Hackers chineses atingiram NASA e Federal Reserve usando uma rede de IoT

Hackers chineses atribuídos pelos Estados Unidos ao grupo QTFY atingiram NASA e Federal Reserve no conjunto de operações revelado em 26 de agosto de 2026. O comunicado do Departamento de Justiça afirma que QScan e QTRouter usavam dispositivos de internet das coisas, proxies comerciais e servidores virtuais para atacar redes sensíveis e ocultar a origem chinesa do tráfego.

Na mesma data, o Departamento de Justiça e o FBI anunciaram a apreensão judicial dos domínios essenciais às duas plataformas, deixando-as inoperantes. A expressão “atingiram”, porém, abrange atividades de intrusão com resultados diferentes: os documentos não dizem que todas as tentativas tiveram sucesso nem revelam o impacto sofrido por cada órgão.

QTFY fornecia infraestrutura para operações patrocinadas pelo Estado

O governo americano identifica o QTFY como um grupo patrocinado pela China e empregado pela Nanjing Xinjiuwei Network Technology Company. Segundo os documentos judiciais, a organização oferecia serviços de invasão a clientes pagantes, entre eles o Ministério da Segurança do Estado e o Exército de Libertação Popular.

A relação de redes federais afetadas por atividades atribuídas ao grupo inclui NASA, Federal Reserve, Senado e os departamentos de Energia, Justiça e Saúde e Serviços Humanos, além dos National Institutes of Health. Hospitais, empresas de telecomunicações, companhias de energia, instituições financeiras e fornecedores de defesa também apareceram entre os alvos descritos no processo.

O QTFY não é apresentado apenas como a equipe por trás de uma campanha isolada. A acusação descreve um fornecedor de capacidade operacional: suas ferramentas permitiam localizar sistemas vulneráveis, explorar falhas e encaminhar tráfego por uma infraestrutura que também podia ser usada por outros operadores.

QScan encontrava dispositivos; QTRouter ocultava o operador

QScan era a camada de busca e exploração. A plataforma varria a internet, tentava explorar vulnerabilidades e infectava automaticamente milhares de dispositivos conectados, que depois eram incorporados à rede controlada pelo QTFY.

QTRouter formava a camada de ocultação. A rede combinava os aparelhos comprometidos pelo QScan com dispositivos associados a serviços comerciais de proxy e servidores privados virtuais alugados. Assim, uma ação originada por um operador na China podia chegar ao alvo por uma máquina em outro país ou até próxima da rede atacada.

Esse percurso dificultava a identificação e o bloqueio pela vítima. O tráfego malicioso podia parecer proveniente de um roteador ou de outro equipamento comum, enquanto se misturava a comunicações legítimas de usuários dos mesmos serviços intermediários.

Os números também mostram que se tratava de automação em grande escala. Um levantamento da Nextgov baseado no processo registra três domínios apreendidos, código para mais de 200 ataques no QScan e mais de 2 milhões de tarefas de varredura ou exploração processadas em um único dia de 2024.

Domínios fixos permitiram interromper uma rede distribuída

A quantidade de dispositivos espalhados pela internet não eliminava uma dependência central. Os domínios apreendidos estavam codificados diretamente no malware de QScan e QTRouter e eram necessários para tarefas essenciais, como comunicação e autenticação.

Com autorização judicial, as autoridades retiraram esses endereços do controle dos operadores. Os componentes instalados em diferentes equipamentos perderam o acesso aos pontos dos quais dependiam para funcionar, razão pela qual a apreensão de poucos ativos digitais conseguiu paralisar as duas plataformas.

A operação não equivale a limpar todos os roteadores, câmeras ou outros aparelhos anteriormente infectados. Também não corrigiu as vulnerabilidades usadas pelo QScan. O resultado confirmado é mais restrito: a infraestrutura descrita no processo perdeu seus domínios essenciais, e QScan e QTRouter ficaram inoperantes naquela configuração.

NASA mostra a diferença entre alvo e invasão bem-sucedida

Os episódios conhecidos não tiveram o mesmo desfecho. A apuração da Reuters informa que uma tentativa de acesso às redes da NASA, em agosto de 2019, falhou porque a vulnerabilidade de VPN explorada já havia sido corrigida; em setembro de 2024, houve intrusões em três laboratórios não identificados do Departamento de Energia, no NIH, em outra agência de saúde e em uma fabricante americana de equipamentos de segurança.

A documentação pública não detalha a natureza da atividade envolvendo o Federal Reserve, quais sistemas foram alcançados ou se houve retirada de dados. A presença do banco central e da NASA na lista oficial confirma que suas redes entraram no conjunto de operações atribuído ao QTFY, mas não permite concluir que os dois órgãos sofreram violações idênticas.

A mesma reportagem registra a resposta da Embaixada da China em Washington, que disse desconhecer os detalhes específicos, declarou oposição a ataques cibernéticos e acusou os Estados Unidos de usar questões de segurança para desacreditar o país. A Nanjing Xinjiuwei não respondeu imediatamente ao pedido de comentário.

O que foi derrubado e o que continua sem resposta

A atribuição ao QTFY, à empresa de Nanquim e a clientes estatais chineses é uma conclusão apresentada pelas autoridades americanas. Os documentos divulgados oferecem detalhes técnicos e relacionam diferentes incidentes à infraestrutura, enquanto o governo chinês contesta a caracterização política das acusações.

O resultado operacional está delimitado: três domínios foram apreendidos e as dependências de comunicação e autenticação de QScan e QTRouter deixaram de atender aos operadores. Permanecem sem divulgação completa o impacto em cada vítima, os dados eventualmente acessados e a quantidade de dispositivos IoT que ainda conservam malware ou vulnerabilidades anteriormente aproveitados pela rede.