Gli Usa smantellano la rete cyber legata alla Cina. Il caso Qtfy

Il bersaglio non era uno solo. Nasa, Federal Reserve, Dipartimento di Giustizia, Dipartimento dell’Energia, National Institutes of Health, Senato degli Stati Uniti. E poi reti militari, ospedali, aziende energetiche, società di telecomunicazioni e contractor della difesa.

È il perimetro, ancora non completamente definito, di una lunga campagna di cyberspionaggio che le autorità americane attribuiscono ad attori collegati alla Repubblica Popolare Cinese. A ricostruire il caso è la Cnn, sulla base di documenti giudiziari e delle informazioni diffuse mercoledì dal Dipartimento di Giustizia americano.

Al centro dell’operazione c’è un gruppo indicato dalle autorità statunitensi con il nome di Qtfy e una società con sede a Nanchino, la Nanjing Xinjiuwei Network Technology Company. Secondo l’affidavit presentato dall’Fbi, alcuni dipendenti dell’azienda avrebbero precedenti nell’Esercito popolare di liberazione e avrebbero sfruttato quelle relazioni per ottenere contratti e subappalti legati a operazioni cyber offensive. Cnn riferisce inoltre che la società, fondata nel 2018, contava appena 17 dipendenti lo scorso anno.

La mossa dell’Fbi

Il Dipartimento di Giustizia ha ora sequestrato, su autorizzazione giudiziaria, tre domini utilizzati da due piattaforme denominate QScan e QTRouter. Una misura tecnica ma tutt’altro che marginale: i domini erano integrati direttamente nel funzionamento dei due strumenti ed erano necessari per alcune attività di comunicazione e autenticazione. Il sequestro, sostiene Washington, ha quindi reso entrambe le piattaforme inutilizzabili.

L’attività di Qtfy sarebbe iniziata almeno nel 2018 e sarebbe proseguita fino al 2026. Ma i documenti americani impongono una distinzione importante tra reti effettivamente compromesse e sistemi semplicemente presi di mira.

L’affidavit identifica, tra le vittime di intrusioni, tre laboratori nazionali del Dipartimento dell’Energia, i National Institutes of Health e un’agenzia del Dipartimento della Salute. Nasa, Federal Reserve, Dipartimento di Giustizia e Senato figurano invece tra gli enti bersagliati. Non in tutti i casi, dunque, è stato accertato pubblicamente il successo dell’intrusione né è ancora possibile stabilire quali informazioni siano state sottratte.

Ed è probabilmente questo il punto sul quale servirà più tempo. Una valutazione completa dei danni, soprattutto quando vengono coinvolte strutture governative e reti sensibili, difficilmente sarà resa pubblica in tutti i suoi dettagli.

Una piattaforma al servizio dello spionaggio

Il dato più interessante della vicenda riguarda però il modello operativo.

Secondo le autorità americane, l’esercito cinese e il Ministero della Sicurezza dello Stato, principale apparato di intelligence civile di Pechino, avrebbero utilizzato i servizi messi a disposizione dalla società di Nanchino per rendere più difficilmente attribuibile il traffico prodotto dalle operazioni.

L’Nsa, insieme a Fbi e Cyber National Mission Force, descrive Qtfy come un gruppo che nel tempo avrebbe sviluppato un insieme di prodotti complementari. QScan serviva alla ricognizione delle reti, alla ricerca di vulnerabilità e allo sfruttamento di dispositivi esposti; QTRouter permetteva invece di confondere il traffico malevolo con quello di utenti legittimi. Il gruppo avrebbe inoltre utilizzato reti di dispositivi IoT compromessi e vulnerabilità sia “zero-day” sia già note.

È una struttura che aiuta a capire l’evoluzione delle operazioni informatiche attribuite alla Cina. Non necessariamente un’unica squadra governativa che sviluppa internamente tutti gli strumenti necessari, ma un ecosistema in cui società private e fornitori specializzati mettono a disposizione capacità specifiche, dall’individuazione dei bersagli all’occultamento dell’origine delle connessioni.

Nascondersi nel traffico normale

L’indagine tecnica condotta da Black Lotus Labs, la divisione di threat intelligence di Lumen Technologies, aggiunge un altro elemento.

I ricercatori descrivono l’infrastruttura come una sorta di “quartermaster”, un fornitore tecnico capace di offrire agli operatori cyber ricognizione, proxy e instradamento delle comunicazioni. Parte del traffico sarebbe stata fatta passare attraverso servizi proxy commerciali, mescolando così le attività degli hacker con quelle di migliaia di normali utenti di Internet.

Il vantaggio è evidente. Gli indirizzi Ip cambiano, le connessioni malevole si confondono con quelle ordinarie e le tradizionali difese basate sul blocco di indirizzi sospetti diventano molto meno efficaci.

Black Lotus Labs ha osservato attività rivolte verso università e centri di ricerca attivi in settori come fisica avanzata, bioinformatica, aerospazio e tecnologie satellitari, oltre che verso reti governative, militari e industriali. Negli Stati Uniti, secondo i ricercatori, l’attenzione si sarebbe concentrata anche sui gateway di comunicazione, sui sistemi di controllo degli accessi e sui fornitori coinvolti nella logistica della difesa.

Il mercato cyber cinese

È qui che la vicenda supera il singolo caso Qtfy.

Negli ultimi anni le agenzie occidentali hanno documentato più volte l’utilizzo, da parte di gruppi legati a Pechino, di infrastrutture distribuite e società esterne capaci di fornire servizi altamente specializzati. Il ricorso a soggetti formalmente privati consente di aumentare la scala delle operazioni e, allo stesso tempo, di complicarne l’attribuzione.

“Gli hacker cinesi si sono professionalizzati in modo significativo nell’ultimo decennio”, ha spiegato a Cnn Dakota Cary, analista sulla Cina per SentinelOne. Le aziende che offrono servizi allo Stato, ha osservato, si sono moltiplicate e sono diventate sempre più specializzate. Un mercato che rende gli operatori più efficienti e il lavoro dei difensori più difficile.

Il sequestro dei domini interviene proprio su questo livello. Più che inseguire soltanto i singoli hacker, le autorità americane stanno cercando di colpire l’infrastruttura condivisa che permette a più operatori di lavorare contemporaneamente.

Non è la prima volta. Nel 2023 l’Fbi aveva neutralizzato una botnet utilizzata dal gruppo Volt Typhoon contro infrastrutture critiche americane; nel 2024 era intervenuto contro una rete di centinaia di migliaia di dispositivi IoT compromessi riconducibile a Flax Typhoon; nel 2025 aveva rimosso il malware di sorveglianza PlugX da oltre quattromila computer negli Stati Uniti.

Il dossier entra nei rapporti tra Washington e Pechino

La sicurezza informatica è da anni uno dei dossier più controversi nel confronto fra Washington e Pechino, accanto a commercio, tecnologia e Taiwan. Nel 2023 gli Stati Uniti avevano accusato gruppi cinesi di essersi introdotti in reti legate ai trasporti militari, agli impianti idrici e all’energia, attività che secondo Washington avrebbero potuto essere utilizzate per ostacolare una risposta americana in caso di crisi su Taiwan. Nel 2024, invece, l’attenzione si era concentrata sull’infiltrazione delle reti di telecomunicazione statunitensi, segnale che indica come capacità statali, società tecnologiche, contractor e reti commerciali possano convergere per rendere lo spionaggio informatico più scalabile e meno visibile.