O FBI apreende plataformas chinesas de hacking utilizadas para atacar órgãos do governo dos EUA

FBI tira QScan e QTRouter do ar

Autoridades federais desativaram duas plataformas de hacking interconectadas em 26 de agosto, apreendendo domínios essenciais para suas funções de comunicação e autenticação. O Departamento de Justiça anunciou que o QScan e o QTRouter tinham como alvo infraestruturas críticas e redes confidenciais operadas pela NASA, pelo Federal Reserve, pelo Departamento de Energia, pelo Departamento de Justiça, pelo Departamento de Saúde e Serviços Humanos, pelos Institutos Nacionais de Saúde e pelo Senado dos EUA.

Documentos judiciais atribuem as plataformas ao QTFY, um grupo de hackers patrocinado pelo Estado chinês e empregado pela Nanjing Xinjiuwei Network Technology Company. O depoimento do FBI que fundamenta as apreensões de domínios alega que o QTFY vendia serviços de hacking a clientes que incluíam o Ministério de Segurança do Estado da China e o Exército Popular de Libertação. Três domínios apreendidos estavam codificados de forma fixa nas plataformas, permitindo que a operação tornasse ambos os sistemas inoperantes.

As apreensões interromperam a infraestrutura que supostamente ajudava os hackers a identificar sistemas vulneráveis e a disfarçar suas conexões com as redes visadas. O procurador-geral Todd Blanche afirmou:

“As autoridades federais investigaram e desativaram o software malicioso da República Popular da China, a mais recente de uma série de operações técnicas para desmantelar atividades de hacking indiscriminadas patrocinadas pela República Popular da China.”

O QScan identificou alvos enquanto o QTRouter ocultava os ataques

As duas plataformas desempenhavam funções diferentes dentro de um sistema integrado de reconhecimento, exploração e ofuscação de tráfego. O comunicado conjunto sobre segurança cibernética do FBI, da Agência de Segurança Nacional (NSA) e da Força de Missão Nacional Cibernética afirma que o QScan continha mais de 200 exploits de prova de conceito e processou mais de 2 milhões de tarefas de varredura e testes de penetração em um único dia em 2024. Uma campanha realizada em maio de 2024 extraiu dados de mais de 300 organizações em todo o mundo.

O QScan comprometia automaticamente dispositivos vulneráveis conectados à internet e os adicionava ao QTRouter, que combinava dispositivos sequestrados com serviços de proxy comerciais e servidores virtuais privados alugados. A Black Lotus Labs analisou a infraestrutura da QTFY e descreveu o grupo como um provedor de infraestrutura que dá suporte a operações cibernéticas chinesas. O roteamento do tráfego por meio de dispositivos próximos às vítimas fazia com que as comunicações maliciosas parecessem ter origem em usuários locais legítimos.

O diretor do FBI, Kash Patel, afirmou:

“Hoje anunciamos o desmantelamento de uma botnet global e de uma plataforma de hacking usada por hackers patrocinados pelo Estado chinês para atacar infraestruturas críticas dos EUA. Essas ferramentas foram utilizadas por agentes cibernéticos da República Popular da China para ocultar a origem de seus ataques.”

Roteadores comprometidos e outros dispositivos da Internet das Coisas também têm apoiado crimes cibernéticos com motivação financeira, fora das operações patrocinadas pelo Estado. Autoridades já haviam desmantelado uma rede de proxies contendo 369 mil dispositivos hackeados em 163 países. Essa rede permitia que criminosos dissimulassem atividades envolvendo apropriação de contas de criptomoedas, fraudes bancárias, ransomware e outros esquemas, gerando mais de US$ 5,7 milhões para seus operadores.

Operação amplia campanha de desmantelamento de infraestrutura

As últimas apreensões seguem-se a várias operações autorizadas judicialmente que tinham como alvo infraestruturas cibernéticas patrocinadas pelo Estado chinês. Em janeiro de 2025, o FBI informou ter removido o malware de vigilância PlugX de aproximadamente 4.258 sistemas norte-americanos infectados pelo Mustang Panda. As autoridades federais também desativaram uma botnet Flax Typhoon em 2024 e interromperam uma botnet Volt Typhoon em 2023.

A abordagem federal às ameaças cibernéticas estrangeiras também está se expandindo além das apreensões convencionais autorizadas pela justiça e das operações de remoção de malware. Um memorando presidencial de 12 de agosto determinou a criação de um programa de interrupção cibernética supervisionado pelo governo federal, permitindo que empresas americanas credenciadas proponham missões contra redes criminosas estrangeiras, com um prazo de 60 dias para que as autoridades estabeleçam critérios de elegibilidade, procedimentos de análise de alvos e medidas de proteção.

Investigadores federais têm cada vez mais desativado contas, servidores, domínios e conexões de rede que possibilitam operações cibernéticas estrangeiras. Durante uma iniciativa separada em maio, empresas de tecnologia se uniram a uma operação do Departamento de Justiça (DOJ) que desativou mais de 1,4 milhão de contas ligadas a golpes. Os participantes também bloquearam tráfego malicioso na internet, desativaram infraestruturas de hospedagem e ajudaram a congelar mais de US$ 3,8 milhões em criptomoedas.

Usuários individuais enfrentam riscos diferentes daqueles de grupos sofisticados que têm como alvo órgãos governamentais e infraestruturas críticas, embora ambos possam explorar malware e dispositivos comprometidos. Medidas de proteção comuns incluem atualizar softwares, evitar downloads suspeitos e verificar sites antes de inserir informações confidenciais. Phishing e sites falsos podem instalar malware ou expor senhas, enquanto roteadores desatualizados podem fornecer aos invasores uma infraestrutura para ocultar outras invasões.