SAD zaplenio domene botneta povezanog sa napadima na NASA-u
FBI je zaplenio više domena botneta za koji Ministarstvo pravde SAD tvrdi da ga je kineska grupa QTFY koristila za koordinaciju i pokretanje sajbernapada na američke ciljeve. Mreža je obuhvatala hiljade kompromitovanih uređaja povezanih na internet, a napadi datiraju od 2018. godine i zahvatili su NASA-u, Federalne rezerve, kao i resore energetike, pravde i zdravlja SAD.
U sudskom zahtevu za zaplenu navedeno je i da je američki Senat kompromitovan još 2026. godine. Među metama su bili bolnice, odbrambeni izvođači i federalne institucije, što pokazuje širinu sektora koje su operateri botneta nastojali da dosegnu.
Domene kao ključ komandne infrastrukture
Ministarstvo pravde saopštilo je da su zaplenjeni domeni bili ugrađeni u kod botneta i neophodni za komunikaciju sa njegovim komandno-upravljačkim serverima. Zbog toga je zaplena, prema navodima vlasti, učinila botnet i njegove kontrolne servere neoperativnim.
Ovakva intervencija ne uklanja automatski sve kompromitovane uređaje, ali operatorima oduzima platforme preko kojih su uređaji dobijali instrukcije i održavali vezu sa infrastrukturom za upravljanje. Tehnički efekat zavisi upravo od oslanjanja malvera na unapred definisane domene.
QTFY i kompanija Nanjing Xinjiuwei Network Tech
Tužioci navode da je grupom QTFY upravljala kineska kompanija Nanjing Xinjiuwei Network Tech, koja je kreirala i održavala botnet. Prema saopštenju Ministarstva pravde, QTFY je pružao usluge računarskog hakovanja klijentima, među kojima su bili hakeri povezani sa kineskim Ministarstvom državne bezbednosti.
Botnet je korišćen i kao mreža za prikrivanje saobraćaja. Takva infrastruktura otežava otkrivanje napadača jer zlonamerne aktivnosti mogu izgledati kao da potiču sa velikog broja prethodno preuzetih uređaja, a ne iz stvarne operativne infrastrukture napadača.
Šta organizacije mogu da izvuku iz slučaja
Mrežna kompanija Lumen navela je da je tokom prethodne godine pratila profilisanje i ciljanje državnih agencija, sektora odbrane i vazduhoplovstva, kao i drugih organizacija, te da je podatke o pretnjama podelila sa FBI-jem. Slučaj povezuje tehničko praćenje pretnji sa pravnim merama protiv infrastrukture kojom se napadi podržavaju.
Za poslovanje je praktičan zaključak da uređaji povezani na internet moraju biti redovno ažurirani, evidentirani i nadzirani, dok neuobičajene izlazne veze zahtevaju brzu proveru. Kontrola komunikacije sa sumnjivim domenima i razmena podataka o pretnjama mogu ograničiti zloupotrebu kompromitovane opreme pre nego što postane deo šire napadačke mreže.