米司法省、中国ハッカーに関する発表を訂正　米政府機関は「侵入被害」ではなく「標的」

要点

• 米司法省（DoJ）は、中国政府系ハッカー集団「QTFY」に関する公式発表を修正し、NASAや米上院などの政府機関について「侵入被害を受けた」から「標的とされていた」へと表現を改めた。

• 今回の修正はドメイン差し押さえに向けた宣誓供述書の内容を正確に反映させるための措置であり、広範な標的のうち実際に侵害された組織は一部にとどまる実態を示している。

• QTFYは中国の民間企業「南京新九維網絡科技」を拠点とし、中国国家安全部（MSS）からの資金提供を受けてサイバー諜報活動を支援する組織として活動してきたとされる。

• 同集団は脆弱なIoT機器を悪用したボットネットや暗号化リレーネットワークを構築・販売していたが、FBIによって主要ドメインが差し押さえられ、機能が無力化された。

• 米司法省（DoJ）は、中国政府の支援を受けるサイバー脅威アクター（攻撃活動を行う組織や個人）に関する公式発表を更新し、複数の米連邦政府機関が攻撃の「被害を受けた（victims）」としていた従来の記述を、それらの機関は「標的（targets）」に含まれていたとする内容へ訂正した。この変更はドメイン差し押さえを申し立てた宣誓供述書（法的手続きにおいて事実を証明する文書）の主張を正確に反映するための措置であると説明されており、週末にかけてロイター通信などが報じた。

発表文の修正と「標的」への位置づけ見直し

米司法省が先週公表した当初の発表では、米航空宇宙局（NASA）、米連邦準備制度理事会（FRB）、エネルギー省、司法省、保健福祉省、米国立衛生研究所（NIH）、米連邦議会上院が、中国政府系グループ「QTFY」によるコンピュータ侵入活動の被害を受けた組織として列挙されていた。

しかし、更新された声明において、これらの政府機関は「QTFYの標的の中に含まれていた」という表現へと改められた。司法省は注記の中で、ドメイン差し押さえを支持する宣誓供述書における政府側の主張を正確に反映させるための編集を行ったと述べている。

当初の「被害者」から「標的」への表現変更は、QTFYによる活動が米国の主要機関を広く狙っていたものの、実際にシステム内部への侵入や侵害まで至った組織はその一部であったことを示唆している。

脅威アクター「QTFY」の組織構造と活動実態

宣誓供述書によると、QTFY（別名：QT、QTCYBER）は中国の民間企業「南京新九維網絡科技（Nanjing Xinjiuwei Network Technology Co）」で活動しているとされる。同社には中国の諜報機関である国家安全部（MSS）からの支払い記録が存在し、中国政府のために悪意あるサイバー活動を実行していることが示されているという。

QTFYは少なくとも2018年から活動を継続しているとみられる。攻撃対象は米国の連邦政府機関にとどまらず、国内外の病院、通信事業者、電力会社、金融機関、防衛関連企業など、重要インフラや機密ネットワークを幅広く標的としてきた。

具体的な事例として、2019年に同集団がパルス・セキュア（Pulse Secure）製VPNの重大な脆弱性（CVE-2019-11510。ソフトウェアに存在する既知のセキュリティ上の欠陥）を悪用し、NASAのネットワークへの不正侵入を試みていた事実などが挙げられている。

攻撃インフラの提供とボットネットの仕組み

QTFYは、中国のサイバー諜報活動において偵察やプロキシ（通信の中継）管理、運用のルーティングを担う「技術的な需品係」としての役割を果たしてきたとされる。同集団が備える主要ツールには、脆弱性の探索と悪用を行うプラットフォーム「QScan」と、通信を難読化するネットワーク「QTRouter」がある。

セキュリティ調査機関のルーメン・ブラック・ロータス・ラボ（Lumen Black Lotus Labs）の分析によれば、QTFYは中国関連の諜報活動向けに「Operational Relay Box（ORB）」と呼ばれる中継ネットワークの構築を大規模に展開していた。感染させたIoT機器（インターネットに接続された電子端末）や契約したVPS（仮想専用サーバー）からなる分散型ボットネット（遠隔操作される端末群）を構築し、攻撃活動の本来の発信元を隠蔽していた。

さらにQTFYは、QScanやQTRouterの利用権を他の攻撃者に向けて販売していた。購入者が脆弱なIoT機器を特定して侵害すると、それらの機器がQTRouterのボットネットノードとして組み込まれる仕組みとなっていたという。

このネットワークには中国の商用プロキシサービス「fastlink[.]ws」のノードも組み込まれ、「Fast Labyrinth」と呼ばれる暗号化リレーネットワークを形成していた。宣誓供述書では、標的組織の近隣にある侵害済みIoT機器を経由して通信を中継することで、一般ユーザーの正当な通信に紛れ込み、重要インフラへのスキャンや攻撃を検知されずに行っていたと指摘されている。

FBIによるドメイン差し押さえとインフラの無力化

米連邦捜査局（FBI）は、QTFYのインフラを解体するため、QScanおよびQTRouterに関連するドメイン（qtproxy[.]xyz、qt-proxy[.]org、qt-team[.]com）の差し押さえを実施した。これにより、同集団が構築していたマルウェアの遠隔制御や通信中継などの主要機能は実質的に無力化されたとしている。