FBI i Departament Sprawiedliwości USA zakłóciły działanie zaawansowanej operacji cybernetycznej powiązanej z Chinami, która rzekomo przez lata atakowała agencje rządowe, infrastrukturę krytyczną, organizacje obronne i inne wrażliwe sieci.
Operacja koncentrowała się na dwóch powiązanych platformach znanych jako QScan i QTRouter, które według władz USA zostały opracowane i były obsługiwane przez wspieraną przez państwo chińską grupę znaną jako QTFY.
Według dokumentów sądowych QTFY działa za pośrednictwem firmy Nanjing Xinjiuwei Network Technology Company, mającej siedzibę w Chinach, którą władze USA oskarżają o sprzedaż usług hakerskich klientom, wśród których miały być chińskie Ministerstwo Bezpieczeństwa Państwowego (MSS) i Chińska Armia Ludowo-Wyzwoleńcza (PLA).
Wśród atakowanych sieci były te należące do NASA, Rezerwy Federalnej, Departamentu Energii, Departamentu Sprawiedliwości, Departamentu Zdrowia i Opieki Społecznej, Narodowych Instytutów Zdrowia oraz Senatu USA.
Kampania zasługuje na uwagę nie tylko ze względu na wrażliwość celów, lecz także na infrastrukturę użytą do ukrywania ataków.
Zamiast wysyłać złośliwy ruch bezpośrednio z serwerów wyraźnie kojarzonych z Chinami, atakujący kierowali go przez przejęte routery, urządzenia Internetu rzeczy (IoT), komercyjną infrastrukturę proxy i wynajęte serwery na całym świecie.
Dla zaatakowanej organizacji włamanie mogło więc wyglądać, jakby pochodziło ze zwykłego połączenia internetowego — potencjalnie nawet takiego, które geograficznie znajduje się blisko celu.
FBI przejmuje infrastrukturę stojącą za QScan i QTRouter
26 sierpnia 2026 roku Departament Sprawiedliwości ogłosił przejęcie, na podstawie nakazu sądowego, domen wymaganych przez QScan i QTRouter.
Domeny te były na stałe wpisane w złośliwe oprogramowanie i były potrzebne do ważnych funkcji, w tym uwierzytelniania i komunikacji.
Według DOJ przejęcie kontroli nad tymi domenami uniemożliwiło działanie obu platform.
Brett Leatherman, zastępca dyrektora Wydziału Cyber FBI, powiedział, że infrastruktura kierowała złośliwą aktywność przez zwykłe urządzenia podłączone do internetu, znajdujące się w ponad 130 krajach, co pomagało atakującym maskować prawdziwe pochodzenie operacji.
Działanie to jest znaczącym zakłóceniem.
Nie należy jednak rozumieć go tak, że szersze zagrożenie zniknęło.
FBI zlikwidowało kluczową infrastrukturę wspierającą operację. Osoby, organizacje i klienci rzekomo powiązani z tą siecią mogą nadal dysponować innymi narzędziami i próbować odbudować podobną infrastrukturę.
Jak działał QScan
Pierwszym elementem systemu był QScan.
Władze USA opisują QScan jako platformę do skanowania podatności i ich wykorzystywania.
Jego zadaniem było w zasadzie wskazywanie potencjalnych celów i podatnych systemów podłączonych do internetu.
QScan mógł prowadzić rozpoznanie wobec organizacji, a jednocześnie identyfikować podatne urządzenia, które same można było przejąć.
Do tych urządzeń należały takie systemy jak routery, kamery i inny sprzęt IoT.
Przejęte urządzenia mogły następnie stać się częścią infrastruktury ataku, a nie tylko końcowymi ofiarami.
NSA podaje, że QTFY wykorzystywała zarówno luki zero-day, jak i już znane podatności, aby uzyskać dostęp do systemów. Po wejściu do środka napastnicy mogli też zdobywać legalne poświadczenia, aby utrzymać trwały dostęp.
Powstał w ten sposób uprzemysłowiony proces:
znajdź podatną infrastrukturę, przejmij ją, zamień część z niej w infrastrukturę ataku, a następnie użyj jej przeciwko celom o wyższej wartości.
QTRouter ukrywał, skąd naprawdę pochodzą ataki
Drugim głównym elementem był QTRouter.
QTRouter działał jako sieć zaciemniająca.
Łączył przejęte urządzenia IoT z komercyjnymi usługami proxy i wynajętymi serwerami wirtualnymi.
Atakujący mogli kierować swój ruch przez tę rozproszoną sieć, zanim dotarł do zamierzonej ofiary.
To znacznie utrudnia atrybucję i wykrywanie.
Zespół bezpieczeństwa analizujący swoje logi mógł zobaczyć złośliwy ruch pochodzący z domowego routera, komercyjnego serwera proxy lub przejętego urządzenia w innym kraju, a nie z infrastruktury wyraźnie kojarzonej z atakującym.
DOJ podało, że część ruchu mogła nawet wyglądać, jakby pochodziła z urządzeń znajdujących się w pobliżu atakowanej organizacji.
Ta technika coraz częściej pojawia się w zaawansowanych operacjach powiązanych z państwami.
Zamiast budować oczywiste serwery dowodzenia i kontroli, które obrońcy mogą zidentyfikować i zablokować, atakujący używają dużych pul legalnej lub przejętej infrastruktury jako operacyjnych przekaźników.
Ukrywanie się w normalnym ruchu internetowym
Badania Black Lotus Labs z Lumen Technologies pozwalają lepiej zrozumieć, jak działała ta infrastruktura.
Badacze śledzili coś, co określili jako techniczną „kwatermistrzynię” wspierającą chińskie operacje cyberszpiegowskie.
Jej infrastruktura łączyła rozpoznanie, zarządzanie proxy i kierowanie ruchem w usługę do wielokrotnego użytku, z której mogli korzystać inni aktorzy.
Szczególnie skuteczna technika wykorzystywała komercyjne usługi proxy.
Black Lotus Labs zaobserwowało złośliwą komunikację przechodzącą przez infrastrukturę, która obsługiwała jednocześnie znaczne ilości legalnego ruchu internetowego konsumentów.
Zapewniało to atakującym naturalny kamuflaż.
Zamiast podejrzanego serwera komunikującego się wyłącznie z systemami rządowymi, złośliwe połączenia mieszały się ze zwykłym ruchem osób korzystających z komercyjnych usług proxy.
Black Lotus Labs stwierdziło, że zdecydowana większość ruchu na niektórych z tych tras przypominała normalne korzystanie z komercyjnych VPN.
To poważne wyzwanie dla obrońców.
Zablokowanie pojedynczego podejrzanego adresu IP może dać niewiele, gdy atakujący może stale rotować między:
przejętymi routerami, legalnymi dostawcami proxy, wynajętą infrastrukturą i geograficznie rozproszonymi węzłami wyjściowymi.
Black Lotus Labs doszło do wniosku, że tradycyjne statyczne listy blokad IP są coraz mniej wystarczające wobec tego rodzaju infrastruktury.
NASA i Rezerwa Federalna były celami — ale niekoniecznie zostały naruszone
Początkowe doniesienia towarzyszące ogłoszeniu FBI wywołały pewne zamieszanie co do tego, które organizacje faktycznie zostały przejęte.
Departament Sprawiedliwości początkowo opisał agencje takie jak NASA i Rezerwa Federalna jako ofiary.
Później sprostował to stwierdzenie.
28 sierpnia DOJ wyjaśniło, że te organizacje były celami, natomiast jedynie w przypadku części atakowanych organizacji potwierdzono skuteczne naruszenie.
To rozróżnienie jest ważne.
Według zeznania FBI, na które powołuje się Reuters, próba włamania do NASA zakończyła się niepowodzeniem, ponieważ agencja załatała atakowane oprogramowanie.
Zeznanie opisuje jednak skuteczne włamania gdzie indziej.
We wrześniu 2024 roku QTFY miała rzekomo naruszyć systemy powiązane z trzema Narodowymi Laboratoriami Departamentu Energii, NIH, agencją HHS i amerykańskim producentem urządzeń zabezpieczających.
Osobny wspólny komunikat doradczy dotyczący cyberbezpieczeństwa opisuje także skuteczną kradzież danych w nienazwanych organizacjach z sektorów obejmujących obronność, finanse i szkolnictwo wyższe.
W marcu 2026 roku atakowano również Senat USA i amerykański szpital, choć według doniesień te próby zakończyły się niepowodzeniem.
Kampania prowadzona co najmniej od 2018 roku
Operacja nie była krótkotrwałą kampanią włamań.
Władze USA podają, że aktywność QTFY sięga co najmniej 2018 roku.
NSA twierdzi, że grupa opracowała szerszy ekosystem złośliwych narzędzi i usług, w tym QScan, QTRouter oraz kilka systemów służących do zarządzania przejętymi urządzeniami i infrastrukturą proxy.
Grupa miała też działać w społecznościach zajmujących się tworzeniem exploitów oraz na rynkach freelancerskich usług hakerskich.
Odzwierciedla to szerszy trend w operacjach cybernetycznych wspieranych przez państwa.
Agencje rządowe nie muszą koniecznie budować wszystkich zdolności we własnym zakresie.
Prywatne firmy, wykonawcy, twórcy exploitów i dostawcy infrastruktury mogą dostarczać wyspecjalizowane usługi.
Całość zaczyna przypominać komercyjny ekosystem technologiczny — z tą różnicą, że produkty obejmują wykrywanie podatności, zdolności włamań, złośliwe oprogramowanie i infrastrukturę zaprojektowaną do ukrywania operacji cybernetycznych.
Domniemany wykonawca stojący za operacją
Władze USA łączą QTFY z firmą Nanjing Xinjiuwei Network Technology Company.
Według DOJ firma świadczyła usługi hakerskie płacącym klientom, w tym chińskim organizacjom rządowym.
FBI opisuje szerszy ekosystem jako mieszankę hakerów do wynajęcia i klientów rządowych.
Taki model wykonawczy może zapewnić rządom dodatkową skalę, a jednocześnie komplikuje atrybucję.
Firmy z branży cyberbezpieczeństwa coraz częściej dokumentują chińską aktywność zagrożeń, w której nakładają się relacje między państwowymi organizacjami wywiadowczymi, prywatnymi firmami z branży cyberbezpieczeństwa, badaczami podatności i freelancerami-hakerami.
Zarzuty wobec Nanjing Xinjiuwei wpisują się w ten szerszy wzorzec.
Atrybucję należy jednak opisywać dokładnie.
Te twierdzenia pochodzą od śledczych rządu USA oraz wspierających je badań nad wywiadem o zagrożeniach.
Chiny kwestionują oskarżenia USA dotyczące swoich operacji cybernetycznych.
Po sierpniowym ogłoszeniu rzecznik chińskiej ambasady oskarżył Stany Zjednoczone o wykorzystywanie kwestii cyberbezpieczeństwa do dyskredytowania Chin i powiedział, że Pekin sprzeciwia się temu, co określił jako nadmierne rozszerzanie pojęcia bezpieczeństwa narodowego.
Dlaczego urządzenia brzegowe są tak cenne dla atakujących
Operacja uwypukla też problem, który staje się coraz ważniejszy dla bezpieczeństwa przedsiębiorstw: routery i inne urządzenia brzegowe są dziś częścią pola walki.
Atakujący, który przejmie stację roboczą pracownika, zyskuje jeden przyczółek.
Atakujący, który przejmie tysiące routerów, zyskuje coś innego:
rozproszoną platformę infrastrukturalną.
Urządzenia te można wykorzystać do ukrywania rozpoznania, ataków na poświadczenia, prób wykorzystania luk i kradzieży danych.
Ponieważ routery i systemy IoT mogą być monitorowane mniej niż zwykłe serwery, atakujący mogą czasem utrzymywać dostęp przez długi czas.
A gdy przejęte urządzenie należy do niepowiązanego domu lub firmy, ruch z niego może początkowo wyglądać niegroźnie.
Dlatego organizacje nie powinny automatycznie ufać połączeniom tylko dlatego, że pochodzą z krajowych, domowych lub znanych geograficznie adresów IP.
Dlaczego tradycyjne blokowanie IP jest coraz mniej skuteczne
Zespoły bezpieczeństwa od dawna w dużym stopniu opierały się na wskaźnikach takich jak złośliwe adresy IP i dostawcy hostingu.
Te środki kontroli nadal są użyteczne.
Sieci takie jak QTRouter pokazują jednak ich ograniczenia.
Aktor zagrożeń może przemieszczać się przez tysiące szybko zmieniających się punktów przekaźnikowych.
Ten sam złośliwy operator może w kolejnych połączeniach wyglądać na pochodzącego z różnych krajów, sieci i od różnych dostawców.
I odwrotnie — adres IP używany do złośliwej aktywności może też przenosić legalny ruch.
Obrońcy muszą więc coraz częściej oceniać zachowanie, a nie tylko lokalizację.
Wzorce uwierzytelniania, tożsamość urządzeń, żądane zasoby, eskalacja uprawnień, nietypowe połączenia wychodzące i nietypowe zachowanie aplikacji mogą być bardziej wiarygodnymi sygnałami niż sam źródłowy adres IP.
Co powinny zrobić organizacje
NSA, FBI i Cyber National Mission Force opublikowały wspólny komunikat doradczy razem z działaniami zakłócającymi. Ich zalecenia, w połączeniu z wnioskami z tej kampanii, sprawiają, że kilka działań obronnych jest szczególnie ważnych:
- Szybko łataj systemy dostępne z internetu. QTFY wykorzystywała podobno zarówno luki zero-day, jak i znane podatności. Starsze luki pozostają użyteczne dla atakujących, gdy organizacje zwlekają z aktualizacjami.
- Aktualizuj routery, zapory sieciowe i oprogramowanie układowe urządzeń IoT. Urządzenia brzegowe powinny dostawać tyle samo uwagi w zarządzaniu podatnościami co tradycyjne serwery.
- Izoluj systemy krytyczne od infrastruktury brzegowej. Przejęty router lub brama nie powinny automatycznie otwierać drogi do wrażliwych systemów wewnętrznych.
- Szukaj opublikowanych wskaźników naruszenia (IoC) grupy QTFY. Organizacje powinny przejrzeć historyczne rekordy DNS, proxy, zapór sieciowych i przepływów sieciowych, tam gdzie są dostępne.
- Audytuj aplikacje i strony internetowe dostępne z internetu. Ogranicz zbędną ekspozycję i zidentyfikuj informacje, które mogłyby pomóc atakującym zmapować infrastrukturę wewnętrzną.
- Stosuj silne uwierzytelnianie i zasadę najmniejszych uprawnień. Skradzione legalne poświadczenia mogą pozwolić atakującym utrzymać dostęp nawet po załataniu pierwotnej luki.
- Nie poprzestawaj na geograficznym filtrowaniu IP. Ruchowi pochodzącemu w pobliżu Twojej organizacji lub z sieci domowej nie należy automatycznie ufać.
- Monitoruj nietypowe zachowanie urządzeń brzegowych. Nieoczekiwany ruch wychodzący, zmiany konfiguracji i połączenia z nieznaną infrastrukturą zasługują na zbadanie.
- Segmentuj wrażliwe środowiska. Sieci rządowe, finansowe, badawcze, produkcyjne i administracyjne nie powinny polegać na jednej kontroli obwodowej.
FBI coraz częściej celuje w infrastrukturę ataków
Zakłócenie działania QTFY jest częścią szerszej strategii USA polegającej na podejmowaniu działań technicznych przeciwko infrastrukturze używanej przez atakujących wspieranych przez państwa.
DOJ wskazało kilka wcześniejszych operacji.
W 2025 roku FBI usunęło oprogramowanie szpiegowskie PlugX z ponad 4000 komputerów w USA, powiązane z aktywnością przypisywaną grupie Mustang Panda.
W 2024 roku władze zakłóciły działanie dużego botnetu IoT powiązanego z Flax Typhoon.
A w 2023 roku FBI zakłóciło działanie infrastruktury używanej przez Volt Typhoon do ukrywania operacji przeciwko infrastrukturze krytycznej.
Strategia ta wykracza poza identyfikowanie atakujących.
Przejmując domeny, usuwając złośliwe oprogramowanie i wyłączając infrastrukturę dowodzenia, organa ścigania próbują bezpośrednio zmniejszyć zdolności operacyjne przeciwnika.
QTFY pokazuje, dlaczego może to być skuteczne.
Przejęte urządzenia były rozproszone po całym świecie, ale QScan i QTRouter nadal zależały od usług centralnych.
Te zależności stworzyły punkt, w którym śledczy mogli zainterweniować.
Zakłócenie nie oznacza, że zagrożenie zniknęło
Operacja była znaczącym sukcesem obronnym.
Organizacje powinny jednak unikać traktowania komunikatu o likwidacji jako końca zagrożenia.
Infrastrukturę ataków można zastąpić.
Domeny można zarejestrować ponownie.
Można przejąć nowe urządzenia.
Dostawcy proxy mogą się zmienić.
Można wdrożyć nowe złośliwe oprogramowanie.
Ważniejszym rezultatem mogą więc być informacje wywiadowcze uzyskane dzięki śledztwu.
FBI, NSA, CNMF i prywatni badacze mają teraz znacznie lepszy wgląd w infrastrukturę, techniki i powiązania operacyjne wokół QTFY.
Dla obrońców opublikowane wskaźniki i informacje o zachowaniach mogą pomóc w identyfikowaniu historycznej lub trwającej aktywności nawet po zniknięciu pierwotnej infrastruktury.
Podsumowanie
Zakłócenie przez FBI działania QScan i QTRouter pokazuje, jak zaawansowane operacje cyberszpiegowskie coraz częściej chowają się za zwykłym internetem.
Według władz USA QTFY stworzyła ekosystem zdolny do skanowania podatności, przejmowania urządzeń podłączonych do internetu i kierowania ruchu ataków przez rozproszoną sieć ukrywającą jego prawdziwe pochodzenie.
Cele obejmowały jedne z najbardziej wrażliwych organizacji w Stanach Zjednoczonych, w tym NASA, Rezerwę Federalną, Departament Energii, NIH i Senat USA, choć śledczy podkreślają, że bycie celem niekoniecznie oznacza skuteczne naruszenie organizacji.
FBI i DOJ wyłączyły teraz kluczowe elementy tej infrastruktury.
Ale techniki, które za nią stoją, nadal będą ważne.
Atakujący coraz lepiej rozumieją, że najlepszym sposobem ukrycia złośliwej aktywności nie zawsze jest uczynienie jej niewidoczną.
Czasem jest nim sprawienie, by wyglądała zupełnie normalnie.
Nowoczesne wykrywanie zagrożeń nie może opierać się wyłącznie na tym, skąd pochodzi ruch internetowy. Organizacje potrzebują załatanej infrastruktury brzegowej, silnych mechanizmów kontroli tożsamości, segmentacji i monitoringu behawioralnego, który potrafi wykryć złośliwą aktywność nawet wtedy, gdy atakujący ukrywają się za legalnie wyglądającymi połączeniami.
