FBIが中国関連ハッカー集団「QTFY」の攻撃基盤を無力化　QScan・QTRouterとは

米司法省（DoJ）とFBIは、中国関連のハッカー集団「QTFY」が使用していた攻撃プラットフォーム「QScan」と「QTRouter」に関連するドメインを差し押さえ、攻撃インフラを無力化したと発表しました。QTFYは脆弱なIoT機器や商用プロキシ、VPSを組み合わせて攻撃元を隠しながら、政府機関、重要インフラ、大学などを標的としていたと報告されています。
The Hacker News：FBI Disrupts China-Linked QTFY Infrastructure Used to Steal Data From U.S. Organizations

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

インターネットに公開されたサーバー、Webアプリケーション、VPN、ゲートウェイなどのエッジシステム
脆弱性が修正されていないIoT機器やルーター
政府機関、防衛産業、通信、エネルギー、金融、高等教育、水道などの重要インフラ関連組織
QTFYが過去に悪用したと報告されているIvanti CSA、Fortinet SSL-VPN、Citrix ADC、Microsoft Exchange Server、F5 BIG-IP、Kentico CMS、Apache Log4j、Atlassian Confluence、Check Point Quantum Gateway、CrushFTP、BeyondTrust Remote Supportなど
QTRouterの中継ノードとして悪用される可能性があるインターネット接続型のIoT機器やルーター

推奨される対策

組織内の機器に最新のソフトウェアおよびファームウェア更新を適用し、可能な場合は自動更新を有効化してください。
サポート終了機器を調査し、ライフサイクル管理に基づいて交換を進めてください。
Webサーバーやプラグインを最新状態に維持し、Webシェルなど不審なファイルや挙動を監視してください。
インターネット公開システム上にAPIキー、トークン、機密設定情報などが露出していないか確認してください。
重要システムをインターネット境界のエッジ機器から分離し、ネットワークセグメンテーションを強化してください。
FBI、NSA、Cyber National Mission Forceが公開したIOCを用いて、ネットワークやログに不審な通信や痕跡が存在しないか確認してください。

上記の対策は、元記事および米当局が公開した情報に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

QTFY：米当局が中国関連のサイバー脅威アクターとして説明しているグループです。QScanやQTRouterなどの攻撃用プラットフォームを開発・運用していたとされています。
QScan：大規模なインターネットスキャンや脆弱性の探索・悪用を行うためにQTFYが使用していたとされる分散型プラットフォームです。
QTRouter：侵害されたIoT機器、商用プロキシ、VPSなどを通信の中継地点として利用し、攻撃元を分かりにくくするネットワークです。
IoT：ルーター、カメラ、センサーなど、インターネットに接続されるさまざまな機器を指します。
VPS：Virtual Private Serverの略称で、物理サーバー上に構築される仮想的な専用サーバー環境です。
ORB（Operational Relay Box）：侵害した機器やVPSなどを中継ノードとして利用し、攻撃者の実際の通信元を隠すための分散型インフラを指します。
IOC：Indicator of Compromiseの略称で、侵害されたシステムに残るIPアドレス、ドメイン、ファイルハッシュなどの痕跡情報です。
Webシェル：侵害したWebサーバーを遠隔操作するために設置されることがある悪意あるスクリプトなどを指します。
N-day脆弱性：すでに公開され、修正プログラムが提供されているにもかかわらず、未修正システムに対して悪用される脆弱性を指します。

QScanとQTRouterを組み合わせた大規模な攻撃基盤

今回の作戦で米司法省とFBIが無力化したのは、相互に連携して機能する「QScan」と「QTRouter」という2つのプラットフォームです。QScanは、大量のインターネットスキャンを実行し、脆弱なIoT機器の探索や侵害、標的ネットワークの脆弱性調査などに使用されていたとされています。FBI、NSA、Cyber National Mission Forceの共同アドバイザリによると、QScanにはWebページの収集、TLS証明書の取得、サブドメイン列挙、脆弱性検証などを行う機能が存在し、200件を超えるPython製PoCエクスプロイトを格納したデータベースも備えていたと報告されています。2024年のある1日には、200万件を超えるスキャンおよびペネトレーションテスト関連タスクを処理した例も確認されています。侵害されたIoT機器はQTRouterの中継ノードとして組み込まれ、さらに商用プロキシサービスやVPSと組み合わせることで、攻撃者の実際の所在地を分かりにくくする仕組みが構築されていました。このように、脆弱性探索と攻撃元の隠蔽を別々の仕組みとして組み合わせ、大規模な攻撃活動を継続できる基盤が形成されていた点が特徴です。

侵害したIoT機器を使い「標的の近く」から通信しているように偽装

QTRouterの重要な役割は、攻撃者の通信元を隠すことです。米当局によると、QTRouterは侵害されたIoT機器だけでなく、商用プロキシサービスのIPアドレスやクラウド環境などを組み合わせ、複数のノードを連結して通信を転送していました。ルーターではカスタムOpenWrtが使用され、プロキシ接続にはClashが利用されていたと報告されています。こうした仕組みにより、中国から実行された攻撃であっても、標的組織から見ると別の国や標的ネットワークの近隣地域に存在する一般利用者のIPアドレスから通信しているように見える可能性があります。さらに、悪意ある通信を正規の商用プロキシサービスのトラフィックと混在させることで、単純なIPアドレスの遮断や位置情報に基づくアクセス制御を回避しやすくしていたとされています。このような分散型中継ネットワークはORBとも呼ばれます。特定の攻撃元IPだけを遮断する従来型の対策では、通信経路が継続的に変化する攻撃を十分に検出できない可能性があり、通信内容や振る舞い、認証状況など複数の情報を組み合わせた監視が重要になります。

既知の脆弱性とゼロデイを組み合わせて組織へ侵入

QTFYの活動では、未知の脆弱性だけでなく、すでに広く知られている既知の脆弱性も継続して利用されていたと報告されています。共同アドバイザリでは、Fortinet SSL-VPNのCVE-2018-13379、Citrix ADCのCVE-2019-19781、Microsoft Exchange ServerのCVE-2021-26855、F5 BIG-IPのCVE-2020-5902、Apache Log4jのCVE-2021-44228、Atlassian ConfluenceのCVE-2023-22515、Check Point Quantum GatewayのCVE-2024-24919、CrushFTPのCVE-2025-31161、BeyondTrust Remote SupportのCVE-2026-1731などが活動事例として挙げられています。また、2024年にはIvanti Cloud Services Applianceに存在するCVE-2024-8190、CVE-2024-8963、CVE-2024-9380のゼロデイ脆弱性を使用した事例も報告されています。侵入後にはRATやWebシェル、正規の認証情報などを利用してアクセスを維持する手法も確認されています。重要なのは、新しい脆弱性だけを警戒すればよいわけではないという点です。数年前に公開された脆弱性であっても、修正されていないインターネット公開機器が残っていれば、攻撃者にとって現実的な侵入口になる可能性があります。

米当局がドメインを差し押さえ、攻撃プラットフォームを停止

米司法省は裁判所の許可を得て、QScanとQTRouterの運用に使用されていたドメインを差し押さえました。これらのドメインは両プラットフォームの通信や認証などに必要な情報としてソフトウェア内部に組み込まれていたため、差し押さえによってQScanとQTRouterは機能できない状態になったと説明されています。米当局は、QTFYが2018年以降、米国および海外の重要なネットワークを標的としてきたとしています。対象としてNASA、米連邦準備制度、エネルギー省、司法省、保健福祉省、国立衛生研究所、米上院などが挙げられていますが、ここで注意したいのは「標的となったこと」と「侵害されたこと」は同義ではない点です。米司法省は発表内容を後に修正し、政府文書上の主張をより正確に反映するよう記載を更新しています。一方、共同アドバイザリでは、2024年5月にCheck Point Quantum Gatewayの脆弱性を利用した活動に関連して、米国内外の300を超える組織からデータが流出したと報告されています。今回の摘発は大規模な攻撃基盤を停止させる重要な措置ですが、同種の分散型インフラが今後別の形で構築される可能性も考慮する必要があります。

日本企業もエッジ機器とIoT機器を優先して確認する必要がある

今回の活動は主に米国の重要インフラを中心に報告されていますが、QTFYの関連インフラや攻撃対象は米国外にも及んでいたとされており、日本企業にとっても無関係とは言い切れません。特に優先して確認すべきなのは、VPN、ファイアウォール、リモートアクセス製品、Webアプリケーション、ルーターなど、インターネットから直接アクセスできる機器です。FBI、NSA、Cyber National Mission Forceは、最新のソフトウェアとファームウェアを適用すること、サポート終了機器を交換すること、Webサーバーとプラグインを更新すること、インターネット公開アプリケーションからAPIキーやトークンなどの機密情報が漏れていないか確認することを推奨しています。また、エッジ機器が侵害された場合でも重要システムまで容易に到達できないよう、ゼロトラストの考え方に基づくネットワーク分離を実施することも重要です。さらに、公開されたIOCと自社の通信ログを照合するだけでなく、未知の中継ノードが利用される可能性を考え、通常とは異なるログイン元、通信パターン、管理者権限の利用、Webシェルなどの侵害兆候を継続的に監視する必要があります。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）