(in)sicurezza digitale

2026-08-27 17:43:35

QTFY, il quartiermastro cinese del cyberspionaggio: otto anni di intrusioni contro NASA, Fed e Senato USA

Si parla di:
Toggle

Otto anni, sette agenzie federali statunitensi e una rete di router IoT compromessi sparsi per il pianeta: è il bilancio di QTFY, il gruppo di hacker-for-hire sponsorizzato da Pechino che il 26 agosto 2026 FBI e Dipartimento di Giustizia hanno colpito con un sequestro giudiziario dei domini che ne alimentavano l’infrastruttura. Non è il solito annuncio di attribuzione: è la fotografia di come la Cina abbia industrializzato lo spionaggio informatico, appaltandolo a un fornitore privato che vende accesso “chiavi in mano” come fosse un cloud provider.

Un “quartiermastro digitale” per il Ministero della Sicurezza di Stato

Secondo il comunicato congiunto del Dipartimento di Giustizia e i documenti giudiziari depositati presso il tribunale del Distretto Sud della California, QTFY opera per conto di Nanjing Xinjiuwei Network Technology Company (南京鑫玖维网络科技有限公司), un’azienda con sede a Nanchino che, tra i suoi clienti, annovererebbe direttamente il Ministero della Sicurezza di Stato (MSS) e l’Esercito Popolare di Liberazione (PLA). Ryan English, ricercatore di Lumen Technologies’ Black Lotus Labs — che ha collaborato con l’FBI all’indagine — l’ha definita un’operazione “comprehensive”, capace di fornire ricognizione continua su bersagli di alto valore attraverso un modello di servizio condiviso e multi-tenant: la stessa infrastruttura di offuscamento veniva riutilizzata per campagne diverse, abbattendo i costi operativi e aumentando la resilienza contro il take-down.

È lo stesso schema di “industrializzazione” già osservato con Volt Typhoon (infrastrutture critiche USA) e Flax Typhoon, i cui botnet erano stati smantellati dall’FBI rispettivamente nel 2023 e nel 2024, e con la rimozione del malware PlugX da oltre 4.000 computer statunitensi nel 2025. QTFY si inserisce in questa scia come ulteriore prova che dietro le sigle APT cinesi si nascondono spesso appaltatori privati che vendono accesso e infrastruttura ad attori statali, offuscando l’attribuzione diretta a Pechino.

QScan e QTRouter: ricognizione di massa e proxy usa e getta

Il cuore tecnico dell’operazione è la coppia di strumenti QScan e QTRouter, descritti dagli inquirenti come una vera e propria “suite” offensiva:

• QScan: un motore di scansione automatizzato che integra oltre 200 exploit proof-of-concept per individuare e compromettere dispositivi IoT vulnerabili su scala globale. Un agente FBI ha documentato che, in una sola giornata del 2024, QScan ha eseguito oltre 2 milioni di attività di scansione e sfruttamento.
• QTRouter: la rete di offuscamento del traffico che assorbe i dispositivi compromessi da QScan e li combina con servizi proxy commerciali (incluso il fornitore cinese fastlink.ws) e VPS noleggiati. Il traffico di spionaggio viene letteralmente mescolato a quello di consumatori legittimi che usano gli stessi servizi proxy, e l’infrastruttura di uscita (egress) ruota automaticamente per complicare il tracciamento.
• Fast Labyrinth e QTProxy: componenti aggiuntivi per la gestione dei nodi relay e il instradamento cifrato del traffico tra i vari livelli della rete.

Il risultato è un layer di anonimizzazione che permette agli attacchi di apparire provenienti da router domestici o piccoli uffici in giro per il mondo, anziché da infrastruttura riconducibile alla Cina — la stessa logica dei botnet “ORB” (Operational Relay Box) che negli ultimi anni hanno reso enormemente più difficile l’attribuzione rapida delle intrusioni state-sponsored.

Le vittime: dalla NASA al Senato USA

Gli atti giudiziari elencano tra le vittime confermate della campagna QTFY, attiva almeno dal maggio 2018:

• NASA
• Federal Reserve
• Department of Energy
• Department of Justice
• Department of Health and Human Services e National Institutes of Health
• Senato degli Stati Uniti

Secondo quanto riportato, la campagna ha toccato anche sistemi legati alle elezioni statunitensi nel giugno 2026, confermando come il perimetro di interesse di QTFY superi la pura raccolta di intelligence economica per estendersi a infrastrutture istituzionali e processi democratici.

Le vulnerabilità sfruttate: un catalogo di edge device

Uno degli aspetti più istruttivi del caso QTFY è la lista di prodotti presi di mira, che conferma un pattern ormai consolidato nelle campagne cinesi: puntare su appliance perimetrali (VPN, firewall, gateway di accesso remoto) spesso poco monitorate rispetto agli endpoint client. Tra i target figurano dispositivi e vulnerabilità di Ivanti (incluse tre zero-day, CVE-2024-8190, CVE-2024-8963 e CVE-2024-9380, sui Cloud Services Appliance), Fortinet SSL-VPN (CVE-2018-13379), Citrix ADC (CVE-2019-19781), Microsoft Exchange (CVE-2021-26855, ProxyLogon), F5 BIG-IP (CVE-2020-5902), Kentico CMS, Apache Log4j (CVE-2021-44228), Atlassian Confluence (CVE-2023-22515), Check Point Quantum Gateway (CVE-2024-24919), CrushFTP (CVE-2025-31161) e BeyondTrust Remote Support (CVE-2026-1731).

La combinazione di zero-day freschi e n-day storici ancora sfruttabili — molti di questi bug hanno anni — racconta bene perché il patching degli edge device resti uno dei problemi cronici della difesa perimetrale: un’appliance VPN non aggiornata dal 2019 può ancora oggi fare da porta d’ingresso per un’operazione di spionaggio statale del 2026.

Lo smantellamento e la reazione di Pechino

Il 26 agosto 2026 l’FBI, con l’autorizzazione di un tribunale federale, ha sequestrato i domini hardcoded nel malware usati per le funzioni di comunicazione e autenticazione tra i nodi — tra questi qt-proxy.org, qtproxy.xyz e securelink.qtproxy.xyz — rendendo di fatto inoperabili sia QScan sia QTRouter. Il procuratore generale Todd Blanche ha definito l’operazione “l’ultima di una serie di operazioni tecniche per smantellare attività di hacking indiscriminato” condotte dalla Cina, mentre il direttore dell’FBI Kash Patel ha sottolineato che la disruption ha colpito “un botnet e una piattaforma di hacking globali”. Pechino, come da copione in questi casi, ha respinto le accuse.

Due righe per i difensori

Il caso QTFY offre alcune lezioni operative dirette per chi gestisce infrastrutture esposte:

• Patching degli edge device come priorità assoluta: gran parte delle CVE sfruttate sono note da anni; il problema non è la scoperta ma la remediation tardiva su appliance perimetrali spesso considerate “invisibili” rispetto agli endpoint.
• Monitorare il traffico proxy/VPS commerciale anomalo: se il traffico malevolo si nasconde dentro flussi proxy legittimi, i controlli basati solo su reputazione IP perdono efficacia; servono euristiche comportamentali e correlazione temporale.
• Segmentazione delle appliance di rete: VPN gateway, firewall e sistemi di file transfer non dovrebbero avere accesso diretto e non mediato verso reti interne critiche.
• Threat hunting su dispositivi IoT/SOHO: router e dispositivi domestici compromessi restano un serbatoio enorme e sottovalutato per infrastrutture ORB usate da attori state-sponsored.
• Aggiornare gli IoC dai take-down: il sequestro dei domini non elimina l’infrastruttura residua; i team di detection dovrebbero integrare rapidamente gli indicatori pubblicati da FBI/CISA nelle proprie regole di rilevamento.

Indicatori di compromissione

# Domini sequestrati / infrastruttura QTFY (comunicato DOJ/FBI, 26 agosto 2026)
qt-proxy.org
qtproxy.xyz
securelink.qtproxy.xyz
mq-task.qt-proxy.org
mq-result.qt-proxy.org

# Servizio proxy commerciale collegato
fastlink.ws

# Componenti della suite offensiva
QScan       - motore di scansione/exploitation automatizzata (200+ PoC exploit)
QTRouter    - rete di offuscamento su base IoT/proxy/VPS
Fast Labyrinth - rete relay cifrata
QTProxy     - gestione nodi proxy
QTBotnet    - controllo del botnet IoT

# CVE storicamente sfruttate dalla campagna
CVE-2024-8190 / CVE-2024-8963 / CVE-2024-9380  - Ivanti CSA (zero-day)
CVE-2018-13379   - Fortinet SSL-VPN
CVE-2019-19781   - Citrix ADC
CVE-2021-26855   - Microsoft Exchange (ProxyLogon)
CVE-2020-5902    - F5 BIG-IP
CVE-2021-44228   - Apache Log4j
CVE-2023-22515   - Atlassian Confluence
CVE-2024-24919   - Check Point Quantum Gateway
CVE-2025-31161   - CrushFTP
CVE-2026-1731    - BeyondTrust Remote Support

Fonti: U.S. Department of Justice, The Hacker News, CyberScoop, BleepingComputer.

Officials disrupt Chinese espionage operation that hit multiple federal agencies

The full hacking suite, seized by authorities, allowed Chinese government funded attackers to intrude highly sensitive networks undetected for more than eight years.

^{Matt Kapko (CyberScoop)}

(in)sicurezza digitale

2026-08-27 17:42:18

Black Axe: Interpol smaschera la mafia digitale nigeriana, 58 arresti in 22 Paesi e 143 milioni di euro di truffe smantellate

Si parla di:
Toggle

Ventidue Paesi su sei continenti, 58 arresti, 263 sospetti identificati e oltre 143 milioni di euro di frodi da investimento smantellate: sono i numeri di Operation Jackal IV, l’ultima offensiva coordinata da Interpol contro Black Axe e le altre confraternite criminali dell’Africa occidentale che da anni dominano lo scenario globale di romance scam, business email compromise e riciclaggio digitale. Non è la prima volta che le forze dell’ordine colpiscono questa rete — ma la scala e la precisione chirurgica con cui questa edizione ha smontato l’ecosistema di supporto, più che i singoli truffatori, la rende un caso di studio su come si combatte oggi il cybercrime organizzato transnazionale.

Da confraternita universitaria a mafia digitale globale

Black Axe nasce alla fine degli anni ’70 come confraternita studentesca nigeriana (il “Neo-Black Movement of Africa”) prima di trasformarsi, nei decenni successivi, in una delle organizzazioni criminali transnazionali più redditizie al mondo. Oggi il gruppo — insieme a organizzazioni affiliate o imitatrici — genera miliardi di dollari l’anno operando in decine di Paesi, con una struttura gerarchica rigida che ricorda più una holding criminale che una gang di strada. È proprio questa capacità organizzativa, unita all’adozione spregiudicata delle tecnologie digitali, ad aver reso Black Axe un bersaglio prioritario per Interpol negli ultimi anni, con le precedenti Operation Jackal I e II (2022-2023, circa 200 arresti complessivi) e Jackal III (2024, alcune centinaia di arresti e circa 3 milioni di dollari sequestrati) che hanno progressivamente affinato la mappatura dell’infrastruttura criminale del gruppo.

Il modus operandi: dalla truffa romantica al sextortion

Il catalogo criminale documentato dagli investigatori in questa quarta edizione dell’operazione copre l’intero spettro delle frodi digitali su larga scala:

• Romance scam: relazioni sentimentali fittizie costruite su app di incontri e social network, tipicamente rivolte a persone anziane o pensionati, finalizzate a estorcere trasferimenti di denaro nel tempo.
• Business Email Compromise (BEC): compromissione o spoofing di account email aziendali per dirottare pagamenti e bonifici verso conti controllati dalla rete criminale.
• Investment fraud: piattaforme di investimento fasulle, spesso presentate tramite call center strutturati, che promettono rendimenti garantiti su criptovalute o mercati finanziari.
• Sextortion: un trend in preoccupante crescita secondo gli investigatori, che include la coercizione di vittime minorenni sui social media — un’evoluzione particolarmente allarmante del modello criminale tradizionale del gruppo.
• Crime-as-a-Service: fornitura, spesso tramite dark web, di infrastruttura di supporto a terzi — domini web, servizi di riciclaggio, identità sintetiche — che permette anche ad attori meno strutturati di operare su scala industriale.

Gli inquirenti descrivono una divisione dei ruoli interna sofisticata, con membri specializzati come agenti di “conversion” (che convincono le vittime a versare denaro) o di “retention” (che mantengono in vita la relazione fraudolenta il più a lungo possibile per massimizzare l’estorsione) — una struttura organizzativa quasi aziendale che riflette il salto di qualità della criminalità digitale organizzata rispetto al singolo truffatore opportunista.

La geografia dei blitz: Sud Africa, Romania, Argentina, Italia

Operation Jackal IV ha coinvolto le forze dell’ordine di 22 Paesi — tra cui Argentina, Australia, Austria, Canada, Costa d’Avorio, Emirati Arabi Uniti, Francia, Germania, Indonesia, Irlanda, Italia, Giappone, Malesia, Nigeria, Paesi Bassi, Portogallo, Regno Unito, Spagna, Stati Uniti, Sudafrica e Svezia — con i risultati operativi più significativi concentrati in quattro teatri:

• Sud Africa: 39 arresti, sette sedi perquisite a Johannesburg, 2,67 milioni di dollari sequestrati e 257 conti bancari congelati, con focus su romance e investment scam ai danni di pensionati.
• Argentina: 17 arresti e 196 sospetti identificati nello smantellamento di una rete di crime-as-a-service che forniva domini web e servizi di riciclaggio ad altre organizzazioni criminali.
• Romania: 11 arresti legati a un call center dedicato a investment scam, con sequestro di circa 379.000 dollari in contanti e criptovalute, sei immobili e orologi di lusso confiscati.
• Italia: identificazione di un individuo collegato a una rete di riciclaggio “pan-europea”; un singolo conto avrebbe movimentato circa 736.000 dollari attraverso società di comodo e servizi di rimessa internazionale.

Colpire l’ecosistema, non solo i truffatori

L’elemento più significativo di Jackal IV, secondo gli analisti, è lo spostamento del focus investigativo dai singoli operatori di frontline — spesso facilmente sostituibili — verso l’infrastruttura di supporto che rende possibile l’intera economia criminale: fornitori di domini, money mule reclutati su scala industriale, reti di riciclaggio basate su wallet crypto e conti di comodo, servizi di identità sintetica venduti come commodity nei forum underground. È lo stesso approccio “disruption dell’ecosistema” che negli ultimi anni le forze dell’ordine occidentali hanno applicato con crescente efficacia contro le infrastrutture ransomware, ed è la ragione per cui, nonostante il numero di arresti diretti resti relativamente contenuto rispetto alla scala globale del fenomeno, l’impatto economico dichiarato — oltre 143 milioni di euro tra fondi sequestrati e frodi neutralizzate — risulta sproporzionatamente alto.

Due righe pratiche per le organizzazioni

• Formazione anti-BEC mirata: i controlli di verifica su cambi improvvisi di coordinate bancarie o richieste di pagamento urgenti restano la contromisura più efficace ed economica contro il vettore BEC, ancora oggi tra i più redditizi per queste reti.
• Monitoraggio dei conti aziendali per pattern di money muling: transazioni frammentate verso conti neo-aperti o società di comodo sono un segnale che i team antifrode dovrebbero correlare con maggiore attenzione, specie in presenza di corridoi geografici ad alto rischio.
• Consapevolezza su romance scam e sextortion per gli utenti più vulnerabili: campagne di sensibilizzazione rivolte a categorie a rischio (anziani, adolescenti) restano uno strumento di prevenzione a basso costo e alto impatto.
• Collaborazione con le piattaforme: la rapidità di segnalazione di profili e wallet sospetti a exchange di criptovalute e piattaforme social riduce la finestra operativa di queste reti, che dipendono dalla persistenza di identità e infrastrutture online per operare su scala.

Fonti: CyberScoop, Dark Reading, P.M. News Nigeria.

Black Axe under siege: INTERPOL arrests 58, uncovers 263 suspects across 22 countries - P.M. News

INTERPOL’s eight-month operation against West African crime networks nets 58 arrests and identifies 263 suspects across 22 countries.

^{Kazeem Ugbodaga (P.M. News)}