Otto anni, sette agenzie federali statunitensi e una rete di router IoT compromessi sparsi per il pianeta: è il bilancio di QTFY, il gruppo di hacker-for-hire sponsorizzato da Pechino che il 26 agosto 2026 FBI e Dipartimento di Giustizia hanno colpito con un sequestro giudiziario dei domini che ne alimentavano l’infrastruttura. Non è il solito annuncio di attribuzione: è la fotografia di come la Cina abbia industrializzato lo spionaggio informatico, appaltandolo a un fornitore privato che vende accesso “chiavi in mano” come fosse un cloud provider.

Un “quartiermastro digitale” per il Ministero della Sicurezza di Stato

Secondo il comunicato congiunto del Dipartimento di Giustizia e i documenti giudiziari depositati presso il tribunale del Distretto Sud della California, QTFY opera per conto di Nanjing Xinjiuwei Network Technology Company (南京鑫玖维网络科技有限公司), un’azienda con sede a Nanchino che, tra i suoi clienti, annovererebbe direttamente il Ministero della Sicurezza di Stato (MSS) e l’Esercito Popolare di Liberazione (PLA). Ryan English, ricercatore di Lumen Technologies’ Black Lotus Labs — che ha collaborato con l’FBI all’indagine — l’ha definita un’operazione “comprehensive”, capace di fornire ricognizione continua su bersagli di alto valore attraverso un modello di servizio condiviso e multi-tenant: la stessa infrastruttura di offuscamento veniva riutilizzata per campagne diverse, abbattendo i costi operativi e aumentando la resilienza contro il take-down.

È lo stesso schema di “industrializzazione” già osservato con Volt Typhoon (infrastrutture critiche USA) e Flax Typhoon, i cui botnet erano stati smantellati dall’FBI rispettivamente nel 2023 e nel 2024, e con la rimozione del malware PlugX da oltre 4.000 computer statunitensi nel 2025. QTFY si inserisce in questa scia come ulteriore prova che dietro le sigle APT cinesi si nascondono spesso appaltatori privati che vendono accesso e infrastruttura ad attori statali, offuscando l’attribuzione diretta a Pechino.

QScan e QTRouter: ricognizione di massa e proxy usa e getta

Il cuore tecnico dell’operazione è la coppia di strumenti QScan e QTRouter, descritti dagli inquirenti come una vera e propria “suite” offensiva:

• QScan: un motore di scansione automatizzato che integra oltre 200 exploit proof-of-concept per individuare e compromettere dispositivi IoT vulnerabili su scala globale. Un agente FBI ha documentato che, in una sola giornata del 2024, QScan ha eseguito oltre 2 milioni di attività di scansione e sfruttamento.
• QTRouter: la rete di offuscamento del traffico che assorbe i dispositivi compromessi da QScan e li combina con servizi proxy commerciali (incluso il fornitore cinese fastlink.ws) e VPS noleggiati. Il traffico di spionaggio viene letteralmente mescolato a quello di consumatori legittimi che usano gli stessi servizi proxy, e l’infrastruttura di uscita (egress) ruota automaticamente per complicare il tracciamento.
• Fast Labyrinth e QTProxy: componenti aggiuntivi per la gestione dei nodi relay e il instradamento cifrato del traffico tra i vari livelli della rete.

Il risultato è un layer di anonimizzazione che permette agli attacchi di apparire provenienti da router domestici o piccoli uffici in giro per il mondo, anziché da infrastruttura riconducibile alla Cina — la stessa logica dei botnet “ORB” (Operational Relay Box) che negli ultimi anni hanno reso enormemente più difficile l’attribuzione rapida delle intrusioni state-sponsored.

Le vittime: dalla NASA al Senato USA

Gli atti giudiziari elencano tra le vittime confermate della campagna QTFY, attiva almeno dal maggio 2018:

• NASA
• Federal Reserve
• Department of Energy
• Department of Justice
• Department of Health and Human Services e National Institutes of Health
• Senato degli Stati Uniti

Secondo quanto riportato, la campagna ha toccato anche sistemi legati alle elezioni statunitensi nel giugno 2026, confermando come il perimetro di interesse di QTFY superi la pura raccolta di intelligence economica per estendersi a infrastrutture istituzionali e processi democratici.

Le vulnerabilità sfruttate: un catalogo di edge device

Uno degli aspetti più istruttivi del caso QTFY è la lista di prodotti presi di mira, che conferma un pattern ormai consolidato nelle campagne cinesi: puntare su appliance perimetrali (VPN, firewall, gateway di accesso remoto) spesso poco monitorate rispetto agli endpoint client. Tra i target figurano dispositivi e vulnerabilità di Ivanti (incluse tre zero-day, CVE-2024-8190, CVE-2024-8963 e CVE-2024-9380, sui Cloud Services Appliance), Fortinet SSL-VPN (CVE-2018-13379), Citrix ADC (CVE-2019-19781), Microsoft Exchange (CVE-2021-26855, ProxyLogon), F5 BIG-IP (CVE-2020-5902), Kentico CMS, Apache Log4j (CVE-2021-44228), Atlassian Confluence (CVE-2023-22515), Check Point Quantum Gateway (CVE-2024-24919), CrushFTP (CVE-2025-31161) e BeyondTrust Remote Support (CVE-2026-1731).

La combinazione di zero-day freschi e n-day storici ancora sfruttabili — molti di questi bug hanno anni — racconta bene perché il patching degli edge device resti uno dei problemi cronici della difesa perimetrale: un’appliance VPN non aggiornata dal 2019 può ancora oggi fare da porta d’ingresso per un’operazione di spionaggio statale del 2026.

Lo smantellamento e la reazione di Pechino

Il 26 agosto 2026 l’FBI, con l’autorizzazione di un tribunale federale, ha sequestrato i domini hardcoded nel malware usati per le funzioni di comunicazione e autenticazione tra i nodi — tra questi qt-proxy.org, qtproxy.xyz e securelink.qtproxy.xyz — rendendo di fatto inoperabili sia QScan sia QTRouter. Il procuratore generale Todd Blanche ha definito l’operazione “l’ultima di una serie di operazioni tecniche per smantellare attività di hacking indiscriminato” condotte dalla Cina, mentre il direttore dell’FBI Kash Patel ha sottolineato che la disruption ha colpito “un botnet e una piattaforma di hacking globali”. Pechino, come da copione in questi casi, ha respinto le accuse.

Due righe per i difensori

Il caso QTFY offre alcune lezioni operative dirette per chi gestisce infrastrutture esposte:

• Patching degli edge device come priorità assoluta: gran parte delle CVE sfruttate sono note da anni; il problema non è la scoperta ma la remediation tardiva su appliance perimetrali spesso considerate “invisibili” rispetto agli endpoint.
• Monitorare il traffico proxy/VPS commerciale anomalo: se il traffico malevolo si nasconde dentro flussi proxy legittimi, i controlli basati solo su reputazione IP perdono efficacia; servono euristiche comportamentali e correlazione temporale.
• Segmentazione delle appliance di rete: VPN gateway, firewall e sistemi di file transfer non dovrebbero avere accesso diretto e non mediato verso reti interne critiche.
• Threat hunting su dispositivi IoT/SOHO: router e dispositivi domestici compromessi restano un serbatoio enorme e sottovalutato per infrastrutture ORB usate da attori state-sponsored.
• Aggiornare gli IoC dai take-down: il sequestro dei domini non elimina l’infrastruttura residua; i team di detection dovrebbero integrare rapidamente gli indicatori pubblicati da FBI/CISA nelle proprie regole di rilevamento.

Indicatori di compromissione

# Domini sequestrati / infrastruttura QTFY (comunicato DOJ/FBI, 26 agosto 2026)
qt-proxy.org
qtproxy.xyz
securelink.qtproxy.xyz
mq-task.qt-proxy.org
mq-result.qt-proxy.org

# Servizio proxy commerciale collegato
fastlink.ws

# Componenti della suite offensiva
QScan       - motore di scansione/exploitation automatizzata (200+ PoC exploit)
QTRouter    - rete di offuscamento su base IoT/proxy/VPS
Fast Labyrinth - rete relay cifrata
QTProxy     - gestione nodi proxy
QTBotnet    - controllo del botnet IoT

# CVE storicamente sfruttate dalla campagna
CVE-2024-8190 / CVE-2024-8963 / CVE-2024-9380  - Ivanti CSA (zero-day)
CVE-2018-13379   - Fortinet SSL-VPN
CVE-2019-19781   - Citrix ADC
CVE-2021-26855   - Microsoft Exchange (ProxyLogon)
CVE-2020-5902    - F5 BIG-IP
CVE-2021-44228   - Apache Log4j
CVE-2023-22515   - Atlassian Confluence
CVE-2024-24919   - Check Point Quantum Gateway
CVE-2025-31161   - CrushFTP
CVE-2026-1731    - BeyondTrust Remote Support

Fonti: U.S. Department of Justice, The Hacker News, CyberScoop, BleepingComputer.