L'FBI ha lanciato un allarme su QTFY, un sofisticato gruppo di hacker cinesi attivo da quasi un decennio. Il gruppo utilizza un ecosistema di piattaforme personalizzate per colpire infrastrutture critiche e organizzazioni governative statunitensi, con l'obiettivo probabile di spionaggio.
Un avviso congiunto dell'FBI, della National Security Agency (NSA) e della Cyber National Mission Force ha messo in guardia contro le attività di un gruppo di hacking cinese noto come QTFY (anche identificato come QT e QTCYBER). Questo gruppo, ritenuto attivo dal 2018 e collegato alla società cinese Nanjing Xinjiuwei Network Technology Co., è accusato di aver preso di mira per quasi un decennio settori sensibili negli Stati Uniti, tra cui la base industriale della difesa, le comunicazioni, le istituzioni governative e l'istruzione superiore.
Nel corso del 2024, QTFY è riuscito a esfiltrare dati da oltre 300 organizzazioni a livello globale, sfruttando una vulnerabilità nota nel Check Point Quantum Gateway. Tra le vittime figurano importanti appaltatori della difesa statunitense, istituzioni finanziarie e università. L'FBI ha inoltre segnalato tentativi di compromissione ai danni del Dipartimento di Giustizia USA, della Federal Reserve e della NASA, con incursioni mirate anche verso ospedali e sistemi elettorali.
Sebbene le motivazioni precise non siano state divulgate ufficialmente, gli esperti ritengono che lo spionaggio sia l'obiettivo primario del gruppo. L'accesso a reti legate alla difesa nazionale potrebbe fornire all'avversario informazioni cruciali su piani operativi, relazioni con appaltatori e vulnerabilità nei sistemi di sicurezza nazionale.
La forza di QTFY risiede nella sua capacità di operare attraverso un ecosistema di piattaforme malevole sviluppate internamente, progettate per massimizzare l'efficienza delle operazioni e rendere difficile l'identificazione e il tracciamento da parte delle difese informatiche.
Una di queste piattaforme, denominata QScan, è uno strumento di scansione rapida volto a identificare vulnerabilità nelle reti delle vittime e a sfruttare dispositivi IoT (Internet of Things) compromessi. La potenza di QScan è notevole: l'FBI ha rivelato che nel solo 2024 il gruppo lo ha utilizzato per condurre oltre due milioni di attività di scansione e penetration testing in un singolo giorno.
Un altro componente chiave è QTRouter, una rete di offuscamento del traffico che opera su dispositivi compromessi, inclusi router con software personalizzato OpenWrt. QTFY sfrutta inoltre botnet per controllare i dispositivi IoT infetti, utilizzandoli come nodi proxy all'interno della rete QTRouter. Queste piattaforme lavorano in sinergia, creando un ambiente operativo complesso e difficile da decifrare.
QTFY si distingue per la sua abilità nello sfruttare sia vulnerabilità zero-day (sconosciute al produttore) sia N-day (note ma non ancora patchate) per ottenere l'accesso iniziale alle reti target. La piattaforma QScan svolge un ruolo fondamentale nella fase di ricognizione, effettuando attività come lo scraping di pagine web, la raccolta di certificati TLS, l'enumerazione di sottodomini e test di penetrazione.
Il gruppo mantiene un vasto database per identificare rapidamente i sistemi di interesse non appena viene scoperta una nuova vulnerabilità. Inoltre, QTFY partecipa attivamente a reti di hacker freelance legate alla Cina e a mercati di contrattazione informatica, il che gli consente di rimanere aggiornato sulle ultime tecniche di attacco e sfruttamento, inclusa l'integrazione dell'intelligenza artificiale nei propri processi.
Una volta ottenuto l'accesso, QTFY utilizza diverse tecniche per mantenere la persistenza all'interno della rete compromessa, come l'installazione di Remote Access Trojan (RAT), web shell e l'acquisizione di credenziali legittime. La rete QTRouter permette al gruppo di accedere alle reti delle vittime da dispositivi IoT compromessi nelle vicinanze, mimetizzando il proprio traffico con quello legittimo.
L'FBI ha osservato che stringhe di user agent uniche, provenienti da indirizzi IP cinesi, indicano l'uso di QTRouter sia da parte del personale di QTFY sia da parte di personale governativo della Repubblica Popolare Cinese.
La scala e la sofisticazione dell'ecosistema sviluppato da QTFY pongono sfide significative per le organizzazioni di difesa. La capacità del gruppo di far apparire le proprie attività malevole come geograficamente e operativamente ordinarie, unita alla velocità con cui QScan può identificare potenziali bersagli, rende la difesa un compito arduo.
Le agenzie di sicurezza raccomandano alle organizzazioni governative e alle infrastrutture critiche di adottare misure urgenti per mitigare la minaccia. Sebbene i dettagli specifici delle raccomandazioni non siano stati completamente divulgati nell'avviso, è probabile che includano il rafforzamento della sicurezza delle reti, la segmentazione dei sistemi critici, il monitoraggio approfondito del traffico di rete, l'aggiornamento tempestivo dei software e delle patch di sicurezza, e l'implementazione di autenticazione a più fattori robusta. È inoltre fondamentale sensibilizzare il personale sui rischi di phishing e altre tecniche di ingegneria sociale che potrebbero essere utilizzate come vettore di attacco iniziale.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
