In sintesi
Il 26 agosto 2026 il DOJ e l’FBI hanno annunciato il sequestro, autorizzato dalla magistratura, di tre domini che alimentavano QScan e QTRouter — due piattaforme di hacking operate dal gruppo cinese sponsorizzato dallo Stato QTFY (Nanjing Xinjiuwei Network Technology), che agiva per conto del Ministero della Sicurezza dello Stato cinese e dell’Esercito Popolare di Liberazione. QScan comprometteva automaticamente migliaia di dispositivi IoT a livello globale; QTRouter instradava il traffico di attacco attraverso di essi per mascherare le origini. Le vittime confermate includono NASA, Federal Reserve, Dipartimenti dell’Energia e della Giustizia, HHS, NIH, Senato USA, ospedali e istituti finanziari. L’operazione è durata ininterrottamente dal 2018 al 2026. Le CVE sfruttate riguardano Fortinet, Citrix, Exchange, F5, Log4j, Confluence, Ivanti e BeyondTrust — prodotti perimetrali enterprise standard.
Come funzionavano QScan e QTRouter
QScan era uno scanner automatizzato che analizzava continuamente internet alla ricerca di dispositivi IoT vulnerabili — router, videocamere, apparati di rete e server commerciali. Quando individuava un dispositivo esposto corrispondente a una CVE nota, lo infettava automaticamente senza intervento umano. I dispositivi compromessi venivano poi aggiunti a QTRouter, una botnet proxy che instradava il traffico di attacco di QTFY attraverso sistemi fisicamente situati al di fuori della Cina.
L’architettura a due piattaforme risolveva un problema operativo persistente per gli attaccanti sponsorizzati dallo Stato: l’attribuzione. Quando il traffico dell’intrusione effettiva esce da un router residenziale in Ohio o da un VPS cloud in Germania, l’organizzazione destinataria vede un IP di provenienza locale, non cinese. La threat intelligence basata su IP standard è cieca a questo pattern. L’FBI ha descritto QTRouter come il mezzo che faceva “apparire gli attacchi come provenienti da fonti locali anziché dalla Cina.”
Entrambe le piattaforme si affidavano a tre domini hard-coded — qtproxy.xyz, qt-proxy.org e qt-team.com — per autenticazione e comando e controllo. Quella scelta architetturale si è rivelata fatale: il sequestro dei domini ha reso entrambe le piattaforme inoperative simultaneamente, senza necessità di arresti o accesso fisico all’infrastruttura.
Chi è stato colpito e per quanto tempo
L’operazione ha operato dal 2018 al 2026 — otto anni di accesso continuativo alle infrastrutture critiche statunitensi. I bersagli confermati nei documenti giudiziari includono NASA, Federal Reserve, Dipartimenti dell’Energia, della Giustizia e della Salute e dei Servizi Umani, i National Institutes of Health e il Senato degli Stati Uniti. Oltre alle agenzie federali, le vittime comprendono ospedali, istituti finanziari, operatori di telecomunicazioni e appaltatori della difesa.
L’ampiezza è deliberata. I clienti di QTFY — il Ministero della Sicurezza dello Stato e l’EPL — utilizzano l’accesso persistente a più settori contemporaneamente. Un ospedale fornisce dati sui pazienti e pipeline di ricerca. Un istituto finanziario fornisce flussi di transazioni e reporting normativo. Un operatore di telecomunicazioni fornisce capacità di intercettazione delle comunicazioni. Non si tratta di violazioni opportunistiche, ma di operazioni di raccolta a lungo termine.
La lista CVE: i vostri software aziendali sono inclusi
La community del penetration testing ha documentato i bersagli di exploitation di QTFY negli atti giudiziari. Le CVE riguardano prodotti presenti in quasi ogni inventario perimetrale enterprise:
- Fortinet SSL-VPN — il gateway VPN utilizzato da decine di migliaia di organizzazioni per l’accesso remoto
- Citrix ADC — delivery delle applicazioni e bilanciamento del carico, spesso esposto a internet
- Microsoft Exchange — server di posta on-premises, bersaglio perenne per la complessità e i cicli di patching lenti
- F5 BIG-IP — load balancer e sistemi di gestione del traffico in ambienti finanziari e sanitari
- Apache Log4j — la vulnerabilità della libreria che ha dominato le finestre di divulgazione del 2021 e che risulta ancora senza patch in alcuni ambienti fino al 2026
- Atlassian Confluence — documentazione interna e wiki di progetto, comune nelle organizzazioni di sviluppo software
- Gateway Check Point — appliance di sicurezza firewall e di rete
- CrushFTP — server di trasferimento file, comune nei settori regolamentati che gestiscono grandi volumi di dati
- Appliance Ivanti — sistemi VPN e di gestione degli endpoint con una storia di exploit zero-day nel periodo 2024–2026
- BeyondTrust Remote Support — gestione degli accessi privilegiati per operazioni IT remote
Il pattern ricorrente in questa lista è consistente: appliance esposte a internet con cicli di patching ritardati. Nessuna di queste vulnerabilità ha richiesto ricerca sofisticata sullo zero-day. Si trattava di falle note, con CVE assegnata e patch del vendor disponibile, dove il divario tra disponibilità della patch e sua applicazione ha aperto la porta agli attaccanti.
Come l’FBI ha smantellato le piattaforme
L’FBI ha ottenuto mandati attraverso il Distretto Sud della California per sequestrare i tre domini C2 hard-coded. Una volta sequestrati, QScan non era più in grado di autenticare i dispositivi infetti e QTRouter ha perso la propria infrastruttura di comando. Entrambe le piattaforme si sono spente simultaneamente. Non ci sono stati arresti; l’attribuzione è stata confermata tramite i registri di pagamento dell’MSS a Nanjing Xinjiuwei, che include ex membri dell’EPL nel proprio organico.
L’approccio del sequestro — prendere di mira l’infrastruttura condivisa anziché le singole macchine infette — sta diventando la prassi standard per le forze dell’ordine statunitensi nel contrasto alle botnet sponsorizzate dallo Stato. È operativamente più rapido del tentativo di bonificare migliaia di dispositivi IoT individualmente compromessi su più giurisdizioni, e costringe gli avversari a ricominciare da zero anziché semplicemente registrare di nuovo un dominio.
Cosa significa per i team software US e UE
Gli apparati perimetrali senza patch sono il punto di accesso documentato degli attori nazionali. La lista CVE di QTFY dovrebbe essere trattata come un inventario di patch prioritarie, non come una curiosità storica. Log4j vi è comparsa nel 2026 — quasi cinque anni dopo la divulgazione iniziale. Le organizzazioni che affermano “non siamo un bersaglio governativo” dovrebbero riconsiderare: la Federal Reserve e il NIH erano su questa lista insieme a ospedali e appaltatori della difesa. I dati della supply chain e finanziari di qualsiasi organizzazione che opera in un settore regolamentato sono obiettivi interessanti per la raccolta di informazioni.
I dispositivi IoT nel vostro ambiente sono materiale per botnet. QTRouter era costruita da videocamere, router e appliance compromesse — la stessa categoria di dispositivi presente nei laboratori di sviluppo, nelle reti d’ufficio e negli ambienti di staging. Una videocamera IP non gestita in una sala server non è un rischio teorico; è l’infrastruttura che rende possibile il proxy routing di attacchi come quello di QTFY. La segmentazione di rete che isola i dispositivi IoT dai sistemi che gestiscono dati sensibili riduce il raggio d’impatto quando un dispositivo viene compromesso.
L’attribuzione basata su IP non è affidabile per il traffico nation-state. QTRouter ha specificamente eluso le allowlist IP e il blocco per paese instradando attraverso IP domestici. Per i team cloud e DevOps che mantengono regole dei security group e policy WAF: il traffico proveniente da regioni geografiche attese non equivale a traffico attendibile. Il rilevamento delle anomalie comportamentali, la telemetria degli endpoint e le policy di rete Zero Trust forniscono i livelli che le regole IP grezze non garantiscono.
I team FinTech e HealthTech affrontano lo stesso profilo di minaccia della Federal Reserve e del NIH. I bersagli di questa operazione sono esattamente i settori in cui operano i clienti di YuSMP. I tempi di notifica delle violazioni previsti da GDPR e HIPAA assumono che gli incidenti vengano rilevati in giorni o settimane; QTFY ha operato per otto anni prima del sequestro. Le intrusioni persistenti a lungo termine e a basso profilo non attivano gli alert basati su soglie per cui la maggior parte delle configurazioni SIEM è calibrata.
Cosa significa per il mercato italiano : L’ACN (Agenzia per la Cybersicurezza Nazionale) ha identificato i gruppi APT cinesi come una delle principali minacce per le infrastrutture critiche italiane, in particolare nei settori energetico, manifatturiero e della difesa. Le CVE sfruttate dal gruppo QTFY — Fortinet, Citrix, Ivanti, Microsoft Exchange — compaiono regolarmente nelle allerte di sicurezza dell’ACN e del CSIRT Italia. In base al D.Lgs. 138/2024, che recepisce la direttiva NIS2 nell’ordinamento italiano, gli operatori di servizi essenziali e i soggetti importanti sono tenuti a notificare gli incidenti significativi all’ACN entro 24 ore dalla rilevazione. Un dispositivo IoT compromesso utilizzato come nodo proxy in stile QTRouter costituisce un incidente notificabile. Qualora siano coinvolti dati personali, si applica anche la notifica al Garante per la protezione dei dati personali entro 72 ore, ai sensi del RGPD. Le aziende italiane di FinTech e HealthTech — gli stessi settori colpiti da QTFY — devono trattare la lista CVE come un inventario di audit prioritario, in particolare alla luce del Perimetro di Sicurezza Nazionale Cibernetica (PSNC), che impone requisiti di sicurezza rafforzati per i soggetti inclusi.
Il vostro perimetro è nella lista CVE di QTFY?
I nostri ingegneri conducono audit di sicurezza e penetration test che mappano la superficie di attacco esposta su Internet rispetto ai pattern di exploitation noti, incluse le CVE utilizzate nelle operazioni sponsorizzate da stati. Forniamo una roadmap di remediation prioritizzata con tempistiche di patching adeguate al vostro ciclo di deployment. Gli incarichi durano tipicamente da due a quattro settimane.
Richiedi un audit di sicurezzaCosa devono fare ora i team di sviluppo
| Azione | Tempistica | Note |
|---|---|---|
| Applicare le patch a Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP, Ivanti, BeyondTrust Remote Support alle versioni correnti | Questa settimana | Tutti e cinque sono nella lista di exploitation di QTFY e dispongono di patch del vendor correnti; ritardare dopo un’operazione di violazione divulgata è indifendibile in qualsiasi audit di conformità |
| Verificare tutti gli impianti Exchange on-premises per i Cumulative Update applicati | Questa settimana | Exchange on-premises rimane un bersaglio ad alto valore; se la propria organizzazione non riesce a mantenere una cadenza mensile di CU, la migrazione al cloud rappresenta una postura a rischio inferiore rispetto al self-hosting continuato |
| Ricercare le dipendenze Log4j in tutti i servizi, incluse le dipendenze transitive | Questo sprint | La presenza di Log4j in un’operazione del 2026 indica che alcune organizzazioni la eseguono ancora; una scansione del grafo delle dipendenze costa meno di un intervento di incident response |
| Inventariare e segmentare i dispositivi IoT su tutte le reti | Questo sprint | La segmentazione di rete che isola videocamere, hardware di controllo accessi e appliance non gestite dai sistemi interni limita il potenziale di pivot di qualsiasi dispositivo compromesso |
| Rivedere le soglie di alert SIEM per anomalie a lungo termine e a basso volume | Sprint successivo | L’alerting standard basato su soglie non rileva una persistenza di otto anni; le baseline comportamentali e l’analisi comportamentale di utenti ed entità (UEBA) intercettano le anomalie che le regole sui volumi non colgono |
| Applicare policy di rete Zero Trust ai workload connessi al cloud | Prossimo trimestre | Zero Trust elimina la fiducia implicita nella posizione di rete, vanificando il vantaggio di spoofing IP dell’infrastruttura proxy in stile QTRouter |
Fonti: Dipartimento di Giustizia degli Stati Uniti — Justice Department and FBI Seize Platforms Operated and Used by China State-Sponsored Hackers to Target U.S. Critical Infrastructure (DOJ Office of Public Affairs, 26 agosto 2026); Security Affairs — FBI Seizes China-Linked Hacking Platforms QScan and QTRouter (Security Affairs, 27 agosto 2026); UPI — DOJ seizes 2 platforms used by China-supported hackers (UPI, 26 agosto 2026).
FAQ
Cosa sono QScan e QTRouter?
QScan è uno scanner automatizzato di vulnerabilità IoT e uno strumento di infezione operato dal gruppo cinese sponsorizzato dallo Stato QTFY. Analizzava internet alla ricerca di dispositivi IoT esposti e li comprometteva automaticamente, aggiungendoli a QTRouter, una botnet proxy che instradava il traffico di attacco malevolo attraverso sistemi situati al di fuori della Cina, mascherando la vera origine degli attacchi contro le infrastrutture critiche statunitensi.
Quali agenzie e organizzazioni statunitensi sono state prese di mira?
I bersagli confermati includono NASA, Federal Reserve, Dipartimenti dell’Energia, della Giustizia e della Salute e dei Servizi Umani, i National Institutes of Health e il Senato degli Stati Uniti, oltre a ospedali, istituti finanziari, operatori di telecomunicazioni e appaltatori della difesa. L’operazione ha operato dal 2018 al 2026.
Quali CVE ha sfruttato QTFY per violare queste organizzazioni?
Il gruppo ha sfruttato vulnerabilità note in prodotti perimetrali enterprise comuni: Fortinet SSL-VPN, Citrix ADC, Microsoft Exchange, F5 BIG-IP, Apache Log4j, Atlassian Confluence, gateway Check Point, CrushFTP, appliance Ivanti e BeyondTrust Remote Support. Sono state utilizzate sia vulnerabilità con patch disponibili sia quelle appena divulgate, a indicare che le organizzazioni non applicavano gli aggiornamenti in modo tempestivo.
Come hanno smantellato le piattaforme l’FBI e il DOJ?
L’FBI ha ottenuto mandati autorizzati dalla magistratura per sequestrare i tre domini hard-coded in entrambi i malware: qtproxy.xyz, qt-proxy.org e qt-team.com. Quei domini gestivano l’autenticazione e il comando e controllo. Il loro sequestro ha reso entrambe le piattaforme QScan e QTRouter inoperative simultaneamente, senza necessità di arresti o accesso fisico all’infrastruttura straniera.
Cosa devono fare i team software enterprise in risposta?
Tre priorità immediate: (1) Verificare e applicare le patch a tutti gli apparati esposti a internet presenti nella lista CVE — in particolare Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP, Ivanti e BeyondTrust Remote Support. (2) Inventariare e segmentare i dispositivi IoT sulle reti di sviluppo, staging e ufficio — videocamere e router compromessi sono i mattoni delle botnet proxy come QTRouter. (3) Rivedere i pattern del traffico proxy in uscita per anomalie comportamentali; QTRouter instrada il traffico attraverso IP dall’aspetto legittimo, quindi l’attribuzione basata sull’IP è da sola insufficiente.