USA zhabali domény platforiem QScan a QTRouter spájaných s QTFY

Zhabanie domén QTFY oznámili 26. augusta americké Ministerstvo spravodlivosti (DOJ) a FBI. Na základe súdneho povolenia prevzali domény využívané platformami QScan a QTRouter, ktoré boli podľa DOJ prevádzkované čínskou skupinou QTFY. Americké orgány uviedli, že obe platformy tým vyradili z prevádzky.

Prípad je dôležitý najmä tým, že nešlo len o jednotlivý škodlivý server. Podľa spoločného varovania FBI, NSA a Cyber National Mission Force mala infraštruktúra pokrývať viaceré fázy kybernetických operácií: QScan slúžil na vyhľadávanie a zneužívanie zraniteľností, zatiaľ čo QTRouter poskytoval maskovaciu sieť pre ďalšiu komunikáciu.

Zhabanie domén QTFY zasiahlo prieskumnú aj proxy infraštruktúru

Americké varovanie opisuje QScan ako nástroj určený na automatizované skenovanie cieľov na internete a pokusy o zneužitie zistených slabín. QTRouter mal naopak pomáhať skrývať pôvod a smerovanie aktivity. Využívať mal kompromitované zariadenia internetu vecí, komerčné proxy služby aj virtuálne privátne servery.

Takáto kombinácia dáva útočníkom možnosť najprv vyhľadať potenciálne zraniteľné systémy a následne viesť komunikáciu cez rozptýlenú infraštruktúru. Pre bezpečnostné tímy to komplikuje rozlíšenie škodlivej prevádzky od bežného internetového ruchu, najmä ak komunikácia prichádza cez legitímne cloudové alebo proxy služby.

DOJ pripisuje QTFY čínskej spoločnosti Nanjing Xinjiuwei Network Technology Company. Podľa ministerstva medzi jej zákazníkov patrili aj čínske Ministerstvo štátnej bezpečnosti (MSS) a Čínska ľudová oslobodzovacia armáda (PLA). Ide o atribúciu amerických orgánov vychádzajúcu z vyšetrovania a súdnych podkladov; úplné nezávislé verejné overenie všetkých týchto zistení k dispozícii nie je.

Medzi uvádzanými cieľmi sú federálne inštitúcie aj NASA

DOJ medzi obeťami aktivít pripisovaných QTFY uviedlo NASA, Federal Reserve, ministerstvá spravodlivosti a energetiky, ministerstvo zdravotníctva a sociálnych služieb, National Institutes of Health aj Senát USA. Zverejnené materiály však neuvádzajú rozsah prípadného prístupu, odcudzené dáta ani konkrétny dopad na siete jednotlivých organizácií.

Osobitne treba rozlišovať skenovanie od úspešného prieniku. Spoločné vládne varovanie uvádza, že QTFY v marci 2026 skenovala Senát USA, pričom pokus o získanie prístupu do siete bol neúspešný. Nie je preto presné tvrdiť, že skupina prenikla do všetkých organizácií menovaných v oznámení DOJ.

Zhabanie domén QTFY môže útočníkom obmedziť možnosť používať zavedené riadiace a maskovacie kanály. Samo osebe však neznamená, že boli odstránené všetky súvisiace servery, zariadenia alebo kompromitované IoT prvky. Rovnako automaticky nevyčistí siete, do ktorých sa útočníci mohli dostať pred zásahom.

Čo majú preveriť správcovia sietí

FBI, NSA a Cyber National Mission Force spolu s upozornením zverejnili indikátory kompromitácie a odporúčané zmierňujúce opatrenia. Organizácie by mali tieto údaje využiť pri retrospektívnej kontrole logov, sieťovej prevádzky a systémov vystavených internetu.

• Aktualizovať softvér a firmvér, predovšetkým na internetovo dostupných zariadeniach.
• Preveriť VPN, IoT zariadenia a rozhrania vzdialenej správy, ktoré môžu predstavovať vstupný bod.
• Oddeliť kritické systémy od okrajových zariadení a obmedziť zbytočné priame spojenia.
• Porovnať vlastné telemetrické údaje so zverejnenými indikátormi kompromitácie.

V ďalšom vývoji bude dôležité, či FBI alebo DOJ doplnia súdne podklady a spresnia, pri ktorých organizáciách zaznamenali úspešný prístup. Rovnako sa ukáže, či QTFY obnoví svoju infraštruktúru pod novými doménami alebo zmení používané techniky a indikátory.

Overené a aktualizované: 27. 08. 2026 18:53