O FBI e o Departamento de Justiça desligaram duas plataformas de hacking ligadas a um grupo patrocinado pelo Estado chinês, apreendendo três domínios da internet que serviam como base para o que autoridades descreveram como uma extensa operação de espionagem cibernética direcionada às redes do governo dos EUA e infraestrutura crítica.
As plataformas, conhecidas como QScan e QTRouter, supostamente operadas por um grupo chamado QTFY, foram ligadas pelas autoridades dos EUA a funcionários da Nanjing Xinjiuwei Network Technology Company. Ao assumir o controle dos domínios, as autoridades tornaram efetivamente ambas as plataformas inoperantes, pois o malware dependia desses domínios para comunicação e autenticação.
Uma operação de hacking-como-serviço em escala industrial
O escopo da operação não foi sutil. Em um único dia em maio de 2024, o QScan executou mais de 2 milhões de tarefas de varredura e exploração, explorando uma vulnerabilidade no software da Check Point para comprometer mais de 300 organizações dos EUA em uma única ação.
A QTFY supostamente ofereceu hacking como serviço a entidades governamentais chinesas, incluindo o Ministério da Segurança do Estado e o Exército de Libertação Popular. O grupo utilizou dispositivos da Internet das Coisas comprometidos e redes proxy comerciais para mascarar suas atividades, tornando a detecção significativamente mais difícil para os defensores. Sua lista de alvos inclui a NASA, o Federal Reserve, o Senado dos EUA e inúmeras outras organizações críticas.
As atividades do grupo QTFY remontam a pelo menos 2018, o que significa que operaram por aproximadamente oito anos antes desta ação de fiscalização específica.
Parte de uma repressão mais ampla
O diretor do FBI, Kash Patel, caracterizou a apreensão como uma interrupção crítica de um botnet global utilizado por hackers patrocinados pelo Estado chinês.
Esta operação encaixa-se em um padrão de ações dos EUA em escala crescente contra ameaças cibernéticas ligadas à RPC. Operações anteriores desmantelaram a botnet Flax Typhoon e removeram o malware PlugX de mais de 4.000 computadores nos EUA.
A embaixada chinesa e a empresa Nanjing Xinjiuwei Network Technology não responderam publicamente às alegações. Pequim historicamente negou envolvimento em ataques patrocinados pelo estado, uma posição que se tornou cada vez mais difícil de manter à medida que promotores dos EUA acumulam acusações e evidências técnicas ligando empresas e indivíduos específicos a campanhas de intrusão.