L’FBI sequestra piattaforme di hacking cinesi utilizzate per prendere di mira agenzie statunitensi

L’FBI mette fuori uso QScan e QTRouter

Il 26 agosto le autorità federali hanno disattivato due piattaforme di hacking interconnesse, sequestrando i domini essenziali per le loro funzioni di comunicazione e autenticazione. Il Dipartimento di Giustizia ha annunciato che QScan e QTRouter prendevano di mira infrastrutture critiche e reti sensibili gestite dalla NASA, dalla Federal Reserve, dal Dipartimento dell’Energia, dal Dipartimento di Giustizia, dal Dipartimento della Salute e dei Servizi Umani, dagli Istituti Nazionali di Sanità e dal Senato degli Stati Uniti.

I documenti giudiziari attribuiscono le piattaforme a QTFY, un gruppo di hacker sponsorizzato dallo Stato cinese alle dipendenze della Nanjing Xinjiuwei Network Technology Company. La dichiarazione giurata dell’FBI a sostegno dei sequestri dei domini sostiene che QTFY vendesse servizi di hacking a clienti tra cui il Ministero della Sicurezza di Stato cinese e l’Esercito Popolare di Liberazione. Tre domini sequestrati erano hardcoded nelle piattaforme, consentendo all’operazione di rendere entrambi i sistemi inoperativi. I sequestri hanno compromesso l’infrastruttura che, secondo quanto affermato, aiutava gli hacker a identificare i sistemi vulnerabili e a mascherare le loro connessioni alle reti prese di mira. Il Procuratore Generale Todd Blanche ha dichiarato:

«Le forze dell’ordine federali hanno indagato e disattivato il software dannoso della Repubblica Popolare Cinese, l’ultima di una serie di operazioni tecniche volte a smantellare le attività di hacking indiscriminate sponsorizzate dalla Repubblica Popolare Cinese».

QScan individuava gli obiettivi mentre QTRouter occultava gli attacchi

Le due piattaforme svolgevano funzioni diverse all’interno di un sistema integrato di ricognizione, sfruttamento e occultamento del traffico. L’avviso congiunto sulla sicurezza informatica dell’FBI, della National Security Agency e della Cyber National Mission Force afferma che QScan conteneva oltre 200 exploit proof-of-concept e ha elaborato più di 2 milioni di attività di scansione e test di penetrazione in un solo giorno nel 2024. Una campagna del maggio 2024 ha sottratto dati da oltre 300 organizzazioni in tutto il mondo. QScan comprometteva automaticamente i dispositivi vulnerabili connessi a Internet e li aggiungeva a QTRouter, che combinava i dispositivi dirottati con servizi proxy commerciali e server privati virtuali in affitto. Black Lotus Labs ha analizzato l’infrastruttura di QTFY e ha descritto il gruppo come un fornitore di infrastrutture a supporto delle operazioni informatiche cinesi. L’instradamento del traffico attraverso dispositivi situati in prossimità delle vittime faceva sembrare che le comunicazioni dannose provenissero da utenti locali legittimi. Il direttore dell’FBI Kash Patel ha dichiarato:

«Oggi abbiamo annunciato lo smantellamento di una botnet globale e di una piattaforma di hacking utilizzate da hacker sponsorizzati dallo Stato cinese per prendere di mira le infrastrutture critiche degli Stati Uniti. Questi strumenti sono stati utilizzati dagli attori informatici della Repubblica Popolare Cinese per nascondere l’origine dei loro attacchi».

I router compromessi e altri dispositivi dell’Internet delle cose hanno inoltre favorito la criminalità informatica a scopo di lucro al di fuori delle operazioni sponsorizzate dallo Stato. In precedenza, le autorità avevano smantellato una rete di proxy composta da 369.000 dispositivi compromessi in 163 paesi. Tale rete consentiva ai criminali di mascherare attività quali l’appropriazione di conti di criptovaluta, frodi bancarie, ransomware e altri schemi illeciti, generando oltre 5,7 milioni di dollari a favore dei propri gestori.

L’operazione estende la campagna di smantellamento delle infrastrutture

Gli ultimi sequestri fanno seguito a diverse operazioni autorizzate dal tribunale e mirate alle infrastrutture informatiche sponsorizzate dallo Stato cinese. Nel gennaio 2025, l’FBI ha dichiarato di aver rimosso il malware di sorveglianza PlugX da circa 4.258 sistemi statunitensi infettati da Mustang Panda. Le autorità federali hanno inoltre disattivato una botnet Flax Typhoon nel 2024 e smantellato una botnet Volt Typhoon nel 2023. L’approccio federale alle minacce informatiche straniere si sta inoltre espandendo oltre i tradizionali sequestri autorizzati dal tribunale e le operazioni di rimozione del malware. Un memorandum presidenziale del 12 agosto ha ordinato la creazione di un programma di disturbo informatico sotto la supervisione federale che consenta alle aziende statunitensi sottoposte a verifica di proporre missioni contro reti criminali straniere, con un termine di 60 giorni concesso ai funzionari per stabilire criteri di ammissibilità, procedure di revisione degli obiettivi e misure di salvaguardia.

Gli investigatori federali hanno sempre più spesso bloccato gli account, i server, i domini e le connessioni di rete che consentono le operazioni informatiche straniere. Nel corso di un’iniziativa separata a maggio, le aziende tecnologiche hanno collaborato a un’operazione del Dipartimento di Giustizia (DOJ) che ha disattivato oltre 1,4 milioni di account collegati a truffe. I partecipanti hanno inoltre bloccato il traffico Internet dannoso, messo fuori servizio infrastrutture di hosting e contribuito a congelare oltre 3,8 milioni di dollari in criptovaluta.

Gli utenti individuali affrontano rischi diversi rispetto ai gruppi sofisticati che prendono di mira le agenzie governative e le infrastrutture critiche, sebbene entrambi possano sfruttare malware e dispositivi compromessi. Le misure di protezione comuni includono l’aggiornamento del software, l’evitare download sospetti e la verifica dei siti web prima di inserire informazioni sensibili. Il phishing e i siti web falsi possono installare malware o esporre le password, mentre i router obsoleti possono fornire agli aggressori l’infrastruttura per nascondere ulteriori intrusioni.