QScan أصاب آلاف الأجهزة وأخفى هجمات طالت NASA والاحتياطي الفيدرالي

أعلنت وزارة العدل الأمريكية ومكتب التحقيقات الفيدرالي في 26 أغسطس 2026 مصادرة نطاقات مرتبطة بمنصتي QScan وQTRouter بأوامر قضائية، ما عطّل البنية التي استخدمتها مجموعة صينية تُعرف باسم QTFY. ويوضح إعلان وزارة العدل أن QScan كان يفحص آلاف أجهزة إنترنت الأشياء ويصيبها آلياً، ثم يضيفها إلى QTRouter التي أخفت منشأ نشاط الاختراق.

طال هذا النشاط NASA والاحتياطي الفيدرالي ووزارات العدل والطاقة والصحة والخدمات الإنسانية والمعاهد الوطنية للصحة ومجلس الشيوخ الأمريكي. غير أن تغطية رويترز لوثائق القضية تبيّن أن السجل يجمع بين اختراقات ومحاولات وصول غير ناجحة؛ ومن بينها محاولة ضد NASA في أغسطس 2019 ومحاولات ضد مجلس الشيوخ في مارس 2026، فيما لم يُكشف حجم الضرر لدى كل جهة.

ماذا صادرت الولايات المتحدة؟

استهدفت العملية نطاقات كانت ضرورية للاتصال والمصادقة داخل QScan وQTRouter، لا جميع أجهزة إنترنت الأشياء التي سبق اختراقها. ولأن عناوين هذه النطاقات كانت مضمّنة في البرمجيات، أدى نقل السيطرة عليها إلى جهات إنفاذ القانون إلى قطع وظائف تشغيلية مركزية وجعل المنصتين غير قابلتين للعمل ببنيتهما القائمة وقت المصادرة.

تنسب القضية إنشاء المنصتين وتشغيلهما إلى QTFY، المرتبطة بشركة Nanjing Xinjiuwei Network Technology Company الصينية. وتقوم الرواية الحكومية على أن المجموعة عرضت خدمات اختراق لعملاء يدفعون مقابلها، بينهم وزارة أمن الدولة الصينية وجيش التحرير الشعبي؛ وهي اتهامات واردة في تحقيق وإفادة قضائية، وليست حكماً نهائياً يثبت مسؤولية كل جهة عن كل حادثة.

كيف ربطت QScan الأجهزة المصابة بشبكة الإخفاء؟

تبدأ السلسلة بفحص الأنظمة المكشوفة على الإنترنت. يجمع QScan معلومات مثل المنافذ المفتوحة وإصدارات التطبيقات وبصمات أنظمة التشغيل والإعدادات، ثم يساعد المشغل على تحديد أجهزة ضعيفة يمكن استغلالها. بعض هذه الأجهزة لم يكن هدفاً نهائياً للتجسس، بل مورداً يُضم إلى بنية يتحكم فيها المهاجم.

تأتي QTRouter بعد ذلك بوصفها طبقة الإخفاء: شبكة تجمع أجهزة إنترنت أشياء مخترقة وعقداً تابعة لخدمات بروكسي تجارية وخوادم افتراضية مستأجرة. عند تمرير الاتصال الهجومي عبر إحدى هذه العقد، ترى المؤسسة المستهدفة عنوان الجهاز الوسيط بدلاً من البنية الأصلية للمشغل، وقد يبدو الاتصال صادراً من دولة أخرى أو من عنوان قريب جغرافياً من الشبكة المستهدفة.

يكشف التحليل التقني المنشور في BleepingComputer أن البنية المرصودة كانت أوسع من اسمَي المنصتين: شملت مكوّناً للاستطلاع باسم QScan، وجهاز وصول مُعداً مسبقاً باسم QTRouter، وأداة إدارة تسمى QTProxy، وشبكة مرحلات مشفرة تسمى Fast Labyrinth. وبذلك كانت العملية خدمة تشغيل متكاملة تجمع اكتشاف الأهداف واختيار المرحلات وتغيير مسارات الاتصال، لا أداة اختراق منفردة.

من طالهم النشاط، وما طبيعة الضرر؟

تضم قائمة الجهات الحكومية NASA والاحتياطي الفيدرالي ووزارات الطاقة والعدل والصحة والخدمات الإنسانية والمعاهد الوطنية للصحة ومجلس الشيوخ. كما حددت الإفادة أربع شركات غير مسماة في الولايات المتحدة وكوريا الجنوبية، وسجلت في سبتمبر 2024 اختراقات لثلاثة مختبرات تابعة لوزارة الطاقة، والمعاهد الوطنية للصحة، وجهة تابعة لوزارة الصحة، وشركة أمريكية تصنع أجهزة أمنية.

لكن هذه القائمة لا تعني أن كل محاولة نجحت أو أن الأثر كان متماثلاً. كانت محاولة استغلال ثغرة في شبكة NASA عام 2019 غير ناجحة، وكذلك محاولات الوصول إلى شبكات مجلس الشيوخ ومستشفى أمريكي في مارس 2026. وفي المقابل، تتضمن القضية حوادث اختراق وسرقة بيانات من جهات أخرى، من دون نشر سجل كامل للأنظمة المتأثرة أو مدة الوصول أو أنواع البيانات التي حصل عليها المشغلون.

هذا التفريق مهم لأن مصطلحات «الضحايا» و«نشاط الاختراق» و«الاستهداف» استُخدمت على نطاق أوسع من الاختراق الناجح وحده. المؤكد علناً هو وجود حملة طويلة شملت استطلاعاً ومحاولات استغلال وحالات وصول ناجحة؛ أما نسبة نتيجة محددة إلى كل مؤسسة مسماة فتتطلب تفاصيل لم تُنشر بعد.

ما الذي حققته مصادرة النطاقات؟

أصابت المصادرة نقطة مركزية داخل بنية موزعة. فحتى مع انتشار المرحلات بين أجهزة منزلية وخدمات بروكسي وخوادم مستأجرة، ظلت البرمجيات تعتمد على نطاقات ثابتة للاتصال والمصادقة. السيطرة على تلك النطاقات حرمت البنية المعروفة من الوصول إلى وظائفها الأساسية وأوقفت تشغيل QScan وQTRouter بصورتهما المضبوطة في التحقيق.

لا يعني ذلك إزالة البرمجيات من كل جهاز مصاب، ولا يضمن اختفاء جميع العقد أو البيانات التي جُمعت سابقاً. كما لا يمنع المشغلين من بناء نطاقات أو أدوات بديلة. النتيجة المباشرة هي تعطيل مسار التحكم المعروف ورفع كلفة استعادة الخدمة، لا القضاء النهائي على المجموعة أو على نموذج شبكات الإخفاء.

بالنسبة إلى فرق الأمن، تكشف العملية أن جهاز توجيه أو بوابة اتصال ضعيفة الحماية قد تصبح نقطة خروج لهجوم على مؤسسة أخرى، بينما يظهر عنوان مالك الجهاز في السجلات بوصفه مصدر الاتصال. لذلك لا يكفي حظر عناوين IP بحسب الدولة، خصوصاً عندما تتبدل المرحلات وتختلط بخدمات بروكسي مشروعة؛ ويظل تحديث أجهزة التوجيه والجدران النارية وأصول إنترنت الأشياء، وتعطيل الإدارة البعيدة غير الضرورية، ومراجعة الاتصالات غير المعتادة إجراءات مرتبطة مباشرة بهذا النوع من البنية.

ما الذي لا يزال مجهولاً؟

تثبت المعلومات المنشورة تعطيل النطاقات التشغيلية المعروفة، لكنها لا تحدد عدد الأجهزة التي ظلت مصابة بعد قطع الاتصال، ولا حجم البيانات التي سُرقت من كل جهة، ولا ما إذا كانت هناك بنية احتياطية خارج النطاقات المصادرة. كذلك لم تُنشر تفاصيل موحدة عن الأضرار لدى الوكالات المسماة.

ستتحدد قيمة العملية على المدى الأطول بقدرة المحققين والمدافعين على اكتشاف العقد المتبقية، وبما إذا كان مشغلو QTFY أو عملاؤهم سيتمكنون من إعادة بناء الخدمة. وحتى ظهور إفصاحات قضائية أو تقنية إضافية، يبقى المؤكد أن الولايات المتحدة عطلت البنية المعروفة للمنصتين، لا أنها أزالت كل إصابة أو أنهت النشاط المرتبط بهما نهائياً.