FBI ทลายโครงสร้างพื้นฐาน QTFY ที่โยงจีน — บริษัทรับจ้างจากหนานจิงที่ปั้นบ็อตเน็ต IoT ให้ MSS และ PLA ใช้ซ่อนต้นทางการโจมตี

สรุปสั้น

กระทรวงยุติธรรมสหรัฐฯ (DoJ) ประกาศเมื่อวันพุธถึงการทลายแพลตฟอร์มแฮ็กสองตัวที่ชื่อ QScan และ QTRouter ซึ่งดำเนินการโดยกลุ่มภัยคุกคามชาวจีน เพื่อโจมตีโครงสร้างพื้นฐานสำคัญและเครือข่ายที่มีข้อมูลอ่อนไหวภายในประเทศ กิจกรรมทั้งหมดถูกระบุว่าเป็นฝีมือของกลุ่มที่รัฐจีนหนุนหลังในชื่อ QTFY ซึ่งรับจ้างอยู่กับบริษัท Nanjing Xinjiuwei Network Technology Company (南京鑫玖维网络科技有限公司)

DoJ ระบุรายชื่อเหยื่อของกิจกรรมบุกรุกคอมพิวเตอร์ของ QTFY ไว้อย่างเป็นทางการ ซึ่งรวมถึงองค์การบริหารการบินและอวกาศแห่งชาติ (NASA) ธนาคารกลางสหรัฐฯ กระทรวงพลังงาน กระทรวงยุติธรรม กระทรวงสาธารณสุขและบริการมนุษย์ สถาบันสุขภาพแห่งชาติ และวุฒิสภาสหรัฐฯ

นาย Damon Rouse นักวิจัยด้านความปลอดภัยจาก Lumen Black Lotus Labs ซึ่งติดตามกิจกรรมนี้มากว่า 18 เดือน บอกกับ The Hacker News ว่าผู้จัดหาโครงสร้างพื้นฐานดิจิทัลรายนี้เคลื่อนไหวมาตั้งแต่เดือนพฤษภาคม 2561 และบริษัทที่หนานจิงมีทั้งกระทรวงความมั่นคงแห่งรัฐของจีน (MSS) และกองทัพปลดปล่อยประชาชนจีน (PLA) เป็นลูกค้า โดยการเล็งเป้ากระจายไปทั่วโลกตะวันตกและไกลกว่านั้น โดยเฉพาะกับแวดวงวิชาการ ซึ่งนักวิจัยอธิบายว่ากลุ่มนี้ชอบเล่นงานชุมชนวิจัยเป็นพิเศษเพราะธรรมชาติของงานวิจัยที่ต้องทำงานร่วมกัน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 สิงหาคม 2569 ว่ากระทรวงยุติธรรมสหรัฐฯ ประกาศยึดและทำลายแพลตฟอร์มที่กลุ่มแฮ็กเกอร์ซึ่งรัฐจีนหนุนหลังใช้งาน โดยอ้างอิงทั้งประกาศของ DoJ เอกสารคำแนะนำร่วมของ IC3 และรายงานทางเทคนิคของบริษัท Lumen

นาย Kash Patel ผู้อำนวยการสำนักงานสอบสวนกลาง (FBI) ระบุว่าสิ่งที่ประกาศในวันนั้นคือการทลายบ็อตเน็ตและแพลตฟอร์มแฮ็กระดับโลกที่แฮ็กเกอร์ซึ่งรัฐจีนหนุนหลังใช้เล่นงานโครงสร้างพื้นฐานสำคัญของสหรัฐฯ และเครื่องมือเหล่านี้ถูกใช้เพื่อซ่อนต้นทางของการโจมตี ทางบริษัท Lumen ระบุว่าเริ่มทำงานร่วมกับ FBI ในเรื่อง QTFY มาประมาณหนึ่งปีแล้ว

เครื่องมือหลักสองตัวคือ QScan ซึ่งทำหน้าที่สแกนและติดเชื้ออุปกรณ์ IoT ทั่วโลกโดยอัตโนมัติ แล้วเพิ่มเข้าไปในเครือข่าย QTRouter และ QTRouter เองซึ่งประกอบด้วยทั้งอุปกรณ์ที่ถูกยึด บริการพร็อกซีเชิงพาณิชย์ และเซิร์ฟเวอร์เสมือน (VPS) ที่เช่ามา โดย QTRouter ทำหน้าที่เป็นเครือข่ายกลบเกลื่อนที่ทำให้ QTFY และผู้โจมตีชาวจีนรายอื่นซ่อนต้นทางที่แท้จริงของการบุกรุกได้ ผลคือการสื่อสารดูเหมือนมาจากปลายทางที่อยู่นอกประเทศจีน และในหลายกรณีก็ดูเหมือนมาจากพื้นที่เดียวกับเครือข่ายเป้าหมาย

FBI อธิบายว่า QScan ถูกใช้เจาะอุปกรณ์ IoT ที่มีช่องโหว่และค้นหาช่องโหว่ในเครือข่ายของเหยื่อ จากนั้น QTFY จะใช้ผลิตภัณฑ์บ็อตเน็ตควบคุมอุปกรณ์ IoT ที่ถูกยึดแล้วผนวกเข้าเป็นโหนดพร็อกซีของ QTRouter ทำให้ผู้ที่เกี่ยวข้องกับ QTFY กลืนไปกับผู้ใช้ที่ถูกกฎหมายขณะเล่นงานองค์กรเป้าหมาย ส่วน QTRouter ทำงานเป็นเครือข่ายกลบทราฟฟิกบนเราเตอร์ที่รันซอฟต์แวร์ OpenWrt แบบปรับแต่งเอง และยืนยันตัวตนกับเซิร์ฟเวอร์บริหารจัดการที่กำหนดไว้ ทั้งนี้ QTRouter ใช้ Clash ในการสร้างการเชื่อมต่อพร็อกซี โดยความสามารถของมันรวมถึงการดูโหนดที่ใช้ได้และการต่อโหนดเป็นทอด ๆ เพื่อกลบตัวผู้อยู่เบื้องหลัง

บ็อตเน็ตของอุปกรณ์ที่ถูกแฮ็กถูกสั่งการผ่านแพลตฟอร์มหลักสามตัว ได้แก่ Proxy Platform Management, Proxy Pool Management System และ QTBotnet โดยตัวหลังประกอบด้วยเซิร์ฟเวอร์ควบคุม เซิร์ฟเวอร์ควบคุมระดับรองที่คอยรักษาการสื่อสารระหว่างเซิร์ฟเวอร์ควบคุมหลักกับอุปกรณ์ที่ถูกยึด และตัวอุปกรณ์เอง ทั้งนี้เซิร์ฟเวอร์ควบคุมยังมีความสามารถสั่งโจมตีแบบ DDoS และรันคำสั่งบนโหนดที่ติดเชื้อได้ด้วย

โดเมนที่ถูกยึดในปฏิบัติการครั้งนี้ถูกฝังไว้ตายตัวในผลิตภัณฑ์ทั้งสองตัว ทำให้ระบบหยุดทำงานทันทีหลังการดำเนินการที่ได้รับอนุญาตจากศาล

วิธีการโจมตี

วงจรการโจมตีทั้งหมดที่ทางการอธิบายไว้เริ่มจากการใช้ QScan สำรวจเครือข่ายของเหยื่อ จากนั้นจึงเจาะเข้าไปด้วยช่องโหว่ทั้งแบบ zero-day และแบบ N-day ที่มีแพตช์ออกมาแล้วแต่องค์กรยังไม่ได้ติดตั้ง เมื่อเข้าไปได้แล้วจึงสร้างการฝังตัวถาวรด้วยโทรจันควบคุมระยะไกล (RAT) เว็บเชลล์ และข้อมูลรับรองที่ถูกกฎหมาย ก่อนจะใช้ QTRouter เข้าถึงเครือข่ายเหยื่อจากอุปกรณ์ IoT ที่ถูกยึดซึ่งอยู่ใกล้เคียง เพื่อไม่ให้ถูกจับสังเกต

รายการช่องโหว่ที่ถูกระบุว่าใช้ในวงจรนี้ครอบคลุมผลิตภัณฑ์ระดับองค์กรจำนวนมาก โดยเฉพาะอุปกรณ์ที่อยู่ขอบเครือข่าย

ในมุมของสถาปัตยกรรม บริษัท Lumen อธิบายว่าระบบนี้เป็นชุดองค์ประกอบที่เชื่อมโยงกัน ซึ่งนอกจาก QScan และ QTRouter แล้วยังมีอีกสองส่วน ส่วนแรกคือ Fast Labyrinth ที่ทำหน้าที่เป็นชั้นปฏิบัติการ ด้วยการดึงโครงสร้างพร็อกซีเชิงพาณิชย์อย่าง Fastlink เข้ามาผนวกกับ QTRouter ในเครือข่ายรีเลย์ที่เข้ารหัส เพื่อกลบทราฟฟิกทั้งขาเข้าและขาออกของเป้าหมาย ส่วนที่สองคือ QTProxy ที่บริหารจัดการโหนดปฏิบัติการของ Fast Labyrinth และเปิดให้ผู้ใช้งานเลือกใช้รีเลย์ที่ตั้งค่าไว้ล่วงหน้าหรือกำหนดเส้นทางเฉพาะไปยังเป้าหมายได้เอง

โครงสร้างทั้งหมดถูกเปรียบเทียบกับสิ่งที่เรียกว่า operational relay box (ORB) ซึ่งเป็นตาข่ายแบบกระจายศูนย์ที่ประกอบด้วยอุปกรณ์ IoT ที่ติดเชื้อและ VPS ที่เช่ามา และเปิดให้ทราฟฟิกอันตรายวิ่งผ่านที่อยู่ IP ที่หมุนเวียนเปลี่ยนไปเรื่อย ๆ จนหลบเลี่ยงกลไกป้องกันแบบเดิมอย่างบัญชีดำของ IP และนโยบายที่อิงตำแหน่งทางภูมิศาสตร์ได้

ผลกระทบ

กลุ่มที่ได้รับผลกระทบตรงที่สุดคือหน่วยงานรัฐและสถาบันวิจัยที่ถูกระบุชื่อในประกาศ ซึ่งครอบคลุมตั้งแต่หน่วยงานอวกาศ ธนาคารกลาง ไปจนถึงฝ่ายนิติบัญญัติ แต่ผลกระทบทางอ้อมกว้างกว่านั้นมาก เพราะเจ้าของอุปกรณ์ IoT ทั่วโลกที่ถูก QScan ยึดไปกลายเป็นโหนดพร็อกซีนั้น ไม่ได้เป็นเป้าหมายของการจารกรรม แต่ถูกใช้เป็นเครื่องมือกลบต้นทางโดยไม่รู้ตัว และในกรณีเลวร้ายอาจกลายเป็นต้นทางของทราฟฟิกที่ถูกสอบสวนแทน

ประเด็นเชิงโครงสร้างที่สำคัญกว่ารายชื่อเหยื่อคือรูปแบบการทำงานที่ Lumen เรียกว่าการแปรรูปเป็นอุตสาหกรรม บริษัทระบุว่าปฏิบัติการของผู้จัดหาโครงสร้างพื้นฐานรายนี้แสดงให้เห็นระดับความเป็นอุตสาหกรรมที่สูงมากในปฏิบัติการไซเบอร์ที่โยงกับจีน ด้วยการเลิกใช้ระบบที่ตั้งขึ้นเฉพาะกิจแบบกระจัดกระจาย แล้วหันมาใช้เครือข่ายสาธารณูปโภคร่วมที่รองรับผู้ใช้หลายรายพร้อมกัน ทำให้ผู้ที่รัฐหนุนหลังดำเนินแคมเปญซับซ้อนได้ด้วยความไม่ระบุตัวตนสูง รวดเร็ว และในระดับทั่วโลก

จุดที่ผู้ดูแลระบบควรนำไปคิดต่อคือคำเตือนของ Lumen ที่ว่า เนื่องจากวงจรทราฟฟิกเหล่านี้ได้มาจากการสมัครใช้บริการพร็อกซีเชิงพาณิชย์แบบเสียเงินอย่างถูกกฎหมาย การบล็อกแบบตายตัวจึงไม่เพียงพออีกต่อไป นั่นหมายความว่าแนวทางป้องกันที่พึ่งบัญชีดำของ IP หรือการกรองตามประเทศต้นทาง จะพลาดกิจกรรมประเภทนี้โดยสิ้นเชิง

ในแง่ขอบเขต ยังมีข้อมูลที่ไม่ปรากฏในประกาศ ทั้งจำนวนอุปกรณ์ IoT ที่ถูกยึดทั้งหมด จำนวนองค์กรที่ถูกเจาะนอกเหนือจากรายชื่อหน่วยงานรัฐที่ระบุ และรายละเอียดว่าข้อมูลใดถูกดูดออกไปบ้าง นอกจากนี้ประกาศยังระบุว่ามีการโจมตีล่าสุดเมื่อเดือนมิถุนายน 2569 ที่เล็งไปยังระบบการเลือกตั้งของสหรัฐฯ โดยไม่ได้ให้รายละเอียดเพิ่มเติม

คำแนะนำ

• ตรวจสอบและติดตั้งแพตช์ของช่องโหว่ทั้ง 13 รายการในตารางข้างต้นโดยด่วน โดยเฉพาะอุปกรณ์ขอบเครือข่ายอย่าง Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP และ Ivanti CSA ซึ่งเป็นจุดเข้าหลักของกลุ่มนี้
• อย่าพึ่งบัญชีดำของที่อยู่ IP หรือการกรองตามประเทศต้นทางเป็นกลไกหลัก เพราะโครงสร้าง ORB ออกแบบมาเพื่อทำให้มาตรการเหล่านี้ไร้ผลโดยตรง
• เฝ้าระวังพฤติกรรมของบัญชีและเซสชันแทนการเฝ้าระวังที่อยู่ต้นทาง เช่น การล็อกอินสำเร็จจาก IP ในประเทศเดียวกันแต่มีรูปแบบการใช้งานผิดปกติ
• เปลี่ยนรหัสผ่านเริ่มต้นของอุปกรณ์ IoT และเราเตอร์ทุกตัว ปิดการเข้าถึงหน้าจัดการจากอินเทอร์เน็ต และอัปเดตเฟิร์มแวร์ให้เป็นรุ่นล่าสุด เพื่อไม่ให้อุปกรณ์กลายเป็นโหนดพร็อกซีของเครือข่ายลักษณะนี้
• ตรวจหาสัญญาณของเว็บเชลล์และ RAT บนเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต เพราะเป็นวิธีฝังตัวหลักหลังเจาะเข้ามาได้
• นำโดเมนในตารางด้านล่างไปย้อนตรวจล็อก DNS และล็อกพร็อกซีย้อนหลัง แม้โดเมนจะถูกยึดไปแล้ว แต่ร่องรอยการเชื่อมต่อในอดีตยังบ่งชี้การติดเชื้อได้

Indicators of Compromise (IoCs)

หมายเหตุ: อินดิเคเตอร์ทั้งหมด defang แล้ว (แทน . ด้วย [.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ

แหล่งอ้างอิง

• FBI Disrupts China-Linked QTFY Infrastructure Used to Steal Data From U.S. Organizations — The Hacker News
• Justice Department and FBI Seize Platforms Operated and Used by China State-Sponsored Hackers — U.S. Department of Justice
• The Infrastructure Quartermaster: Inside a China-Nexus State Enablement Model — Lumen Black Lotus Labs
• Joint Cybersecurity Advisory (PDF) — IC3