DOJ corregge il caso QTFY: agenzie USA erano bersagli, non vittime confermate

🛡️ Executive Summary

• Il DOJ ha corretto il comunicato del 26 agosto: NASA, Federal Reserve e altre istituzioni USA sono ora indicate come target di QTFY, non vittime accertate.
• La modifica allinea il comunicato all’affidavit utilizzato per sequestrare QScan e QTRouter e riduce il perimetro delle compromissioni effettivamente provate.
• Resta confermata l’operazione FBI contro l’infrastruttura cinese: QTFY offriva scanning, compromissione IoT e reti proxy per nascondere attività di cyberspionaggio.

Il Dipartimento di Giustizia degli Stati Uniti corregge una delle affermazioni più pesanti contenute nel comunicato sull’operazione QTFY. NASA, Federal Reserve, Dipartimento dell’Energia, Dipartimento di Giustizia, Health and Human Services, National Institutes of Health e Senato americano non vengono più presentati come organizzazioni effettivamente compromesse, ma come bersagli delle attività del gruppo cinese. La differenza è sostanziale: essere target di scansioni, ricognizione o tentativi di intrusione non equivale ad avere subito un accesso riuscito. La correzione aggiorna quindi il quadro dell’operazione FBI contro QScan e QTRouter ricostruita dopo il sequestro dei domini utilizzati dal gruppo cinese.

Il DOJ sostituisce “vittime” con “bersagli”

Il comunicato originale del 26 agosto 2026 attribuiva a QTFY attività di computer intrusion contro una serie di istituzioni federali statunitensi, formulazione che aveva lasciato intendere una compromissione avvenuta. Due giorni dopo il Dipartimento di Giustizia ha modificato il testo. Nella versione aggiornata del comunicato ufficiale le organizzazioni vengono definite semplicemente “among the targets of QTFY” e una nota precisa che le modifiche sono state apportate per riflettere correttamente le accuse contenute nell’affidavit che ha supportato il sequestro dei domini. Il cambio di terminologia non ridimensiona l’esistenza dell’operazione cinese, ma impone maggiore precisione nel distinguere ricognizione, tentativo di exploitation e compromissione riuscita, distinzione essenziale anche nelle attribuzioni cyber nelle quali artefatti e attività osservate non bastano da soli a provare l’accesso effettivo a una rete.

La NASA compare nel dossier ma il tentativo del 2019 non prova un accesso riuscito

Uno degli esempi più rilevanti riguarda la NASA. Il materiale giudiziario attribuisce a QTFY un tentativo risalente al 2019 nel quale gli operatori avrebbero cercato di sfruttare CVE-2019-11510, vulnerabilità critica dei dispositivi Pulse Secure VPN. L’esistenza di un tentativo contro l’agenzia spaziale non significa però automaticamente che gli attaccanti siano riusciti a entrare nella rete o sottrarre informazioni. È precisamente questa distinzione che il DOJ ha corretto. Il caso mostra inoltre perché i dispositivi edge e le VPN continuino a essere bersagli privilegiati nelle campagne statali: offrono accesso alla periferia della rete senza richiedere inizialmente il controllo di un endpoint interno. Lo stesso paradigma emerge nelle reti ORB cinesi costruite compromettendo router esposti e trasformandoli in infrastruttura operativa per altri gruppi APT.

Leggi anche: FBI spegne QScan e QTRouter: come QTFY industrializzava le reti proxy per il cyberspionaggio cinese

QTFY resta collegato a una società privata pagata dall’intelligence cinese

La correzione non modifica il cuore dell’accusa americana. Secondo il DOJ, QTFY, conosciuto anche come QT o QTCYBER, opera attraverso la società cinese Nanjing Xinjiuwei Network Technology Co. e avrebbe fornito servizi di hacking a clienti paganti, inclusi organismi collegati al Ministry of State Security e al People’s Liberation Army. Il modello è quello di un contractor tecnico che non necessariamente conduce ogni fase dell’intrusione, ma costruisce e vende capacità utilizzabili da altri operatori: ricognizione, scansione, compromissione di dispositivi Internet of Things e instradamento del traffico. Questa struttura ricorda l’ecosistema nel quale Silk Typhoon, Salt Typhoon e altri gruppi cinesi utilizzano contractor, vulnerabilità e infrastrutture condivise per sostenere operazioni di intelligence.

QScan comprometteva IoT e QTRouter trasformava i dispositivi in copertura

Il meccanismo tecnico resta quello già descritto dall’FBI. QScan individuava dispositivi IoT vulnerabili e automatizzava parte del processo di compromissione; i sistemi ottenuti entravano poi nella rete QTRouter, insieme a proxy commerciali e Virtual Private Server noleggiati. Gli operatori potevano così instradare il traffico offensivo attraverso nodi localizzati vicino alla vittima, rendendo più difficile distinguere una connessione malevola da traffico apparentemente locale. Questo modello di Operational Relay Box è particolarmente utile nello spionaggio perché separa geograficamente l’operatore dal bersaglio. Una variante dello stesso problema è emersa recentemente con DarkLantern e SpeakingStone nei router ZBT, dove dispositivi edge possono diventare nodi invisibili di accesso e relay.

L’FBI ha comunque reso inutilizzabili le due piattaforme

La parte operativa dell’intervento statunitense non viene corretta. L’FBI ha sequestrato qtproxy.xyz, qt-proxy.org e qt-team.com, domini inseriti direttamente nel codice di QScan e QTRouter e necessari per comunicazione, autenticazione e altre funzioni centrali. Il controllo giudiziario di questi domini ha quindi impedito alle piattaforme di raggiungere l’infrastruttura prevista e, secondo il DOJ, le ha rese inoperabili. È la stessa strategia già utilizzata dagli Stati Uniti contro botnet e infrastrutture proxy collegate ad attori cinesi, nella quale il contrasto non richiede necessariamente arrestare gli operatori ma può consistere nel sottrarre loro i nodi tecnici necessari all’attività. Il precedente più evidente rimane la campagna contro Mustang Panda, ecosistema nel quale PlugX continua a essere utilizzato come strumento di persistenza e spionaggio.

La correzione conta perché cambia la vittimologia

Dal punto di vista dell’intelligence, la differenza tra target e victim non è semantica. Un’organizzazione può comparire nei log di scansione o nei database di ricognizione di un gruppo senza che nessun exploit venga eseguito con successo; può essere raggiunta da un nodo ORB senza che vi sia accesso persistente; può subire un tentativo di autenticazione senza che credenziali o dati vengano sottratti. Presentare tutti i bersagli come vittime produce una rappresentazione più grave della campagna rispetto alle prove disponibili e può alterare la valutazione dell’impatto operativo. La prudenza è particolarmente importante nelle attività statali cinesi, dove l’esperienza di Salt Typhoon ha mostrato quanto sia necessario separare accesso provato, infrastruttura osservata e attribuzione dell’attore.

Continua con:

• I router diventano scudi per gli hacker: LongLeash costruisce reti ORB per gli APT cinesi
• ZBT, DarkLantern e SpeakingStone: backdoor root nei router venduti anche negli USA

L’operazione contro QTFY resta valida ma il linguaggio torna dentro le prove

La rettifica del DOJ non cancella QTFY, QScan, QTRouter, i sequestri giudiziari o il collegamento attribuito dagli Stati Uniti all’apparato di sicurezza cinese. Cambia però una parte decisiva della narrazione: le grandi istituzioni americane nominate nel comunicato devono essere considerate bersagli, salvo quando esistano prove separate di compromissione. È una correzione che rafforza, anziché indebolire, la credibilità dell’operazione perché riallinea la comunicazione pubblica alle evidenze giudiziarie disponibili. Nel cyberspionaggio la precisione terminologica è parte dell’analisi tecnica: scanning non significa exploitation, exploitation non significa necessariamente persistenza e un target non è automaticamente una vittima. È la stessa disciplina necessaria per leggere l’intero ecosistema delle campagne cinesi contro infrastrutture occidentali senza trasformare ogni indicatore in una compromissione dimostrata.