupul a exploatat vulnerabilități software pentru a lansa atacuri cibernetice împotriva agențiilor guvernamentale americane, a companiilor de energie electrică și a sistemelor spitalicești, operând o rețea mondială de dispozitive compromise — un așa-numit botnet — pentru a-și desfășura campaniile de hacking, potrivit lui Brett Leatherman, oficialul șef pe probleme cibernetice al FBI.

Comunicatul DOJ este și mai explicit în privința atribuirii: grupul sponsorizat de statul chinez, cunoscut sub numele de „QTFY” și angajat de compania Nanjing Xinjiuwei Network Technology, cu sediul în China, a creat și operat atât QScan, cât și QTRouter.

Obfuscare pe mai multe niveluri — cine beneficiază de anonimat?

Ceea ce merită subliniat, și ceea ce comunicatele oficiale tratează adesea ca detaliu tehnic secundar, este mecanismul propriu-zis de disimulare. QTRouter era format din dispozitive IoT compromise, servicii proxy comerciale și servere private virtuale închiriate — o rețea de „obfuscare” care permitea grupului QTFY să mascheze originea chineză a intruziunilor, făcând comunicațiile malițioase să pară că provin din computere aflate în afara RPC, uneori chiar din rețelele locale ale țintelor vizate. Practic, atacatorul se putea deghiza drept victimă.

Confiscarea domeniilor hard-codate în malware-ul QScan și QTRouter, autorizată judiciar, a făcut cele două platforme inoperabile — un detaliu tehnic care arată cât de dependentă era întreaga arhitectură de câteva puncte centrale de control, ceea ce ridică întrebarea firească: de ce nu au fost detectate și blocate mai devreme, având în vedere amploarea infrastructurii vizate?

Nici ministerul chinez de externe, nici ambasada Chinei la Washington nu au reacționat oficial la acuzații, tăcere care, în precedente similare, s-a tradus în respingerea în bloc a acuzațiilor americane — un tipar deja familiar de negare reciprocă între cele două puteri.

Context mai larg: nu e prima avertizare

Cronologia ridică semne de întrebare atunci când o punem în context: la începutul acestui an, Google a avertizat despre o intensificare a țintirii companiilor de apărare americane de către hackeri chinezi și ruși. Raportul Google menționa observarea „mai multor misiuni de spionaj cibernetic cu legături chineze care vizează direct industria de apărare și aerospațială decât din partea oricărui alt actor sponsorizat de stat în ultimii doi ani”.

Raportul preciza și metoda: „dar caracteristica multor operațiuni a fost exploatarea dispozitivelor de margine (edge devices) pentru a obține acces inițial”, referindu-se la componentele hardware poziționate la periferia unei rețele. Google a mai observat grupuri de amenințare cu legături chineze folosind rețele ORB pentru recunoaștere împotriva țintelor din industria de apărare, ceea ce complică detectarea și atribuirea reală a atacurilor — exact tipul de complicație pe care rapoartele oficiale tind să o simplifice.

Rămâne de văzut dacă acest anunț public reprezintă doar vârful vizibil al unei confruntări cibernetice mult mai extinse, purtate în tăcere, între cele două superputeri — și dacă instituțiile afectate (NASA, Fed, Senatul, DOJ) vor oferi vreodată detalii complete despre ce anume a fost accesat efectiv în perioada de intruziune.

Sursă: ZeroHedge News (zerohedge.com)