كيف تحولت أجهزة IoT وVPN إلى بنية تحتية للتجسس على مؤسسات أمريكية حساسة؟

لم تكن القضية مجرد مجموعة مخترقين تبحث عن خادم مكشوف على الإنترنت، ولا حملة قصيرة تعتمد على عنوان واحد يمكن حظره وانتهاء المشكلة.

بحسب وزارة العدل الأمريكية ومكتب التحقيقات الفيدرالي، فإن مجموعة اختراق مرتبطة بجهات صينية اعتمدت لسنوات على شبكة واسعة من الأجهزة المخترقة وخدمات البروكسي التجارية لإخفاء مصدر نشاطها والوصول إلى مؤسسات حكومية وقطاعات بنية تحتية حساسة داخل الولايات المتحدة.

العملية التي أعلن عنها الجانب الأمريكي استهدفت أداتين تحملان الاسمين:

QScan
QTRouter

لكن أهمية القضية لا تكمن في أسماء الأدوات نفسها، بل في النموذج التشغيلي الذي تقف خلفه.

المهاجم لا يحتاج دائماً إلى تشغيل بنيته التحتية الخاصة من الصفر. أحياناً تكون البنية الأكثر فعالية هي تلك التي يملكها الآخرون بالفعل: جهاز IoT ضعيف الحماية، خادم VPS مستأجر، أو حتى خدمة VPN يستخدمها مستخدمون عاديون.

عندما تمر حركة المهاجم عبر هذه الطبقات، يصبح السؤال الدفاعي أكثر تعقيداً:

هل الاتصال الذي نراه هو فعلاً مصدر الهجوم، أم مجرد محطة وسيطة داخل شبكة أوسع؟

وهنا تبدأ القصة.

#ما الذي أعلن عنه FBI ووزارة العدل؟

وفقاً للمعلومات التي أعلنتها وزارة العدل الأمريكية واستندت فيها إلى إفادة من FBI، تم تعطيل بنية تحتية مرتبطة بأداتَي QScan وQTRouter، واللتين قالت السلطات إنهما استُخدمتا من قبل مجموعة صينية مدعومة من الدولة تُعرف باسم:

QTFY

وربطت السلطات المجموعة بشركة صينية تحمل اسم:

Nanjing Xinjiuwei Network Technology Company

وبحسب الادعاءات الأمريكية، وفرت الشركة بنية تحتية تسمح لعملائها باستخدام شبكات من أجهزة IoT المخترقة، إلى جانب خدمات بروكسي تجارية وخوادم افتراضية، لإخفاء المصدر الحقيقي لحملات الاختراق.

السلطات الأمريكية قالت أيضاً إن من بين الجهات التي استفادت من هذه القدرات جهات مرتبطة بوزارة أمن الدولة الصينية والجيش الصيني.

هذه النقطة مهمة تقنياً، لأنها تنقل النموذج من مجرد "مجموعة اختراق تستخدم بروكسي" إلى نموذج أكثر تنظيماً يشبه توفير بنية هجومية كخدمة.

#كيف تعمل الفكرة تقنياً؟

يمكن تبسيط المسار بالشكل التالي:

Attacker
   |
   v
Compromised IoT / VPN / Commercial Proxy
   |
   v
QTRouter-managed infrastructure
   |
   v
Target Organization
   |
   v
Scanning / Exploitation / Espionage

المؤسسة المستهدفة لا ترى بالضرورة عنوان المهاجم الحقيقي.

بدلاً من ذلك، قد ترى اتصالاً قادماً من جهاز IoT منزلي، أو خادم VPS تجاري، أو عقدة VPN تبدو لأول وهلة جزءاً من حركة إنترنت طبيعية.

هذه الطبقة من الإخفاء تمنح المهاجم عدة فوائد في آن واحد.

أولاً، تقل قيمة الاعتماد على الحظر المباشر لعناوين الشبكة. وثانياً، يصبح ربط عدة حوادث ببنية هجومية واحدة أكثر صعوبة. وثالثاً، يستطيع المهاجم تغيير نقاط الخروج بسرعة عندما يتم اكتشاف جزء من بنيته.

#دور QScan: البحث عن الأجهزة التي يمكن تحويلها إلى عقد هجومية

بحسب Lumen Black Lotus Labs وFBI، صُممت أداة QScan للبحث عن ثغرات في أجهزة IoT المتصلة بالإنترنت.

الفكرة ليست جديدة في عالم الهجمات، لكن خطورتها تظهر عندما يتم تحويل عملية الفحص إلى سلسلة مستمرة من اكتشاف الأجهزة الضعيفة ثم ضمها إلى بنية بروكسي موزعة.

يمكن تصور دورة العمل بالشكل التالي:

Internet-wide Scanning
        |
        v
Identify Vulnerable IoT
        |
        v
Compromise Device
        |
        v
Add Device to Proxy Botnet
        |
        v
Use Device as Relay

في هذه الحالة، الجهاز المصاب لا يُستخدم فقط كهدف تم اختراقه، بل يتحول إلى مورد داخل البنية التحتية للمهاجم.

وهذا يغيّر طريقة قراءة الحدث أمنياً.

الضحية الأولى قد تكون جهازاً صغيراً ضعيف الحماية، بينما الضحية النهائية قد تكون وزارة أو منشأة طاقة أو مؤسسة مالية.

#دور QTRouter: إدارة الوصول إلى شبكة البروكسي

إذا كان QScan يساعد في اكتشاف الأجهزة القابلة للاختراق، فإن QTRouter يمثل الطبقة التي تُسهّل استخدام هذه الشبكة كمنظومة توجيه وإخفاء.

بحسب ما ورد في القضية، كانت الخدمة تدير وصول العملاء إلى شبكة من الأجهزة المصابة، إضافة إلى شبكة من خدمات البروكسي التجارية وخوادم VPS.

عملياً، يمكن النظر إلى QTRouter كطبقة تنظيم بين المستخدم النهائي للبنية وبين نقاط الخروج المنتشرة على الإنترنت.

Operator
   |
   v
QTRouter
   |
   +--> Compromised IoT Node
   |
   +--> Commercial Proxy
   |
   +--> VPS
   |
   +--> VPN Exit Node

هذه المرونة تعني أن المهاجم لا يرتبط ببنية واحدة ثابتة.

إذا أصبحت مجموعة من العناوين معروفة، يمكن التحول إلى عقد أخرى.

وإذا بدأت فرق الدفاع في تصنيف حركة بعض خوادم VPS كمشبوهة، يمكن استخدام أجهزة IoT أو خدمات VPN تبدو أقرب إلى حركة المستخدمين العاديين.

#الانتقال إلى VPN جعل التمييز أصعب

أحد أكثر أجزاء القضية إثارة للاهتمام هو ما ذكره الباحثون عن انتقال المجموعة خلال العام الأخير إلى استغلال خدمات VPN يستخدمها مواطنون صينيون لتجاوز منظومة الرقابة المعروفة باسم:

Great Firewall

هنا تظهر مشكلة دفاعية مختلفة.

بدلاً من مرور النشاط الهجومي عبر عقد مخصصة يسهل ربطها بالبنية المعادية، يتم خلط الحركة الضارة مع حركة مستخدمين شرعيين.

النتيجة هي نوع من الضوضاء التشغيلية.

Legitimate VPN Traffic
        +
Malicious State-Sponsored Traffic
        |
        v
Shared Exit Infrastructure

بالنسبة لفرق SOC، هذا النوع من البنية يقلل فاعلية القرارات المبنية فقط على السمعة أو الموقع الجغرافي أو عنوان المصدر.

عنوان الشبكة قد يكون مشبوهاً اليوم، شرعياً غداً، أو يستخدم في اللحظة نفسها لنشاطين مختلفين تماماً.

وهذا يفسر لماذا تصبح الرؤية السلوكية والسياقية أكثر أهمية من مجرد الاعتماد على مؤشرات ثابتة.

#الجهات التي قالت السلطات إنها تعرضت للاختراق

بحسب وزارة العدل الأمريكية، شملت قائمة المؤسسات الحكومية التي تم اختراقها جهات عالية الحساسية، من بينها:

كما أشارت إفادة FBI إلى استهداف قطاعات أخرى تشمل:

Power Companies
Telecommunications Providers
Hospitals
Financial Institutions
Defense Contractors

لكن من المهم التفريق بين "الاستهداف" و"الاختراق الناجح".

المعلومات المنشورة لا تؤكد أن جميع الجهات والقطاعات المذكورة تعرضت للاختراق بدرجة واحدة، ولا توضح بالضرورة مستوى الوصول الذي تحقق داخل كل مؤسسة.

هذا التفريق أساسي عند قراءة أي تقرير تهديدات أو حدث سيبراني كبير.

#لماذا تعتبر هذه البنية أكثر خطورة من Proxy تقليدي؟

البروكسي التقليدي غالباً ما يكون خادماً معروفاً يستخدم لإعادة توجيه الاتصال.

أما النموذج المستخدم هنا فيجمع عدة مصادر مختلفة:

Compromised IoT
Commercial Proxy
VPS
VPN Infrastructure

وهذا يخلق بنية هجينة.

الميزة للمهاجم أن كل طبقة لها خصائص مختلفة.

أجهزة IoT قد تمنح انتشاراً جغرافياً واسعاً.

خوادم VPS تمنح مرونة وسهولة في الاستئجار والتغيير.

خدمات VPN تمنح غطاءً داخل حركة تبدو طبيعية.

أما المنظومة الإدارية مثل QTRouter فتسمح بتحويل هذه العناصر إلى شبكة تشغيلية واحدة.

#من منظور SOC: لماذا تفشل بعض أساليب الكشف التقليدية؟

إذا كان قرار الكشف مبنياً فقط على:

Source IP Reputation
Geo-IP
Known Malicious ASN
Static IOC Blocklists

فإن المهاجم الذي يستطيع تدوير نقاط الخروج باستمرار سيجعل هذه المؤشرات قصيرة العمر.

المشكلة هنا ليست أن مؤشرات الاختراق عديمة القيمة، بل أن عمرها التشغيلي قد يكون محدوداً جداً.

قد تحظر المؤسسة عنواناً معيناً، بينما ينتقل المهاجم بعد دقائق أو ساعات إلى عقدة أخرى لا تحمل أي سجل سيئ سابقاً.

لذلك يصبح السياق أكثر أهمية:

Authentication Pattern
Request Sequence
Scanning Behavior
Exploit Attempts
Unusual User-Agent
Session Timing
Lateral Movement Indicators
Repeated Access Across Multiple Source IPs

عندما تتغير نقطة المصدر بينما يبقى السلوك ثابتاً، يمكن للمنظومة الدفاعية ربط الأحداث على أساس النمط بدلاً من العنوان فقط.

#من منظور Threat Intelligence: البنية التحتية نفسها تصبح هدفاً للتحليل

في حملات التجسس المتقدمة، لا يكون السؤال فقط:

Which malware was used?

بل أيضاً:

Who provides the infrastructure?
How are proxy nodes acquired?
How are they managed?
What domains coordinate them?
Which providers are repeatedly abused?
How quickly does the operator rotate infrastructure?

القضية توضح أن تحليل البنية التحتية قد يكشف أحياناً عن طبقة أعمق من الحملة نفسها.

فإذا كانت عدة مجموعات أو جهات تستخدم المورد نفسه، فإن تعطيل المورد قد يؤثر في أكثر من عملية منفردة.

وهذا يفسر وصف الباحثين للشركة المرتبطة بالشبكة بأنها أشبه بـ"مموّن" أو Quartermaster لعمليات الاختراق.

#كيف عطلت السلطات البنية التحتية؟

قالت وزارة العدل وFBI إن عملية التعطيل اعتمدت على الاستيلاء على نطاقات رئيسية كانت مضمّنة داخل أداتَي:

QScan
QTRouter

هذه النقطة شديدة الأهمية تقنياً.

عندما يعتمد برنامج أو أداة تشغيلية على نطاقات ثابتة Hardcoded Domains، فإن السيطرة على تلك النطاقات قد تكسر سلسلة الاتصال أو تمنع الأدوات من الوصول إلى مكوناتها المركزية.

إضافة إلى ذلك، قالت Lumen إنها قامت بعملية:

Null Routing

لبعض النطاقات المستخدمة في البنية.

في Null Routing يتم توجيه الحركة إلى مسار لا يصل إلى وجهته الفعلية، ما يؤدي عملياً إلى جعل الاتصال غير قابل للاستخدام.

يمكن تصور أثر العملية بالشكل التالي:

QTRouter / QScan
        |
        v
Hardcoded Domain
        |
        X  Domain Seized / Null-Routed
        |
        v
Infrastructure Unreachable

الهدف هنا ليس حذف كل جهاز مصاب على الإنترنت، بل قطع نقاط التنسيق والوصول التي تجعل الشبكة قابلة للاستخدام كمورد هجومي.

#هل كانت الحملة تستهدف التخريب أم التجسس؟

أحد الأسئلة المهمة هو ما إذا كانت هذه العمليات مرتبطة بحملات تهدف إلى تعطيل البنية التحتية الأمريكية في حال حدوث أزمة أو صراع.

بحسب الباحث Damon Rouse من Black Lotus Labs، فإن النشاط الذي تمت مشاهدته لا يبدو متداخلاً مباشرة مع حملة:

Volt Typhoon

والتي ارتبطت في تقارير أمريكية بمحاولات بناء موطئ قدم داخل قطاعات بنية تحتية يمكن استخدامها لاحقاً في سيناريوهات تعطيل.

في المقابل، النشاط المرتبط بـQTFY ظهر، ضمن الرؤية المتاحة للباحثين، أقرب إلى عمليات تجسس وجمع معلومات واسعة النطاق.

وهذا يضع الحملة ضمن نمط تقليدي من الاستخبارات السيبرانية:

Reconnaissance
Access
Persistence
Collection
Exfiltration
Operational Obfuscation

لكن غياب الدليل العلني على هدف تخريبي لا يعني أن الوصول إلى البنية التحتية الحساسة يصبح أقل أهمية.

مجرد القدرة على الوصول، وجمع المعلومات، وفهم الشبكات والأنظمة الداخلية، يمكن أن تمثل قيمة استخباراتية كبيرة على المدى الطويل.

#الزاوية التي تهم GRC: الخطر لا يتوقف عند حدود المؤسسة

هذه القضية تكشف مشكلة جوهرية في مفهوم المخاطر الرقمية.

قد تكون المؤسسة ملتزمة بضوابطها الداخلية، لكن حركة التهديد تمر عبر بنية خارجية لا تملك المؤسسة السيطرة عليها.

من منظور GRC، لا يتعلق المشهد فقط بثغرة تقنية أو عنوان ضار، بل بعدة طبقات مترابطة من المخاطر:

المغزى هنا أن المخاطر السيبرانية لا تتبع دائماً الحدود التنظيمية التي رسمتها المؤسسة لنفسها.

قد يبدأ المسار من جهاز صغير في منزل، يمر عبر شبكة VPN، ثم يصل إلى جهة حكومية أو قطاع حرج.

#لماذا تعتبر أجهزة IoT نقطة جذابة لهذا النوع من العمليات؟

أجهزة IoT غالباً ما تجمع عدداً من الخصائص التي تجعلها مناسبة كبنية بروكسي خفية:

Always Online
Weak Patch Management
Default or Reused Credentials
Limited Monitoring
Long Replacement Cycles
Direct Internet Exposure

الجهاز قد يظل متصلاً بالإنترنت لسنوات دون أن يراقبه أحد بنفس مستوى مراقبة الخوادم أو الحواسيب.

وفي كثير من الحالات، إذا استُخدم الجهاز كبروكسي فقط ولم يظهر عليه سلوك واضح للمستخدم، فقد يستمر الاختراق فترة طويلة.

هذه الخاصية تجعل IoT Botnets أداة لا تقتصر على هجمات DDoS.

يمكن استخدامها أيضاً كطبقة إخفاء وتوجيه لحملات أكثر حساسية.

#عندما يصبح السلوك أهم من عنوان IP

هذه الحملة تعيد طرح قاعدة أصبحت أكثر وضوحاً في الدفاع السيبراني الحديث:

IP Address != Attacker Identity

عنوان الشبكة يحدد نقطة خروج الاتصال، لكنه لا يثبت بالضرورة هوية الجهة التي تقف خلفه.

إذا كان المهاجم يستخدم:

Compromised Router
VPN Node
Residential Proxy
Commercial VPS
Hijacked IoT Device

فإن حظر العنوان يعالج نقطة واحدة من السلسلة، وليس أصل النشاط.

التحليل الأقوى يأتي من ربط السلوك مع الزمن، والبصمة التقنية، وطريقة الفحص، ونمط الاستغلال، والأنظمة المستهدفة، والبنية المرتبطة بالنطاقات.

#لماذا تعتبر عملية التعطيل مهمة رغم أن المهاجمين سيعودون؟

قال الباحثون بوضوح إنهم يتوقعون أن تتكيف المجموعة وتعيد بناء بنية جديدة.

هذا أمر منطقي.

البنية التحتية السيبرانية قابلة للاستبدال، خصوصاً عندما يمتلك المشغل الخبرة والتمويل والعلاقات التي تسمح له باستئجار خدمات أو اختراق أجهزة جديدة.

لكن عملية التعطيل تظل مؤثرة لعدة أسباب.

هي تكشف جزءاً من البنية أمام المجتمع الأمني.

تجبر المشغلين على تغيير أدوات ونطاقات وعلاقات تشغيلية.

تكشف لعملاء البنية أن المورد أصبح معروفاً ومراقباً.

وتمنح المدافعين مؤشرات جديدة لفهم النشاط التاريخي وربط الأحداث ببعضها.

أي أن قيمة العملية لا تقاس فقط بعدد الخوادم التي توقفت، بل بكمية الرؤية الاستخباراتية التي أصبحت متاحة حول طريقة العمل.

#المشهد الأوسع: البنية التحتية أصبحت جزءاً من السلاح

في الهجمات المتقدمة، لا تكفي البرمجيات الخبيثة وحدها.

المهاجم يحتاج إلى:

Access Infrastructure
Proxy Infrastructure
Command-and-Control
Scanning Capacity
Credential Infrastructure
Hosting
Operational Security

وهذا يعني أن البنية التي تحمل الهجوم أصبحت بحد ذاتها جزءاً من القدرة الهجومية.

قضية QScan وQTRouter توضح كيف يمكن دمج أجهزة مخترقة وخدمات تجارية وشبكات VPN في طبقة واحدة تخفي النشاط وتمنحه القدرة على الحركة والتغير.

بالنسبة للمهاجم، هذه مرونة تشغيلية.

وبالنسبة للمدافع، هي مشكلة Attribution ورؤية وتحليل مستمر.

#الخلاصة

القضية لا تحكي فقط عن أداتين تم تعطيلهما.

هي تكشف نموذجاً أوسع لعمليات التجسس السيبراني الحديثة، حيث لا يكون مصدر الهجوم خادماً واضحاً في دولة معينة، بل شبكة من أجهزة وخدمات موزعة حول العالم.

QScan ساعد في البحث عن أجهزة يمكن استغلالها.

QTRouter وفر طبقة لإدارة واستخدام شبكة البروكسي.

أجهزة IoT وخوادم VPS وخدمات VPN تحولت إلى نقاط عبور.

وفي الجهة المقابلة، كانت أهداف الحملة مؤسسات حكومية وقطاعات حيوية ذات قيمة استخباراتية كبيرة.

تعطيل النطاقات قد يوقف البنية الحالية، لكن القصة الأهم هي أن هذا النوع من الخصوم لا يعتمد على عنوان واحد أو خادم واحد أو أداة واحدة.

هو يعتمد على القدرة على استبدال البنية، إعادة توزيع الحركة، والاختباء داخل حركة تبدو طبيعية.

وفي عالم كهذا، يصبح فهم "كيف يتحرك المهاجم" أهم من معرفة "من أي عنوان وصل".