O Departamento de Justiça dos Estados Unidos (DoJ) anunciou, na quarta-feira, a desarticulação de duas plataformas de hacking chamadas QScan e QTRouter, operadas por threat actors chineses para atingir infraestrutura crítica e outras redes sensíveis no país.
O FBI também desarticulou a infraestrutura associada a um “quartermaster” técnico que fornecia capacidades de reconhecimento, gerenciamento de proxies e roteamento operacional para atividades de espionagem cibernética ligadas à China. A atividade foi atribuída ao grupo patrocinado pelo Estado chinês conhecido como QTFY, empregado pela Nanjing Xinjiuwei Network Technology Company (南京鑫玖维网络科技有限公司).
A Black Lotus Labs, braço de pesquisa de ameaças da Lumen Technologies, vinha monitorando essa infraestrutura há mais de 18 meses e colaborou com o FBI no caso QTFY cerca de um ano atrás. Segundo os pesquisadores, o provedor operava um serviço reutilizável composto por quatro elementos operacionais distintos: QScan, Fast Labyrinth, QTRouter e QTProxy.
Entre as vítimas da atividade de intrusão cibernética do QTFY estão a National Aeronautics and Space Administration, o Federal Reserve, o Department of Energy, o Department of Justice, o Department of Health and Human Services, o National Institutes of Health e o Senado dos Estados Unidos, disse o DoJ.
QScan é o componente de reconhecimento que identifica e perfilha alvos de alto valor, coletando portas abertas, banners de aplicativos, impressões digitais do sistema operacional e dados de configuração. O FBI informou ainda que a ferramenta faz varredura e infecta automaticamente dispositivos IoT no mundo todo, adicionando-os à rede QTRouter. O QScan foi associado a vários domínios, incluindo qt-proxy[.]org, mq-task.qt-proxy[.]org, antes mq-task.qt-team[.]com, e mq-result.qt-proxy[.]org, antes mq-result.qt-team[.]com.
Fast Labyrinth é a camada operacional que incorpora infraestrutura comercial de proxy, como fastlink.ws, em uma rede de relay criptografada junto com o QTRouter, ocultando o tráfego de e para as entidades-alvo. QTProxy, por sua vez, é a ferramenta de gerenciamento que permite aos usuários selecionar retransmissores, configurar rotas personalizadas e criar caminhos exclusivos até as vítimas. Já o QTRouter, segundo o FBI, opera como uma rede de ocultação de tráfego em roteadores com software OpenWrt personalizado e autentica-se em servidores de administração localizados em www.qtproxy[.]xyz e securelink.qtproxy[.]xyz.
Damon Rouse, pesquisador de segurança da Lumen Black Lotus Labs, que acompanha a atividade há mais de 18 meses, disse ao The Hacker News que o quartermaster digital está ativo desde maio de 2018. A Nanjing tem tanto o Ministério da Segurança do Estado da China (MSS) quanto o Exército de Libertação Popular (PLA) entre seus clientes.
“O alvo se estendia por todo o Ocidente e além, especialmente no meio acadêmico”, acrescentou a empresa. “Eles simplesmente adoram atingir comunidades de pesquisa, dada a natureza colaborativa da ciência avançada.”
O FBI afirmou que o QScan é usado para explorar dispositivos IoT vulneráveis e identificar fraquezas nas redes das vítimas, enquanto o QTRouter é formado tanto pelos dispositivos comprometidos quanto por serviços comerciais de proxy e servidores privados virtuais (VPS) alugados. Na prática, a rede permite que o QTFY e outros atores cibernéticos chineses escondam a verdadeira origem das intrusões, dando a impressão de que as comunicações vêm de endpoints geolocalizados fora da China e possivelmente próximos das redes atacadas.
As botnets de dispositivos invadidos são comandadas por meio de três plataformas principais: Proxy Platform Management, Proxy Pool Management System e QTBotnet. A última inclui um servidor controlador, servidores de controle de segundo nível para manter a comunicação entre o servidor principal e os dispositivos comprometidos, além dos próprios dispositivos infectados. O servidor de controle também consegue lançar ataques DDoS e executar comandos nos nós infectados.
A infraestrutura foi usada para mapear e roubar dados de organizações militares e de defesa dos EUA, redes governamentais, universidades e instituições de pesquisa, organizações aeroespaciais e de bioinformática, empresas de saúde, companhias financeiras, infraestruturas críticas, empresas de energia e fornecedores de software corporativo.
O ciclo completo do ataque inclui usar o QScan para fazer reconhecimento das redes das vítimas, explorar vulnerabilidades zero-day, como
CVE-2024-8190
,
CVE-2024-8963
e
CVE-2024-9380
em appliances Ivanti CSA, e vulnerabilidades N-day, como
CVE-2018-13379
em Fortinet SSL-VPN,
CVE-2019-19781
em Citrix ADC,
CVE-2021-26855
em Microsoft Exchange Server,
CVE-2020-5902
em F5 BIG-IP,
CVE-2019-10068
em Kentico CMS,
CVE-2021-44228
em Apache Log4j,
CVE-2023-22515
em Atlassian Confluence,
CVE-2024-24919
em Check Point Quantum Gateway,
CVE-2025-31161
em CrushFTP e
CVE-2026-1731
em BeyondTrust Remote Support, para obter acesso inicial às redes das vítimas, estabelecer persistência com o uso de remote access trojans (RAT), web shells e credenciais legítimas e, em seguida, usar o QTRouter para acessar a rede da vítima a partir de IoT comprometidos próximos e passar despercebido.
Segundo as autoridades, os domínios apreendidos estavam hardcoded em ambos os produtos, o que levou à interrupção das operações após a ação autorizada pela Justiça. Os pesquisadores também observaram que interromperam a infraestrutura ao redirecionar o tráfego para o vazio, sem rota válida, em pontos conhecidos usados pelos operadores do quartermaster.
A Lumen afirma que o “quartermaster” industrializou a criação de redes Operational Relay Box, ou ORB, para operadores de espionagem ligados à China. As ORBs são redes descentralizadas de infraestrutura comprometida, como roteadores SOHO, dispositivos IoT, servidores VPS e nós comerciais de proxy, usadas para retransmitir tráfego malicioso e ocultar sua origem real.
Em vez de montar uma rede ORB convencional com milhares de dispositivos comprometidos, a plataforma comprou acesso premium a nós selecionados operados pelo serviço comercial de proxy chinês fastlink.ws. Esses nós formaram o Fast Labyrinth, uma rede de retransmissão no estilo ORB que misturava o tráfego de espionagem com o tráfego legítimo de proxies usados por consumidores e rotacionava automaticamente sua infraestrutura de saída.
Threat actors chineses têm recorrido cada vez mais às ORBs em operações cibernéticas desde 2024, e essa atividade se intensificou no início deste ano. “Desde sua criação em 2018, o grupo de hacking QTFY, ligado à China, desenvolveu ferramentas maliciosas, comercializou malware e exploits em redes freelance de hacking, estabeleceu e manteve uma botnet de ocultação e, por fim, passou a atingir sistemas críticos nos Estados Unidos”, disse o FBI.
A agência descreveu a Nanjing como uma empresa facilitadora, com relações comerciais com companhias privadas chinesas maiores, especializadas em segurança de infraestrutura crítica, para atacar organizações-alvo. A companhia também reúne ex-integrantes do PLA e aproveita esses contatos para fechar contratos relacionados ao targeting de infraestrutura crítica.
Além disso, integrantes do QTFY são acusados de participar de redes de intermediação freelance baseadas na China para adquirir e vender itens de cyber exploit, incluindo acesso a redes de vítimas. Ataques mais recentes, em junho de 2026, teriam atingido um sistema eleitoral dos Estados Unidos.
A Lumen avalia que as conexões bidirecionais observadas a partir da rede de proxy provavelmente representam tentativas de exploit, movimento lateral, acesso persistente ou coleta de dados. Embora a interrupção desse provedor seja significativa, a empresa alerta que o bloqueio estático, sozinho, provavelmente não será eficaz nesse caso, porque o tráfego do quartermaster passa por serviços comerciais de proxy com rotação dinâmica.
“Hoje anunciamos a desarticulação de uma botnet global e de uma plataforma de hacking usadas por hackers patrocinados pelo Estado chinês para atingir a infraestrutura crítica dos Estados Unidos”, disse o diretor do FBI, Kash Patel. “Essas ferramentas foram usadas por atores cibernéticos da RPC para ocultar a origem dos ataques.”
Em nota, a Lumen Technologies afirmou: “A Lumen Technologies gostaria de elogiar o FBI e o DOJ pelos esforços para combater a atividade cibernética chinesa que tem como alvo a infraestrutura crítica dos EUA”.
“Durante a investigação, a Black Lotus Labs compartilhou inteligência de ameaças para alertar agências de todo o governo dos EUA sobre riscos emergentes que poderiam afetar os ativos estratégicos da nação.”
As operações desse quartermaster demonstram o alto grau de industrialização presente nas operações cibernéticas com ligação à China, afirmou a Lumen. “Ao abandonar estruturas fragmentadas e improvisadas e adotar redes de utilidade compartilhadas, multi-tenant, atores patrocinados pelo Estado conseguem executar campanhas complexas com alto grau de anonimato e velocidade, em escala global.”
Como esses loops de trânsito são adquiridos por meio de assinaturas pagas e legítimas de serviços comerciais de proxy, bloqueios estáticos tradicionais já não são suficientes para deter a ameaça. A recomendação aos defensores é seguir as orientações da CISA e do NCSC para mitigar ameaças com ligação à China e manter roteadores, firewalls e dispositivos IoT atualizados e configurados com segurança.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...