米司法省とFBI、中国政府系ハッカーの攻撃インフラを解体——NASAや米上院を狙う大規模ボットネット「QScan」「QTRouter」を差し押さえ

要点

• 米司法省とFBIが、中国政府支援のサイバー攻撃グループ「QTFY」が運用していたハッキングプラットフォーム「QScan」と「QTRouter」を解体・差し押さえした。

• 被害組織には米航空宇宙局（NASA）、連邦準備制度理事会（FRB）、エネルギー省、司法省、米上院などの米重要機関や先端学術研究コミュニティが含まれる。

• 攻撃基盤は世界中のIoT機器を自動感染させて構築されており、正規の通信や中国国外の位置情報に偽装して侵入活動の送信元を隠蔽していた。

• 運営元の中国企業は2018年から活動しており、中国国家安全部や人民解放軍に対して攻撃用インフラを提供する「調達役」として機能していた。

• 米司法省（DoJ）と米連邦捜査局（FBI）は2026年8月26日、中国政府の支援を受けるハッカー集団が米国の重要インフラや機密ネットワークを標的とするために使用していた2つの攻撃プラットフォーム「QScan」および「QTRouter」を解体し、関連インフラを差し押さえたと発表しました。

• これらのツールは、世界中で侵害された機器を束ねて大規模なボットネット（外部から遠隔操作が可能な感染端末のネットワーク）を形成し、サイバー攻撃の送信元を隠蔽するために悪用されていました。米政府機関をはじめとする多数の重要組織への不正侵入やデータ窃取の足場となっていた拠点が、官民連携の捜査によって遮断された形です。

NASAや米上院など米重要機関・学術界が標的に

米司法省の発表によると、今回解体されたプラットフォームによる不正侵入の被害を受けた組織には、米航空宇宙局（NASA）、連邦準備制度理事会（FRB）、エネルギー省、司法省、保健福祉省、国立衛生研究所（NIH）、さらには米上院などが含まれています。

この一連のサイバー攻撃活動は、「QTFY」と呼ばれる中国政府支援のハッカーグループによるものと特定されています。同グループは、中国の「南京鑫玖维网络科技有限公司（Nanjing Xinjiuwei Network Technology Company）」に所属する要員によって運営されていました。

セキュリティ企業Lumenの脅威調査部門「Black Lotus Labs」で主任研究員を務めるデイモン・ラウズ（Damon Rouse）氏がメディアに語ったところによると、同社はこの攻撃者を18か月以上にわたって追跡してきました。同組織は2018年5月から活動を続けており、中国国家安全部（MSS）や中国人民解放軍（PLA）を顧客に持つ、いわばサイバー空間の「調達係（クォーターマスター）」として機能していたといいます。

標的は米国内にとどまらず西側諸国全体に及んでおり、特に先端科学の共同研究が行われる学術機関や研究コミュニティが頻繁に狙われていたとLumen社は説明しています。FBI長官のカシュ・パテル（Kash Patel）氏は、「中国政府のサイバー攻撃者が攻撃の起点や正体を隠すために使用していた世界規模のボットネットとハッキングプラットフォームを解体した」と声明を出しています。

攻撃元を偽装する「QScan」と「QTRouter」の仕組み

差し押さえられた攻撃基盤の中核を成していたのが、「QScan」と「QTRouter」と呼ばれる2つの独自プラットフォームです。

まず「QScan」は、世界中のIoT機器（インターネットに接続された家電やネットワーク機器）を自動的にスキャンし、脆弱性を突いてマルウェアに感染させるシステムです。QScanは「qt-proxy[.]org」などのドメインを拠点とし、中国国外に設置されたリースサーバー上のワーカーノードへスキャン作業を割り当て、結果を収集していました。ここで乗っ取られた機器は、そのまま後続の通信中継網へと組み込まれます。

続いて「QTRouter」は、侵害されたIoT機器、商用プロキシ（通信を中継して送信元を隠す仕組み）の端末、リースされた仮想専用サーバー（VPS）を複合して構成されたネットワーク難読化システムです。ルーター向けオープンソースOSである「OpenWrt」のカスタム版が導入された機器上で動作し、専用の管理サーバーと認証を行っていました。

FBIの解説によると、QTRouterはプロキシ接続の確立にオープンソースツール「Clash」を利用していました。利用可能な中継ノードをチェーン状に多段接続する機能に加え、商用プロキシの正規トラフィックや一般ユーザーの位置情報と悪意ある通信を混在させることで、攻撃者が中国国外や標的組織の近隣からアクセスしているように見せかけ、追跡を極めて困難にしていたとされています。

3層の管理体制と攻撃サイクル

乗っ取られた膨大な数のデバイスは、3つの主要管理基盤によって統制されていました。プロキシ基盤を制御する「Proxy Platform Management」、プロキシプールを管理する「Proxy Pool Management System」、そして端末群を遠隔操作する「QTBotnet」です。

このうち「QTBotnet」は、中央制御サーバー、通信を中継する2次制御サーバー、および感染デバイスの階層構造で構成されていました。この制御サーバーは遠隔からコマンドを実行するだけでなく、標的に対して一斉に負荷をかけるDDoS攻撃（分散型サービス拒否攻撃）を仕掛ける機能も備えていたと報告されています。

攻撃者の一連の攻撃サイクルは、まず「QScan」によって標的ネットワークの事前調査（偵察）を実施し、続いて「CVE-2024-8190」や「CVE-2024-8963」といった既知・未知の脆弱性（修正プログラムが未提供のゼロデイ脆弱性を含む）を悪用して侵入を試みる手順で行われていたとされています。

Lumen社は約1年前からFBIと連携してこの脅威に対処しており、国家の支援を受けたサイバー攻撃インフラの実態解明と今回の差し押さえに結びつきました。