- FBI apreende domínios das plataformas QScan e QTRouter em 26 de agosto
- Grupo QTFY atacou NASA, Federal Reserve, Senado e Departamento de Energia
- Botnet processou 2 milhões de tarefas de varredura em um único dia de 2024
O FBI e o Departamento de Justiça dos Estados Unidos desativaram, em 26 de agosto, duas plataformas de hacking operadas por um grupo patrocinado pelo governo chinês. A ação atingiu QScan e QTRouter, sistemas integrados que serviam para mapear alvos e ocultar a origem de invasões contra agências federais americanas.
Segundo documentos judiciais, as ferramentas pertencem ao coletivo QTFY, vinculado à empresa Nanjing Xinjiuwei Network Technology. A afidávit federal aponta que o grupo vendia acesso ao Ministério da Segurança do Estado chinês e ao Exército de Libertação Popular. Três domínios estavam programados diretamente no código das plataformas, o que permitiu inutilizar a operação com uma única ordem de apreensão.
Entre os alvos confirmados aparecem NASA, Federal Reserve, Departamento de Energia, Departamento de Saúde, Institutos Nacionais de Saúde e o próprio Senado dos Estados Unidos. Uma campanha isolada, executada em maio de 2024, teria extraído dados de mais de 300 organizações ao redor do mundo.
Como QScan e QTRouter operavam juntos
O QScan concentrava a parte ofensiva. O sistema mantinha mais de 200 exploits de prova de conceito e chegou a processar 2 milhões de tarefas de varredura e teste de penetração em um único dia de 2024, de acordo com o alerta conjunto assinado por FBI, NSA e Cyber National Mission Force. Cada dispositivo vulnerável identificado era automaticamente comprometido e transferido para a segunda camada da operação.
Era aí que entrava o QTRouter. A ferramenta combinava roteadores e dispositivos IoT sequestrados com serviços comerciais de proxy e servidores virtuais alugados. O resultado era uma rede de retransmissão que fazia o tráfego malicioso parecer originado de usuários residenciais próximos das vítimas. A empresa de segurança Black Lotus Labs classifica o QTFY como um fornecedor de infraestrutura para operações cibernéticas chinesas de várias frentes.
“Essas ferramentas foram usadas por atores cibernéticos da RPC para esconder a origem de seus ataques”, afirmou Kash Patel, diretor do FBI, em comunicado oficial do Departamento de Justiça. O procurador-geral Todd Blanche descreveu a apreensão como parte de uma série técnica destinada a desmontar atividades de hacking indiscriminado patrocinadas por Pequim.
Lavagem de cripto também passa por botnets
A infraestrutura desmontada tem ligação indireta com o mercado cripto. Redes de proxies residenciais similares já foram usadas em fraudes financeiras envolvendo tomada de contas em exchanges, ransomware pago em Bitcoin e golpes de phishing. Em operação anterior, autoridades americanas desmontaram uma rede com 369 mil dispositivos comprometidos em 163 países, que gerou mais de US$ 5,7 milhões a seus operadores e servia justamente para mascarar sequestros de contas cripto.
O padrão importa para o investidor brasileiro. Corretoras locais dependem de sistemas antifraude que analisam IP e comportamento de rede para bloquear logins suspeitos. Quando um invasor consegue rotear ataques por um IP residencial no mesmo bairro da vítima, camadas básicas de detecção falham. Casos como o da Kraken bloqueando contas após ataque de poeira mostram como exchanges precisam elevar o filtro para além do IP de origem.
Quarta derrubada de botnet chinesa em três anos
A ofensiva contra a QTFY se soma a uma sequência de operações. Em janeiro de 2025, o FBI removeu o malware PlugX de aproximadamente 4.258 sistemas americanos infectados pelo grupo Mustang Panda. Em 2024, foi desativada a botnet Flax Typhoon. Em 2023, a Volt Typhoon. Todas as operações eram atribuídas a grupos patrocinados por Pequim.
Um memorando presidencial assinado em 12 de agosto ampliou o escopo. O texto autoriza a criação de um programa federal supervisionado no qual empresas americanas certificadas poderão propor missões contra redes criminosas estrangeiras. Autoridades têm 60 dias para definir critérios de elegibilidade, procedimentos de revisão de alvos e salvaguardas. Em maio, uma iniciativa paralela do DOJ com empresas de tecnologia interrompeu 1,4 milhão de contas ligadas a golpes e congelou mais de US$ 3,8 milhões em criptomoedas, um recorte que deve se repetir nas próximas ações coordenadas.
Para usuários finais, o vetor de risco mais próximo continua sendo phishing e roteadores domésticos desatualizados, dispositivos frequentemente sequestrados para compor esse tipo de rede sem que o dono perceba.
