Sequestrate le piattaforme cinesi QScan e QTRouter, usate per colpire agenzie USA

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato mercoledì 26 agosto 2026 il sequestro di QScan e QTRouter, due piattaforme gestite dalla società cinese Nanjing Xinjiuwei Network Technology Company. Erano impiegate da hacker governativi cinesi, in particolare dal Ministero della Sicurezza di Stato (MSS) e dall'Esercito Popolare di Liberazione (PLA), per violare agenzie federali e reti sensibili. Il gruppo noto come QTFY ha utilizzato questi strumenti dal 2018 per colpire infrastrutture critiche statunitensi e obiettivi in tutto il mondo.

Il sequestro e il gestore cinese

L'operazione di takedown ha preso di mira i domini hard-coded nelle due piattaforme. QScan e QTRouter dipendevano da questi indirizzi per attività essenziali come comunicazione e autenticazione. Il sequestro dei domini ha reso inoperabili entrambe le piattaforme. Nanjing Xinjiuwei Network Technology Company, con sede in Cina, vendeva dati rubati e servizi di hacking ad agenzie militari e di intelligence cinesi. L'FBI ha riferito che QTFY opera all'interno di una complessa rete di hacker a contratto e clienti governativi in Cina. L'FBI ha inoltre dichiarato che QTFY aveva clienti non specificati anche al di fuori del governo cinese.

Come funzionavano QScan e QTRouter

QScan era una piattaforma di scansione e infezione automatica di dispositivi Internet of Things. Individuava router domestici, telecamere di sicurezza e altri dispositivi smart vulnerabili in tutto il mondo, li infettava in massa e li aggregava in una botnet. QTRouter fungeva da rete di offuscamento. Permetteva di mascherare l'origine degli attacchi, facendoli apparire come provenienti da dispositivi infetti o da altri Paesi. In alcuni casi simulava attacchi locali, complicando l'attribuzione. L'FBI ha dichiarato che QTFY ha sfruttato dispositivi in più di 130 Paesi. La combinazione delle due piattaforme consentiva di scansionare, infettare e poi instradare il traffico malevolo attraverso la botnet, nascondendo la vera sorgente.

Le vittime: agenzie federali e infrastrutture critiche

Le agenzie violate includono la Federal Reserve, il Dipartimento dell'Energia, lo stesso Dipartimento di Giustizia, il Senato USA, la NASA, il Dipartimento della Salute e dei Servizi Umani e i National Institutes of Health. Sono stati colpiti anche ospedali, fornitori di telecomunicazioni, aziende elettriche, istituzioni finanziarie e appaltatori della difesa. L'impatto si estende ben oltre gli Stati Uniti: i dispositivi infetti in oltre 130 Paesi sono stati usati come nodi della botnet e per offuscare gli attacchi. Non è stata fornita una stima del numero totale di dispositivi compromessi. Non è noto se i singoli dati rubati siano stati divulgati o rivenduti.

Le indagini dal 2018 all'attacco al Senato

Le indagini sull'infrastruttura QTFY sono iniziate nel 2018. Uno dei primi incidenti esaminati dall'FBI risale al 2019, quando gli aggressori hanno tentato di sfruttare una vulnerabilità in Pulse Secure VPN contro la NASA. Gli indirizzi IP usati sono stati ricondotti a località e indirizzi email in Cina. Le indagini sono proseguite fino a un attacco al Senato USA avvenuto quest'anno. Non è stato specificato se siano stati presi di mira singoli senatori o comitati. La continuità delle operazioni, dal 2018 al 2026, indica una campagna prolungata e organizzata.

Effetti del takedown e precedenti operazioni

Il sequestro dei domini hard-coded ha interrotto comunicazione e autenticazione, rendendo QScan e QTRouter inutilizzabili. Non è stato chiarito se le autorità abbiano ripulito i dispositivi già infetti. Le organizzazioni dovrebbero considerare una verifica dei propri dispositivi IoT per eventuali compromissioni residue, anche se non sono state comunicate mitigazioni specifiche. In passato, l'FBI e il Dipartimento di Giustizia hanno ottenuto ordini di tribunale per rimuovere malware da dispositivi compromessi da hacker cinesi e russi. L'anno scorso l'FBI ha rimosso il malware di sorveglianza PlugX da migliaia di computer negli Stati Uniti. Nel 2024 ha interrotto botnet gestite da operazioni governative cinesi note come Volt Typhoon e Flax Typhoon. Il sequestro di QScan e QTRouter si inserisce in questa serie di azioni di contrasto alle campagne informatiche sponsorizzate da Stati.