Os Estados Unidos anunciaram nesta quarta-feira que interromperam uma operação de ciberespionagem chinesa contra instituições sensíveis do país. Entre os alvos estavam o Federal Reserve, a NASA, o Senado e o próprio Departamento de Justiça.

O Departamento de Justiça e o FBI informaram que apreenderam, com autorização judicial, os domínios usados por duas plataformas complementares de invasão. Batizadas de QScan e QTRouter, elas atuavam em conjunto para penetrar infraestruturas críticas e redes sensíveis dentro e fora dos Estados Unidos.

De acordo com documentos judiciais divulgados no Distrito Sul da Califórnia, o grupo QTFY operava as duas ferramentas. A empresa Nanjing Xinjiuwei Network Technology Company mantinha o grupo, que teria atacado outros órgãos federais.

Entre as vítimas estavam os departamentos de Energia e de Saúde e Serviços Humanos, além dos Institutos Nacionais de Saúde. Os documentos também citam quatro empresas não identificadas nos Estados Unidos e na Coreia do Sul. A investigação indica que a infraestrutura operava pelo menos desde 2018.

Botnet ocultava a origem dos ataques contra os EUA

A QScan rastreava e infectava automaticamente milhares de dispositivos da Internet das Coisas em vários países. Roteadores, câmeras e outros equipamentos conectados passavam a integrar a rede QTRouter após o comprometimento.

Ao mesmo tempo, a QTRouter reunia esses aparelhos, serviços comerciais de proxy e servidores virtuais privados alugados. Dessa forma, a estrutura criava uma camada de ofuscação para as comunicações e atividades maliciosas.

Ao direcionar o tráfego por dispositivos de terceiros, o grupo escondia a origem chinesa das invasões. Com isso, as ações podiam aparentar tráfego regular de internet, conforme explicaram as autoridades americanas.

O Departamento de Justiça afirmou que o malware continha referências diretas aos endereços qtproxy.xyz, qt-proxy.org e qt-team.com. Como resultado, a apreensão dos três domínios interrompeu o funcionamento das duas plataformas.

A apuração remonta a 2019, quando o FBI analisou uma invasão contra a NASA. Na ocasião, os invasores exploraram uma vulnerabilidade já corrigida em um programa de acesso remoto.

Grupo vendia serviços de invasão para clientes

Os documentos judiciais apontam que o QTFY vendia serviços de invasão para clientes pagantes. Entre eles estavam o Ministério da Segurança do Estado, agência de inteligência civil da China, e o Exército de Libertação Popular.

Para Dakota Cary, analista da empresa de cibersegurança SentinelOne, o número de companhias com serviços ofensivos especializados cresceu rapidamente na última década. Nesse modelo, empresas privadas executam invasões de grande porte para várias agências ao mesmo tempo.

Outros casos já expuseram esse padrão de atuação. Entre os exemplos estão o vazamento de documentos internos da i-Soon em 2024 e a campanha HAFNIUM contra servidores Exchange. A lista também inclui acusações contra operadores ligados ao grupo APT27.

As autoridades italianas prenderam o contratado Xu Zewei por suspeita de envolvimento na campanha HAFNIUM. Por sua vez, investigadores americanos associaram outros operadores a ataques coordenados contra organizações e sistemas sensíveis.

Conforme as autoridades, esse mercado de mercenários digitais permite ao Estado chinês terceirizar riscos e negar a autoria das operações. O vice-procurador-geral Todd Blanche afirmou que os Estados Unidos perseguirão hackers estatais que ameacem a infraestrutura do país.

Já o diretor do FBI, Kash Patel, classificou a ação como parte de uma estratégia contra botnets e campanhas de malware atribuídas a Pequim. A Embaixada da China em Washington não respondeu imediatamente aos pedidos de comentário.

A operação retirou duas plataformas de funcionamento e colocou três domínios sob controle federal. Apesar disso, as autoridades reconhecem que outras infraestruturas podem substituir os sistemas enquanto a contratação permanecer lucrativa e permitir a negação de autoria.