شبكة QTFY أخفت هجمات صينية منذ 2018، ومصادرة النطاقات عطلتها

صادرت وزارة العدل الأميركية ومكتب التحقيقات الفيدرالي في 26 أغسطس 2026 نطاقات تعتمد عليها منصتا QScan وQTRouter اللتان شغلتهما QTFY، وهي مجموعة مرتبطة بالصين. وجعلت المصادرة المنصتين غير قابلتين للتشغيل لأن نطاقاتهما كانت مضمّنة في البرمجيات وتؤدي وظائف الاتصال والمصادقة، وفق إعلان وزارة العدل الأميركية.

عطلت العملية البنية القائمة التي استخدمتها QTFY لمسح الشبكات، وإصابة أجهزة متصلة بالإنترنت، وتمرير حركة الاختراق عبر عقد تخفي منشأها الصيني منذ 2018 على الأقل. لكن المعلن هو توقف QScan وQTRouter بصورتهما المعتمدة على النطاقات المصادرة؛ وليس إزالة جميع الأجهزة المخترقة أو منع المشغلين من بناء بنية بديلة.

كيف ربطت QTFY المسح بشبكة الإخفاء؟

QTFY ليست اسم برمجية منفردة، بل مجموعة قالت السلطات الأميركية إنها أنشأت وشغلت منصات اختراق مترابطة أثناء عملها لدى شركة Nanjing Xinjiuwei Network Technology Company في الصين. وبحسب وثائق القضية، قدمت المجموعة خدمات اختراق إلى عملاء دافعين، من بينهم وزارة أمن الدولة الصينية وجيش التحرير الشعبي.

بدأ المسار بمنصة QScan، التي نفذت الاستطلاع والبحث عن الثغرات واستغلال أجهزة إنترنت الأشياء الضعيفة. ويبين التحذير المشترك لـNSA وFBI أن نشاط المجموعة يعود إلى تأسيسها في 2018، وأن أدواتها استهدفت القاعدة الصناعية الدفاعية والاتصالات والحكومات المحلية والتعليم العالي، إلى جانب شبكات أميركية وأجنبية أخرى.

1. الاستطلاع: توزع QScan مهام الفحص على عقد متعددة وتجمع بيانات عن المنافذ والخدمات والإعدادات المكشوفة.
2. تكوين شبكة العقد: تصيب المنصة أجهزة إنترنت الأشياء القابلة للاستغلال وتضيفها إلى البنية التي تتحكم فيها QTFY.
3. إخفاء المنشأ: تجمع QTRouter الأجهزة المصابة مع أجهزة خدمات الوكلاء التجارية والخوادم الافتراضية المستأجرة، ثم توفرها مسارات عبور للحركة.
4. الوصول إلى الشبكات: يستخدم المشغل أو العميل نتائج الاستطلاع لتوجيه محاولة الاستغلال، بينما يظهر الاتصال للهدف كأنه صادر من عقدة خارج الصين، وربما من عنوان قريب جغرافيًا.

جعل هذا التصميم جهاز الإنترنت المصاب وسيطًا لا هدفًا نهائيًا بالضرورة. فالمرور عبر موجه منزلي أو عقدة تجارية يطمس منشأ العملية، كما يسمح باختلاط الحركة الخبيثة باتصالات مشروعة تستخدم نقطة الخروج نفسها.

من استُهدف ومن ارتبط باختراق مؤكد؟

الاستهداف لا يثبت نجاح الاختراق. ظهور مؤسسة في نتائج المسح يعني أن بنيتها الخارجية خضعت للفحص أو التفاعل، لكنه لا يثبت تجاوز المصادقة أو تثبيت برمجيات أو الحصول على بيانات. وحتى الجلسة ثنائية الاتجاه قد تدل على محاولة استغلال، ولا تكفي وحدها لإثبات وصول مستمر.

سمت وزارة العدل سبع جهات بوصفها من ضحايا «نشاط اختراق حاسوبي» مرتبط بـQTFY: وكالة NASA، والاحتياطي الفيدرالي، ووزارات الطاقة والعدل والصحة والخدمات الإنسانية، والمعاهد الوطنية للصحة، ومجلس الشيوخ الأميركي. إلا أن الإعلان لم يحدد النظام المتأثر في كل جهة، أو مدة الوصول، أو نوع البيانات التي أمكن الحصول عليها.

• ضحايا نشاط اختراق معلن: الجهات الفيدرالية السبع التي سمتها وزارة العدل صراحة.
• استهداف أوسع: شبكات في الدفاع والاتصالات والحكومة المحلية والتعليم العالي، إضافة إلى قطاعات ومستشفيات وشركات طاقة ومؤسسات مالية ومقاولي دفاع وردت في ملفات القضية أو الرصد الشبكي.
• حدود الأدلة المنشورة: لا يثبت ذكر قطاع كامل أن كل مؤسسة فيه اختُرقت، كما لا تكشف البيانات العامة العدد الإجمالي للضحايا.

ما الذي قطعته مصادرة النطاقات؟

أصابت المصادرة نقطة اعتماد مركزية داخل بنية موزعة. فقد كانت النطاقات ثابتة داخل شيفرة QScan وQTRouter، وتستخدم للاتصال والمصادقة والمهام الأساسية؛ وبعد انتقال السيطرة عليها لم تعد النسخ المنشورة قادرة على الوصول إلى الخدمات التي تتوقعها.

وتكشف رؤية Black Lotus Labs لحركة الشبكة مسارًا من QScan بوصفها أداة استطلاع أمامية إلى شبكة وكلاء شملت Fast Labyrinth وQTProxy. ورصد الباحثون تداخلًا بين الوجهات التي فحصتها QScan والوجهات التي تلقت لاحقًا اتصالات عبر عقد الإخفاء، مع بقاء احتمال استخدام المنظومتين بصورة مستقلة لدى بعض العملاء.

لا يعني ذلك أن كل عملية مسح تحولت إلى اختراق. فقد كانت غالبية حركة QScan التي شاهدها الباحثون عبارة عن مجسات استطلاع منفردة، بينما عدّوا الجلسات المستقرة والعالية السعة وثنائية الاتجاه انتقالًا إلى محاولة استغلال محتملة، لا برهانًا عامًا على نجاح الدخول إلى كل وجهة.

كذلك لم تعلن السلطات تنظيف آلاف أجهزة إنترنت الأشياء التي أصابتها المنصة، أو إغلاق كل خدمة وكلاء استُخدمت ضمن المسارات. ما توقف هو قدرة البرمجيات القائمة على الاستفادة من نطاقاتها المضمّنة؛ أما الأجهزة الموزعة والخدمات التجارية نفسها فقد تبقى متصلة بالإنترنت، ويمكن نظريًا إعادة توظيف بعضها عبر برمجيات أو نطاقات جديدة.

الأثر الأمني وما لا يزال مجهولًا

يضع التعطيل حدًا فوريًا للبنية الحالية ويرفع كلفة استعادتها، لكنه لا يثبت زوال الجهة المشغلة أو عملائها. كما أن الإعلان لم يتضمن اتهامات علنية لأفراد محددين، ولم يقدم تقديرًا للوقت الذي قد تحتاج إليه QTFY لإنشاء بديل.

وبالنسبة إلى فرق الاتصالات والبنية التحتية الحرجة، توصي الجهات الحكومية بتحديث برمجيات الأجهزة وبرامجها الثابتة، وعزل الأنظمة الحساسة عن أجهزة الحافة، والبحث عن مؤشرات الاختراق المنشورة. وتفيد مراجعة سجلات DNS وNetFlow في كشف الاتصالات التاريخية بالنطاقات والعقد المعروفة، لكن عنوان IP وحده لا يكفي للحكم لأن شبكة الإخفاء مزجت أجهزة مصابة بخدمات وكلاء يستخدمها عملاء شرعيون.

تشير حركة الشبكة التي شاهدتها Black Lotus Labs إلى تركيز أقرب إلى التجسس وجمع المعلومات: رسم حدود الشبكات، وفحص واجهات الإدارة والتخزين المكشوف، وإنشاء قنوات يصعب إسنادها. يظل هذا استنتاجًا مقيدًا بمدى رؤية الباحثين، ولا يحدد نيات كل عميل أو يستبعد استخدام البنية في أغراض أخرى.

المؤكد بعد عملية 26 أغسطس هو تعطيل QScan وQTRouter المعتمدتين على النطاقات المصادرة، ووجود نشاط اختراق يعود إلى 2018 على الأقل، مع نطاق استهداف أوسع من قائمة الضحايا المعلنة. أما حجم البيانات المتأثرة، والعدد الكامل للضحايا، وهوية العميل وراء كل عملية، وقدرة QTFY على العودة ببنية جديدة، فتبقى أسئلة لم تجب عنها البيانات العامة.