Il Dipartimento di Giustizia degli Stati Uniti ha corretto una precedente dichiarazione, precisando che diverse agenzie federali sono state bersagliate, ma non necessariamente compromesse, da attacchi informatici sponsorizzati dalla Cina.
Il Dipartimento di Giustizia degli Stati Uniti (DoJ) ha rivisto una sua comunicazione ufficiale, chiarendo che alcune agenzie federali sono state bersagli di attacchi informatici attribuiti a QTFY, gruppo legato al governo cinese, ma non tutte sono risultate effettivamente vittime di compromissione. Inizialmente, il DoJ aveva indicato NASA, Federal Reserve, Dipartimento dell'Energia, Dipartimento di Giustizia, Dipartimento della Salute e dei Servizi Umani, National Institutes of Health e Senato USA come vittime di intrusioni informatiche. Nella nota aggiornata, queste istituzioni sono ora elencate tra i bersagli, non tra le vittime accertate. La modifica, riportata da Reuters, mira a riflettere con precisione le accuse contenute nell'affidavit che ha portato al sequestro di alcuni domini usati dagli hacker.
QTFY: struttura e modalità operative del gruppo
Secondo l'affidavit, QTFY (conosciuto anche come QT e QTCYBER) opera per conto della società privata cinese Nanjing Xinjiuwei Network Technology Co, ricevendo pagamenti dal Ministero della Sicurezza di Stato (MSS) cinese. Il gruppo, attivo dal 2018, ha utilizzato infrastrutture dedicate per colpire reti sensibili negli Stati Uniti e all'estero, prendendo di mira non solo enti governativi, ma anche ospedali, operatori telecom, aziende energetiche, istituti finanziari e appaltatori della difesa.
Strumenti e tecniche di attacco
QTFY agisce come "quartermaster tecnico", fornendo strumenti di ricognizione, gestione di proxy e routing operativo per facilitare attività di spionaggio informatico. Tra i principali strumenti figurano QScan, piattaforma per la scansione e lo sfruttamento di vulnerabilità, e QTRouter, una rete di offuscamento. Nel 2019, il gruppo avrebbe tentato di violare la NASA sfruttando la vulnerabilità critica CVE-2019-11510 su Pulse Secure VPN.
Risposta delle autorità e impatto sulle infrastrutture
La distinzione tra "bersagli" e "vittime" è significativa: non tutte le organizzazioni colpite dai tentativi di intrusione sono state effettivamente compromesse. L'FBI ha recentemente neutralizzato i domini associati a QScan e QTRouter (qtproxy[.]xyz, qt-proxy[.]org, qt-team[.]com), bloccando le funzionalità malevole.
Reti botnet e tecniche di offuscamento
Secondo Lumen Black Lotus Labs, QTFY ha industrializzato la creazione di reti ORB (Operational Relay Box) per operazioni di spionaggio, sfruttando dispositivi IoT infetti e VPS noleggiati per mascherare l'origine degli attacchi. QTFY vende l'accesso a QScan e QTRouter anche ad altri attori, consentendo di arruolare dispositivi vulnerabili come nodi botnet. La rete include anche nodi gestiti dal servizio proxy commerciale cinese fastlink[.]ws e sostiene Fast Labyrinth, una rete di relay criptata che mescola traffico malevolo e legittimo.
Obiettivi e rischi per le infrastrutture critiche
Secondo l'affidavit, instradando il traffico malevolo attraverso dispositivi IoT compromessi vicini alle vittime, gli hacker cinesi riescono a confondersi tra gli utenti legittimi, rendendo più difficile il rilevamento durante le attività di scansione e attacco alle infrastrutture critiche.
