FBI interrompe QScan e QTRouter, la rete cinese che nascondeva gli attacchi alle infrastrutture Usa

Il Dipartimento di Giustizia statunitense ha annunciato mercoledì l’interruzione di due piattaforme di hacking gestite da attori della minaccia cinesi. Le piattaforme, QScan e QTRouter, erano usate per colpire infrastrutture critiche e reti sensibili negli Stati Uniti. L’azione giudiziaria ha sequestrato i domini integrati nei due prodotti, causandone la cessazione delle operazioni.

Chi c’è dietro: QTFY e la società di copertura di Nanchino

L’attività è attribuita a QTFY, un gruppo statale cinese impiegato dalla Nanjing Xinjiuwei Network Technology Company. Secondo Damon Rouse, ricercatore di Lumen Black Lotus Labs, QTFY è attivo dal maggio 2018. Lumen lo segue da oltre 18 mesi e ha iniziato a collaborare con l’FBI circa un anno fa.

La società di Nanchino ha tra i propri clienti il Ministero della Sicurezza di Stato cinese e l’Esercito Popolare di Liberazione. Include ex membri del PLA e sfrutta i loro contatti per ottenere contratti legati al targeting di infrastrutture critiche. QTFY ha inoltre partecipato a reti cinesi di intermediazione freelance per acquisire e vendere exploit e accessi a reti vittima.

Il direttore dell’FBI Kash Patel ha dichiarato che gli strumenti erano usati da cyber attori della Repubblica Popolare Cinese per nascondere l’origine degli attacchi. Lumen riferisce che il targeting ha riguardato il mondo occidentale e oltre, con particolare interesse per l’accademia e la ricerca.

Le vittime: NASA, Federal Reserve, Senato e un sistema elettorale

Tra le vittime dell’attività intrusiva figurano NASA, Federal Reserve, Dipartimento dell’Energia, Dipartimento di Giustizia, Dipartimento della Salute e dei Servizi Umani, National Institutes of Health e Senato degli Stati Uniti. Attacchi recenti, fino a giugno 2026, hanno preso di mira anche un sistema elettorale statunitense.

L’infrastruttura ha consentito agli operatori di nascondere l’origine delle intrusioni mescolando traffico malevolo con traffico legittimo di proxy commerciali e dispositivi IoT compromessi. Questo ha reso difficile per i difensori identificare e tracciare l’attività.

L’architettura tecnica: QScan, QTRouter e la “operational relay box”

QScan esegue scansioni e infezioni automatiche di dispositivi IoT in tutto il mondo, aggiungendoli alla rete QTRouter. I domini sequestrati erano cablati in entrambi i prodotti. Tra questi figurano qt-proxy[.]org, mq-task.qt-proxy[.]org e mq-result.qt-proxy[.]org. I primi due fornivano compiti di scansione a nodi worker ospitati su server in leasing fuori dalla Cina; il terzo riceveva i compiti completati.

QTRouter è una rete di offuscamento del traffico in esecuzione su router con software OpenWrt personalizzato. Si autentica ai server di amministrazione www.qtproxy[.]xyz e securelink.qtproxy[.]xyz e usa Clash per stabilire connessioni proxy. La rete comprende dispositivi compromessi, servizi proxy commerciali e server privati virtuali in leasing. Permette di concatenare i nodi e mescolare il traffico malevolo con quello legittimo.

Le botnet di dispositivi compromessi sono controllate tramite tre piattaforme: Proxy Platform Management, Proxy Pool Management System e QTBotnet. QTBotnet include un server di controllo, server di controllo di secondo livello e dispositivi compromessi. Il server di controllo può lanciare attacchi DDoS ed eseguire comandi sui nodi infetti.

L’architettura distribuita comprende anche Fast Labyrinth, un livello operativo che integra infrastruttura proxy commerciale come Fastlink (fastlink.ws) in una rete di relay crittografata insieme a QTRouter. QTProxy gestisce i nodi operativi di Fast Labyrinth e consente agli operatori di usare relay preconfigurati o percorsi unici verso le entità bersaglio.

Lumen paragona l’insieme a una “operational relay box”: una maglia decentralizzata di dispositivi IoT infetti e VPS in leasing che instrada il traffico malevolo attraverso IP rotanti. Questo elude blocklist e policy basate sulla geolocalizzazione. Poiché i circuiti di transito sono procurati tramite abbonamenti legittimi a servizi proxy commerciali, i blocchi statici tradizionali non sono più sufficienti.

Il ciclo di attacco e le vulnerabilità sfruttate

Secondo l’FBI, il ciclo di attacco procede in quattro fasi. Prima QScan esegue la ricognizione contro le reti vittima. Poi vengono sfruttate vulnerabilità zero-day e N-day per ottenere l’accesso iniziale. Segue la persistenza tramite trojan di accesso remoto, web shell e credenziali legittime. Infine QTRouter consente di accedere alla rete vittima da IoT compromessi vicini, passando sotto i radar.

Le vulnerabilità zero-day citate sono tre, tutte in appliance Ivanti CSA:

• CVE-2024-8190 – command injection OS in Ivanti Cloud Services Appliance 4.6 Patch 518 e precedenti. CVSS 7.2. Richiede privilegi admin per l’esecuzione remota di codice.
• CVE-2024-8963 – path traversal in Ivanti CSA prima della Patch 519 della 4.6. CVSS 9.4. Un attaccante remoto non autenticato può accedere a funzionalità ristrette.
• CVE-2024-9380 – command injection OS nella console web admin di Ivanti CSA prima della 5.0.2. CVSS 7.2. Richiede privilegi admin per l’esecuzione remota di codice.

Le N-day sfruttate includono:

• CVE-2018-13379 in Fortinet SSL-VPN (FortiOS 6.0.0–6.0.4, 5.6.3–5.6.7, 5.4.6–5.4.12 e FortiProxy 2.0.0, 1.2.0–1.2.8, 1.1.0–1.1.6, 1.0.0–1.0.7). Un attaccante non autenticato può scaricare file di sistema tramite richieste HTTP sul portale SSL VPN.
• CVE-2019-19781 in Citrix ADC e Gateway 10.5, 11.1, 12.0, 12.1 e 13.0. Directory traversal.
• CVE-2021-26855 in Microsoft Exchange Server 2013. Esecuzione remota di codice.
• CVE-2020-5902 in F5 BIG-IP, CVE-2019-10068 in Kentico CMS, CVE-2021-44228 in Apache Log4j, CVE-2023-22515 in Atlassian Confluence, CVE-2024-24919 in Check Point Quantum Gateway, CVE-2025-31161 in CrushFTP e CVE-2026-1731 in BeyondTrust Remote Support.

Per le CVE elencate oltre le prime tre, le versioni esatte non sono state comunicate dall’FBI. Tutte le CVE dettagliate hanno punteggi CVSS v3 compresi tra 7.2 e 9.8; diverse sono critiche e permettono esecuzione remota di codice, path traversal o accesso non autorizzato.

Vulnerabilità nel catalogo KEV: scadenze e azioni

Molte delle CVE citate sono nel catalogo Known Exploited Vulnerabilities della CISA. Le date di inserimento e le scadenze di remediation per le agenzie federali USA sono:

• CVE-2018-13379, CVE-2019-19781 e CVE-2021-26855: nel KEV dal 3 novembre 2021, scadenza 3 maggio 2022. Tutte risultano usate in campagne ransomware.
• CVE-2019-10068: nel KEV dal 25 marzo 2022, scadenza 15 aprile 2022.
• CVE-2020-5902: nel KEV dal 3 novembre 2021, scadenza 3 maggio 2022. Risulta usata in campagne ransomware.
• CVE-2024-8190: nel KEV dal 13 settembre 2024, scadenza 4 ottobre 2024.
• CVE-2024-8963: nel KEV dal 19 settembre 2024, scadenza 10 ottobre 2024.
• CVE-2024-9380: nel KEV dal 9 ottobre 2024, scadenza 30 ottobre 2024.

Per le tre vulnerabilità Ivanti CSA, la CISA indica un’azione specifica: poiché Ivanti CSA 4.6.x ha raggiunto lo stato End-of-Life, gli utenti devono rimuovere CSA 4.6.x dal servizio o passare alla linea 5.0.x supportata. Le future vulnerabilità sulla 4.6.x difficilmente riceveranno aggiornamenti di sicurezza.

Le prime tre CVE risultano usate in campagne ransomware. La loro correzione è quindi prioritaria anche al di fuori del perimetro federale.

Cosa devono fare le organizzazioni

Le azioni immediate dipendono dai prodotti esposti. Per le CVE nel catalogo KEV, l’indicazione generale è applicare gli aggiornamenti del vendor. Per Ivanti CSA 4.6.x, la mitigazione richiesta è la rimozione dal servizio o l’aggiornamento alla linea 5.0.x. Le scadenze federali sono già trascorse, ma le organizzazioni private dovrebbero trattarle come riferimento per la priorità.

L’FBI ha interrotto i domini principali, ma i difensori non devono abbassare la guardia. L’infrastruttura distribuita di QTFY può essere ricostruita su nuovi domini. Lumen sottolinea l’elevata industrializzazione delle operazioni cyber cinesi: il passaggio da configurazioni frammentate a reti multi-tenant condivise consente campagne complesse con forte anonimato, velocità e scala globale.

Non è un caso isolato. Negli ultimi 90 giorni è entrata nel catalogo KEV anche CVE-2026-10520, che coinvolge gli stessi vendor presenti in questa campagna: Ivanti, Kentico e Citrix. La sequenza indica una pressione costante su appliance edge e soluzioni di accesso remoto. Chi gestisce questi prodotti deve verificare le versioni, applicare le patch e rimuovere i sistemi fuori supporto.