ה-FBI ומשרד המשפטים האמריקאי השביתו שתי מערכות תקיפה המיוחסות לסין

משרד המשפטים האמריקאי (DOJ) וה-FBI הודיעו על תפיסת דומיינים ששימשו קבוצת תוקפים הקשורה לסין. לפי Crypto Briefing מדובר ב-13 דומיינים, וההדגשה שם היא על כך שהמערכות שימשו לתקיפת אמריקאים בעלי סיווג ביטחוני. לפי Bitcoin.com, התפיסה בוצעה ב-26 באוגוסט והוציאה משימוש שתי פלטפורמות תקיפה מקושרות זו לזו בשמות QScan ו-QTRouter. שני הדיווחים מתארים אפוא את אותה פעולה מזוויות שונות — האחד מתמקד באנשים שהותקפו, השני בכלים עצמם.

זווית שלישית מגיעה מ-BeInCrypto, המדווח כי בין קורבנות הקבוצה נמנים סוכנות החלל האמריקאית נאס"א, הבנק המרכזי האמריקאי (הפדרל ריזרב) והסנאט. שימו לב שרשימת הנפגעים הזו מופיעה בדיווח אחד בלבד מבין השלושה, והיא מיוחסת שם למסמכי בית משפט.

מה עושות שתי המערכות שהושבתו

התיאור בדיווחים הוא של חלוקת עבודה טכנית פשוטה למדי. האחת, לפי Bitcoin.com, שימשה לאיתור מכשירים פגיעים — סריקה רחבה של האינטרנט בחיפוש אחר ציוד מחובר שלא עודכן או שהוגדר ברשלנות. השנייה, לפי אותו דיווח, שימשה להסוואת מקור התקיפה, כלומר לניתוב הפעילות דרך מכשירים אחרים כך שהיא תיראה כאילו מגיעה ממקום שלישי לגמרי.

השילוב הזה הוא שהופך תשתית כזו לבעלת ערך עבור תוקף מדינתי. הסריקה מספקת את רשימת המטרות, וההסוואה מקשה על הנתקף לזהות מיהו התוקף ומאין הוא פועל. חשוב להבין נקודה שאינה תמיד ברורה: ה"מכשירים האחרים" שדרכם מנותבת התקיפה אינם בהכרח מחשבים של גורמים חשודים. מכשירים כאלה יכולים להיות נתבים ביתיים או עסקיים רגילים, של אנשים שאין להם שום קשר לפרשה ואינם יודעים כלל שהציוד שלהם משמש כתחנת ביניים.

מי מפעיל את הפלטפורמות

לפי BeInCrypto, מסמכי בית המשפט מזהים את המפעילים כקבוצה בשם QTFY, המועסקת על ידי חברה סינית בשם Nanjing Xinjiuwei Network Technology. הפרט הזה מעניין מפני שהוא מצביע על מודל הפעלה שבו לא יחידה ממשלתית פועלת בעצמה, אלא קבלן מסחרי שמספק שירותי תקיפה — כך לפחות עולה מהתיאור שבאותו דיווח. Crypto Briefing, מצדו, מדגיש בסיקור שלו את התפתחות שיטות הריגול ואת השימוש בבינה מלאכותית ככלי עבודה בתחום.

תפיסת דומיינים אינה מעצר ואינה סוגרת את הפרשה. היא פעולה משפטית שמנתקת את הכתובות שדרכן פועלת התשתית, ובכך משביתה אותה — לפחות עד שהמפעילים יקימו אותה מחדש תחת כתובות אחרות.

מה נובע מכאן בפועל

הלקח המעשי כאן אינו "להיזהר מהאקרים" באופן כללי, אלא נובע ישירות מהמנגנון שתואר. אם מערכת אחת מחפשת ציוד רשת פגיע והשנייה משתמשת בו כמסווה, אזי הנתב שמונח בפינת החדר הוא בדיוק סוג היעד שמערכות כאלה מחפשות. שלוש פעולות נגזרות מכך ישירות: להחליף את סיסמת הניהול שהגיעה מהיצרן, לעדכן את קושחת הנתב אם היצרן מפרסם עדכונים, ולכבות אפשרות ניהול מרחוק כשאין בה צורך אמיתי. ציוד ישן שהיצרן הפסיק לתמוך בו הוא הפגיע ביותר, משום שפרצה שהתגלתה בו לא תיסגר לעולם.

עבור מי שמחזיק נכסים דיגיטליים, הנקודה נוגעת פחות לארנק עצמו ויותר לרשת שסביבו. גישה לציוד הרשת מאפשרת לתוקף לראות תעבורה ולהפנות משתמשים לאתרים מזויפים, ולכן היגיינת רשת בסיסית היא שכבת הגנה שקודמת לכל אמצעי אחר.

מה עדיין אינו ידוע

הדיווחים שלפנינו אינם מציינים מה היקף הנזק בפועל בגופים שנפגעו, האם הושג מידע מסווג, ומה מצבם המשפטי של האנשים שמאחורי הקבוצה. גם מספר הדומיינים שנתפסו מופיע בדיווח אחד בלבד מבין השלושה, ואין בהם מידע על התקופה שבה פעלה התשתית לפני שהושבתה. אלו פרטים שעשויים להתברר עם פרסום מלא של מסמכי בית המשפט.

מקורות: Crypto Briefing · Bitcoin.com News · BeInCrypto