Quartermaster infrastruktúrája
A Lumen Black Lotus Labs egy olyan, feltehetően Nanjingból működtetett infrastruktúra-szolgáltatót azonosított, amely több kínai állami hátterű kiberművelet számára biztosíthat felderítési, proxy- és forgalomrejtési kapacitást. A kutatók quartermasternek nevezik ezt a szerepet, nem feltétlenül maga hajtja végre a behatolásokat, hanem előkészített infrastruktúrát ad különböző támadóknak. Négy összekapcsolt komponensét azonosították. A QScan elosztott scannerekkel térképezi fel a célpontokat, portokat, service bannereket és konfigurációkat gyűjt, Celery/RabbitMQ alapú feladatkezelést és Redis backendet használ, miközben a scanner node-ok /24-es forráshálózatait körülbelül 30 naponta rotálja. A QTRouter előkonfigurált fizikai eszközként biztosít hozzáférést, a QTProxy pedig a relay útvonalak kezelésére szolgál.
A Fast Labyrinth a műveleti forgalom elrejtését végzi. Saját botnet helyett a kínai internetcenzúra megkerülésére használt Airport proxyhálózatok, konkrétan a fastlink.ws kiválasztott, nagy sávszélességű csomópontjait használja. Így a támadói kommunikáció normál VPN- és proxyforgalomba keveredik, az egress IP-k pedig folyamatosan változhatnak. A QScan által korábban feltérképezett több nagy értékű hálózatnál később Fast Labyrinth felől stabil, kétirányú kapcsolatokat figyeltek meg, a Lumen ezt a felderítéstől a valószínű exploitation felé történő átmenetként értékeli. A célpontok között amerikai katonai és kormányzati hálózatok, kutatóegyetemek, repülőipari és műholdas rendszerek, energia- és kritikus infrastruktúra, pénzügyi, egészségügyi és vállalati rendszerek szerepelnek.
Védelmi szempontból a statikus IP-blokkolás kevés, érdemes a rövid reconnaissance eseményeket későbbi, változó proxycímekről érkező interaktív kapcsolatokkal korrelálni. Kereséshez használhatók többek között a qtproxy.xyz, qt-proxy.org, jump.qt-proxy.org, instantmessagehub.tech domainek, valamint a flanycast-* és flnode-* yotocloud.com végpontok. A Black Lotus Labs az azonosított infrastruktúra egy részének forgalmát null-route-olta, és az adatokat amerikai kormányzati szervekkel is megosztotta.
