O FBI desativou uma infraestrutura que, segundo o Departamento de Justiça, estava ligada a uma entidade tecnológica que fornecia serviços de reconhecimento, gerenciamento de proxies e direcionamento de comunicações para operações de espionagem cibernética ligadas à China. Os alvos divulgados incluíam redes pertencentes a agências governamentais dos Estados Unidos e infraestruturas sensíveis, entre elas a NASA, o Federal Reserve, os Departamentos de Energia e Justiça, o Departamento de Saúde e Serviços Humanos, os Institutos Nacionais de Saúde e o Senado dos Estados Unidos.
A entidade é conhecida como QTFY, QT ou QTCYBER, e o processo afirma que ela criou e operou as plataformas QScan e QTRouter. Os documentos descrevem o QScan como uma plataforma de varredura e exploração, enquanto o QTRouter funcionava como uma rede para ocultar a rota das comunicações. As autoridades assumiram os domínios qtproxy[.]xyz, qt-proxy[.]org e qt-team[.]com, que passaram a exibir um aviso de uma autoridade policial.
Uma plataforma de serviços, não uma ferramenta isolada
Segundo uma pesquisa do Black Lotus Labs, braço de pesquisa em segurança da Lumen Technologies, a infraestrutura fornecia um conjunto interconectado de serviços. O QScan coletava informações sobre alvos de alto valor, como portas abertas, logotipos de aplicativos, impressões digitais de sistemas operacionais e dados de configuração. Já o Fast Labyrinth era uma rede de retransmissores criptografados para ocultar as comunicações de e para as organizações-alvo.
O QTRouter fornecia um dispositivo físico pré-configurado para acessar a infraestrutura de proxies e o sistema de gerenciamento de nós, enquanto o QTProxy permitia selecionar retransmissores e criar rotas personalizadas por meio do Fast Labyrinth. Os resultados indicam que esses elementos foram projetados para reduzir o esforço operacional necessário para realizar o reconhecimento e ocultar a origem do tráfego, em vez de depender de uma única ferramenta de invasão.
A Lumen afirmou que a infraestrutura foi usada para atingir instituições militares e de defesa, redes governamentais, universidades e centros de pesquisa, empresas de aviação e de informações críticas, o setor de saúde, instituições financeiras, empresas de energia e infraestruturas críticas, além de fornecedores de software empresarial.
O que a operação de desativação revela?
O Black Lotus Labs afirma ter monitorado a infraestrutura da QTFY durante um ano e compartilhado informações sobre ameaças com órgãos do governo dos Estados Unidos. Também desativou pontos conhecidos, redirecionando o tráfego destinado a eles para rotas ineficazes. A Lumen considera que a sobreposição entre os alvos examinados pelo QScan e as instituições que posteriormente se comunicaram com a rede Fast Labyrinth é o indicador mais forte da passagem da atividade de reconhecimento para operações subsequentes.
A empresa estima que as comunicações bidirecionais observadas possam refletir tentativas de exploração, movimentação lateral, estabelecimento de acesso ou coleta de dados. Os documentos judiciais mencionam ainda que o grupo incluía ex-membros de um braço militar do Exército de Libertação Popular da China e que a Nanjing Xinjiuwei Network Technology Company recebeu pagamentos do Ministério da Segurança do Estado da China, algo que o Departamento de Justiça usa como indicador de que atividades maliciosas foram realizadas em nome do governo chinês.
Por que esta notícia é importante para os defensores?
A importância da operação está no fato de ela visar um modelo comercial de fornecimento de infraestrutura operacional, e não apenas um único servidor. O Fast Labyrinth dependia de nós pagos do serviço comercial de proxies fastlink.ws e misturava o tráfego de espionagem ao tráfego de usuários legítimos, enquanto alternava a infraestrutura de origem das comunicações. A QTFY também vendia acesso ao QScan e ao QTRouter a outras entidades, permitindo examinar dispositivos vulneráveis da Internet das Coisas e incorporá-los a redes de retransmissores que ocultavam a origem do tráfego.
Mesmo assim, a Lumen alerta que o bloqueio estático, por si só, não será suficiente, porque o tráfego passa por serviços comerciais de proxies que mudam constantemente. Os dados práticos recomendam seguir as orientações da CISA e do NCSC sobre ameaças ligadas à China e atualizar roteadores, firewalls e dispositivos da Internet das Coisas, além de proteger suas configurações. A operação de apreensão, por si só, não comprova o fim da ameaça; as limitações impostas pela alternância dos proxies e a possibilidade de reconstrução da infraestrutura por meio de outros serviços continuam sendo questões em aberto para as equipes de defesa.