FBI spegne QScan e QTRouter: la Cina industrializza le reti proxy per lo spionaggio

🛡️ Executive Summary

• QTFY usava QScan per ricognizione e compromissione di dispositivi IoT, trasformati insieme a proxy commerciali e VPS in nodi dell’infrastruttura QTRouter.
• La rete nascondeva l’origine cinese delle operazioni contro NASA, Federal Reserve, ministeri, Senato USA, difesa, università, sanità, energia e altre infrastrutture strategiche.
• FBI e DOJ hanno sequestrato tre domini hard-coded rendendo QScan e QTRouter inoperabili; la difesa richiede patching degli edge device e analisi comportamentale dell’egress.

FBI e Dipartimento di Giustizia statunitense hanno disattivato QScan e QTRouter, due piattaforme utilizzate da un gruppo sponsorizzato dalla Repubblica Popolare Cinese per costruire infrastrutture di ricognizione, compromissione e offuscamento destinate a operazioni di cyberspionaggio. Al centro dell’indagine compare QTFY, noto anche come QT o QTCYBER, collegato alla società cinese Nanjing Xinjiuwei Network Technology Company. L’operazione offre soprattutto uno spaccato dell’evoluzione dell’ecosistema cyber cinese: invece di costruire ogni volta infrastrutture dedicate, gli operatori possono affidarsi a un vero “quartermaster” digitale, capace di fornire scanning, router compromessi, proxy commerciali e percorsi di rete dinamici attraverso cui nascondere la provenienza delle intrusioni.

QTFY forniva infrastruttura cyber al servizio dello spionaggio cinese

Secondo la ricostruzione ufficiale del Dipartimento di Giustizia statunitense, QTFY avrebbe creato e gestito QScan e QTRouter come due componenti complementari di una piattaforma utilizzata contro infrastrutture critiche e reti sensibili statunitensi. Tra gli obiettivi associati alle attività del gruppo figurano NASA, Federal Reserve, Department of Energy, Department of Justice, Department of Health and Human Services, National Institutes of Health e Senato degli Stati Uniti. I documenti giudiziari collegano Nanjing Xinjiuwei anche a pagamenti provenienti dal Ministero della Sicurezza di Stato cinese, mentre nell’organizzazione sarebbero presenti ex appartenenti alle forze armate della Repubblica Popolare. Il quadro è coerente con una più ampia trasformazione delle operazioni attribuite alla Cina, dove gruppi, aziende tecnologiche e fornitori specializzati possono costituire parti differenti della stessa catena operativa. La logica è già emersa nelle attività di cluster cinesi che riutilizzano procedure e infrastrutture comuni e rende sempre meno efficace identificare una campagna soltanto attraverso il nome assegnato a una singola APT.

QScan trova i bersagli e trasforma gli IoT in nodi utilizzabili

QScan rappresentava il componente di ricognizione e sfruttamento. La piattaforma poteva scandagliare infrastrutture internet, individuare porte aperte, banner applicativi, sistemi operativi, configurazioni e servizi esposti, fornendo agli operatori una mappa dei possibili bersagli. Il DOJ attribuisce inoltre a QScan la capacità di compromettere automaticamente migliaia di dispositivi Internet of Things, successivamente integrati nell’infrastruttura controllata dal gruppo. Questo passaggio è essenziale: router domestici, appliance SOHO e dispositivi IoT vulnerabili non diventano necessariamente il bersaglio finale dell’operazione, ma possono essere trasformati in risorse logistiche dell’attaccante. L’indirizzo IP di un normale utente o di una piccola azienda diventa così il punto dal quale appare provenire una connessione diretta verso un’organizzazione governativa o industriale. L’FBI aveva già avvertito sul rischio rappresentato dalle residential proxy network, sottolineando come router, smartphone, tablet e altri dispositivi possano essere utilizzati per instradare traffico malevolo rendendone più difficile l’attribuzione geografica. Nelle operazioni QTFY, questa capacità viene integrata direttamente in una piattaforma costruita per sostenere attività di intelligence.

QTRouter costruisce la rete che nasconde l’origine dell’attacco

Il secondo componente, QTRouter, trasformava questa disponibilità di nodi in una vera obfuscation network. La piattaforma combinava dispositivi IoT compromessi, Virtual Private Server, infrastrutture proxy commerciali e altri sistemi controllati dagli operatori, consentendo di costruire percorsi di rete differenti per ogni operazione. Black Lotus Labs, divisione threat intelligence di Lumen Technologies, descrive il modello come una forma industrializzata di Operational Relay Box network, o ORB: reti distribuite nelle quali il traffico dell’attaccante attraversa sistemi intermedi prima di raggiungere la vittima. Una struttura simile rende meno utile bloccare semplicemente un insieme di indirizzi IP, perché l’infrastruttura di uscita può cambiare rapidamente. La tecnica rientra nello stesso paradigma operativo che ha reso gruppi come Volt Typhoon particolarmente difficili da identificare durante le intrusioni contro infrastrutture critiche. Anche il dibattito americano sulla sicurezza dei router e sulla supply chain delle apparecchiature di rete è stato alimentato proprio dall’utilizzo sistematico di dispositivi edge compromessi nelle operazioni attribuite a Volt Typhoon, Flax Typhoon e Salt Typhoon.

Fast Labyrinth mescolava traffico di spionaggio e proxy commerciali

L’elemento più interessante ricostruito dai ricercatori è Fast Labyrinth, rete di relay cifrati utilizzata per nascondere le comunicazioni tra operatori e organizzazioni bersaglio. Invece di dipendere esclusivamente da migliaia di dispositivi compromessi, QTFY avrebbe acquistato accesso premium a nodi selezionati del servizio proxy commerciale fastlink.ws, costruendo una rete ORB ibrida. Il traffico associato alle operazioni di spionaggio veniva così mescolato con quello dei normali clienti del servizio proxy e instradato attraverso nodi di uscita soggetti a rotazione. QTProxy permetteva agli operatori di scegliere i relay e costruire percorsi personalizzati, mentre QTRouter comprendeva anche dispositivi fisici preconfigurati destinati all’accesso e alla gestione dell’infrastruttura. Black Lotus Labs ha osservato una correlazione tra organizzazioni precedentemente sottoposte a ricognizione attraverso QScan e connessioni successive provenienti da Fast Labyrinth. Secondo i ricercatori, le comunicazioni bidirezionali osservate sono compatibili con attività che possono comprendere tentativi di exploitation, movimento laterale, mantenimento dell’accesso e raccolta di dati. La vittimologia comprende organizzazioni militari e della difesa, università, centri di ricerca, aerospazio, bioinformatica, sanità, finanza, energia, infrastrutture critiche e produttori di software enterprise.

FBI sequestra tre domini e rende inutilizzabili le piattaforme

L’operazione statunitense ha colpito qtproxy.xyz, qt-proxy.org e qt-team.com, domini utilizzati per componenti fondamentali delle piattaforme. Il dettaglio tecnico ha reso possibile una disruption particolarmente efficace: gli indirizzi risultavano hard-coded all’interno di QScan e QTRouter e venivano utilizzati per comunicazione, autenticazione e altre funzioni essenziali. Il sequestro autorizzato dal tribunale federale ha quindi impedito ai software di raggiungere l’infrastruttura prevista, rendendo secondo il DOJ entrambe le piattaforme inoperabili. L’azione si inserisce in una successione di operazioni statunitensi contro infrastrutture associate ad attori cinesi. Nel 2023 l’FBI aveva neutralizzato una botnet utilizzata da Volt Typhoon per nascondere attività contro infrastrutture critiche; nel 2024 aveva disattivato una rete di centinaia di migliaia di dispositivi IoT associata a Flax Typhoon; nel 2025 aveva rimosso PlugX da oltre 4.000 computer statunitensi compromessi da Mustang Panda. Quest’ultimo gruppo continua parallelamente a evolvere le proprie capacità malware, fino all’introduzione del rootkit kernel-mode utilizzato nelle nuove varianti di CoolClient.

Il problema difensivo è distinguere un attacco dal traffico legittimo

La disruption di QTFY elimina un’infrastruttura specifica ma non risolve il problema strutturale rappresentato dalle covert relay network. Quando un attacco proviene da un router domestico situato nella stessa nazione della vittima, da un VPS acquistato legalmente o da un nodo appartenente a un servizio proxy commerciale, geolocalizzazione e reputazione dell’indirizzo IP diventano segnali molto meno affidabili. Anche il blocco statico degli IoC perde rapidamente efficacia davanti a infrastrutture che possono ruotare l’egress e sostituire i nodi compromessi. Il risultato obbliga le organizzazioni a spostare il rilevamento verso comportamenti, sequenze di autenticazione, anomalie applicative, uso delle credenziali, variazioni dei flussi e telemetria degli endpoint, correlando ciò che avviene prima e dopo la connessione invece di giudicarne soltanto l’origine. Questo è particolarmente importante quando vengono presi di mira server esposti e appliance infrastrutturali, come mostrano anche le recenti intrusioni Chinese-nexus contro VMware vCenter, nelle quali accesso privilegiato, persistenza e infrastrutture stealth possono mantenere l’attaccante nella rete anche dopo la correzione della vulnerabilità iniziale.

Router e dispositivi edge diventano parte della logistica dello spionaggio

Per i difensori il punto più concreto resta quindi la protezione di router, firewall, VPN gateway e dispositivi IoT. Firmware non aggiornati, prodotti end-of-life, interfacce di amministrazione esposte, credenziali predefinite e servizi remoti non necessari trasformano questi dispositivi in candidati ideali per le reti ORB. Aggiornare il firmware, disabilitare servizi inutilizzati, impedire l’amministrazione dall’esterno quando non necessaria, sostituire hardware fuori supporto e monitorare connessioni anomale in uscita riduce contemporaneamente due rischi: subire direttamente un’intrusione e vedere la propria infrastruttura utilizzata come relay per attaccare qualcun altro. Il caso QTFY mostra soprattutto che il cyberspionaggio cinese sta diventando una catena logistica specializzata. Un operatore può occuparsi della ricognizione, un altro dell’accesso iniziale, un altro ancora della persistenza, mentre un fornitore dedicato mette a disposizione scanning, proxy, router compromessi e percorsi di offuscamento. Il “quartermaster” digitale non è quindi un dettaglio dell’infrastruttura: è il livello che permette alle operazioni di intelligence di diventare ripetibili, scalabili e molto più difficili da attribuire.