Operação contra o grupo QTFY neutralizou ferramentas empregadas para localizar vulnerabilidades e ocultar ataques contra redes governamentais, instalações militares e infraestruturas críticas. Correção do Departamento de Justiça, porém, esclareceu que NASA, Senado e Federal Reserve foram alvos, sem confirmação pública de comprometimento
Por Ricardo Fan – DefesaNet
…
O Departamento de Justiça dos Estados Unidos e o FBI anunciaram, em 26 de agosto de 2026, a apreensão de domínios utilizados por duas plataformas cibernéticas associadas ao grupo chinês QTFY, também identificado como QT ou QTCYBER. A organização é acusada pelas autoridades norte-americanas de desenvolver e comercializar recursos empregados em operações de espionagem digital contra órgãos governamentais, integrantes da base industrial de defesa, empresas de telecomunicações, instituições financeiras, universidades e operadores de infraestrutura crítica.
A ação atingiu os sistemas QScan e QTRouter, componentes complementares de uma arquitetura destinada a localizar vulnerabilidades, comprometer dispositivos conectados à internet e ocultar a verdadeira origem das operações. Segundo o governo norte-americano, os domínios apreendidos estavam incorporados às funções de comunicação e autenticação das plataformas. Sua retirada teria deixado os dois sistemas temporariamente inoperantes.
O episódio, entretanto, também revelou os riscos da amplificação prematura de informações em operações de contrainteligência. A primeira comunicação do Departamento de Justiça apresentou a NASA, o Federal Reserve, o Departamento de Justiça, o Departamento de Energia, o Departamento de Saúde e Serviços Humanos, os Institutos Nacionais de Saúde e o Senado dos Estados Unidos como vítimas do grupo.
Em 28 de agosto, o texto foi corrigido. As instituições passaram a ser descritas como alvos, e não necessariamente como redes comprometidas. A alteração restringiu o alcance comprovado da campanha, mas não reduziu sua relevância estratégica.
…
Alvos não significam redes comprometidas
A distinção entre uma organização ter sido visada e efetivamente invadida é central para avaliar o episódio.
Documentos judiciais apresentados pelo FBI indicam que o QTFY realizou, desde pelo menos 2018, operações de reconhecimento, varredura e tentativa de exploração contra numerosos sistemas governamentais e privados. Algumas dessas ações resultaram em intrusões, enquanto outras foram bloqueadas antes que os atacantes obtivessem acesso.
No caso da NASA, a tentativa identificada ocorreu em agosto de 2019. Os operadores procuraram explorar uma vulnerabilidade no sistema de rede privada virtual da agência, mas o acesso não foi obtido porque o software visado havia sido atualizado. O episódio demonstra que a NASA esteve efetivamente na relação de alvos, mas não sustenta a afirmação de que seus sistemas foram penetrados nessa operação.
Também não há confirmação pública de invasão bem-sucedida ao Federal Reserve ou ao Senado. Em março de 2026, o grupo realizou varreduras contra a rede do Senado e contra um sistema hospitalar norte-americano, mas as tentativas de acesso foram classificadas como malsucedidas. Uma infraestrutura eleitoral dos Estados Unidos também teria sido examinada em junho de 2026, sem comprometimento confirmado.
Os casos comprovados possuem alcance mais limitado, embora continuem relevantes. Em setembro de 2024, operadores associados ao grupo realizaram intrusões em três laboratórios nacionais vinculados ao Departamento de Energia, nos Institutos Nacionais de Saúde, em uma agência do Departamento de Saúde e Serviços Humanos e em uma fabricante norte-americana de equipamentos de segurança.
Um alerta conjunto do FBI, da National Security Agency e da Cyber National Mission Force também registra episódios de subtração de dados de empresas da base industrial de defesa, instituições financeiras e universidades, sem identificar publicamente todas as organizações atingidas.
…
Uma infraestrutura concebida para operar em escala
O principal elemento estratégico do caso não está apenas na relação de instituições visadas, mas na arquitetura construída pelo QTFY.
O QScan funcionava como uma plataforma distribuída de reconhecimento e exploração. O sistema realizava varreduras de páginas, coleta de certificados digitais, enumeração de subdomínios, identificação de componentes vulneráveis e testes automatizados de penetração.
De acordo com o alerta técnico norte-americano, a plataforma possuía uma base com mais de 200 códigos de demonstração para exploração de vulnerabilidades. Em apenas um dia de 2024, o QScan teria processado mais de dois milhões de tarefas de varredura e tentativa de exploração.
A escala transforma o reconhecimento cibernético em um processo industrial. Em vez de selecionar manualmente cada alvo, a plataforma podia examinar grandes segmentos da internet, identificar equipamentos vulneráveis e organizar os resultados para operações posteriores.
Entre os setores examinados estavam empresas de defesa com acesso a informações classificadas, companhias de energia e telecomunicações, instituições financeiras, universidades, administrações locais e organizações relacionadas a serviços essenciais.
O QTRouter cumpria uma função diferente. Sua finalidade era ocultar a origem dos operadores e misturar o tráfego malicioso ao fluxo legítimo da internet. Para isso, utilizava roteadores, servidores virtuais alugados, serviços comerciais de proxy e dispositivos de Internet das Coisas previamente comprometidos.
Uma ação conduzida a partir da China poderia, assim, aparecer nos registros da organização atacada como tráfego originado em outro país ou mesmo em um equipamento localizado próximo da própria vítima. Essa proximidade digital dificultava a atribuição, reduzia a eficácia de bloqueios geográficos e permitia que a atividade se confundisse com conexões aparentemente normais.
…
Dispositivos civis como infraestrutura de inteligência
O QTFY utilizava diferentes sistemas para controlar redes de dispositivos comprometidos. Roteadores domésticos ou empresariais, equipamentos com firmware desatualizado e outros componentes conectados à internet eram incorporados às plataformas e transformados em pontos intermediários.
Esses equipamentos não constituíam necessariamente o objetivo final. Seu valor estava na possibilidade de servirem como infraestrutura descartável para reconhecimento, comunicação, dissimulação e lançamento de ataques.
O modelo reproduz uma tendência já observada em outras campanhas atribuídas à China. Em vez de depender exclusivamente de servidores diretamente controlados por uma unidade de inteligência, os operadores empregam milhares de equipamentos legítimos, distribuídos em diversos países. Isso reduz indicadores evidentes de origem e aumenta o custo da defesa.
A incorporação de serviços comerciais também amplia a ambiguidade. Proxies, redes privadas virtuais e servidores em nuvem possuem usos legítimos, mas podem ser integrados a cadeias operacionais clandestinas. Para as equipes responsáveis pela defesa das redes, torna-se mais difícil separar uma conexão comum de uma atividade hostil bem dissimulada.
…
A terceirização da capacidade ofensiva chinesa
Segundo o Departamento de Justiça, o QTFY foi desenvolvido por integrantes da empresa Nanjing Xinjiuwei Network Technology. A companhia seria responsável por oferecer serviços de intrusão a clientes pagantes, incluindo o Ministério da Segurança do Estado e o Exército de Libertação Popular.
Os documentos norte-americanos sustentam que integrantes do grupo mantinham vínculos com redes de desenvolvimento e comercialização de ferramentas ofensivas. Alguns teriam experiência anterior no Exército de Libertação Popular e utilizado esses contatos para obter contratos e subcontratos relacionados a operações cibernéticas.
Esse arranjo aponta para um modelo no qual empresas formalmente privadas ou semiprivadas funcionam como provedoras de capacidade para estruturas estatais. Elas identificam vulnerabilidades, desenvolvem ferramentas, mantêm botnets, oferecem infraestrutura de ocultação e, em determinadas situações, entregam acessos obtidos contra redes estrangeiras.
A terceirização permite aumentar o volume de operações sem concentrar todas as atividades nas unidades oficiais. Também estabelece camadas adicionais entre o Estado, os desenvolvedores das ferramentas e os operadores responsáveis pelas intrusões.
O resultado é um ecossistema no qual capacidades originalmente desenvolvidas para espionagem podem circular entre organismos governamentais, empresas contratadas e comunidades de programadores. A separação entre atividade estatal, prestação de serviço clandestino e criminalidade digital torna-se progressivamente menos nítida.
…
Uma operação de disrupção, não uma vitória definitiva
A apreensão dos domínios representou uma ação de disrupção cibernética autorizada judicialmente. O objetivo imediato foi impedir que os operadores continuassem utilizando componentes essenciais do QScan e do QTRouter.
Como os endereços estavam inseridos no código e eram necessários para comunicação e autenticação, sua tomada pelo governo norte-americano interrompeu o funcionamento da infraestrutura. A operação também permitiu divulgar indicadores técnicos que poderão auxiliar instituições públicas e privadas a procurar sinais de comprometimento em suas redes.
Esse tipo de ação produz efeitos operacionais e de inteligência. Além de retirar ferramentas do adversário, expõe sua arquitetura, obriga a substituição de servidores e domínios e alerta possíveis vítimas.
Os efeitos, porém, tendem a ser temporários. Os operadores podem registrar novos domínios, atualizar o código, reconstruir os sistemas de comando e controle e buscar outros equipamentos vulneráveis. A capacidade acumulada durante anos de varredura, incluindo bancos de dados sobre redes, tecnologias e vulnerabilidades, não desaparece necessariamente com a apreensão de uma parte da infraestrutura.
Por isso, a operação deve ser entendida como uma imposição de custos dentro de uma competição prolongada, e não como o desmantelamento definitivo do grupo.
…
Atribuição consistente, alcance ainda sob disputa
A acusação norte-americana possui elementos que vão além de uma declaração política. A operação envolveu investigação do FBI, documentação apresentada à Justiça, autorização para apreensão de domínios e publicação de um alerta técnico conjunto pelo FBI, NSA e Cyber National Mission Force.
A descrição detalhada das plataformas, dos servidores, dos métodos de exploração e dos sistemas utilizados para controlar dispositivos comprometidos confere consistência técnica à atribuição.
A China rejeita as acusações e afirma combater atividades cibernéticas ilegais. Representantes chineses acusam Washington de politizar a segurança digital, ampliar excessivamente o conceito de segurança nacional e utilizar essas alegações para impor restrições discriminatórias a empresas chinesas.
Essa contestação deve ser registrada, sobretudo porque parte das informações utilizadas na atribuição permanece classificada. Entretanto, a ausência de acesso público a todos os elementos de inteligência não invalida os indicadores técnicos, os documentos judiciais e as medidas adotadas contra a infraestrutura identificada.
O ponto mais sensível está na comunicação inicial do governo norte-americano. Ao classificar todas as instituições como vítimas, o Departamento de Justiça produziu uma percepção de comprometimento generalizado que não era sustentada pelo próprio documento apresentado ao Judiciário.
A correção posterior demonstra transparência institucional, mas também reforça a necessidade de distinguir reconhecimento, tentativa de exploração, acesso inicial, permanência na rede e roubo efetivo de informações. Esses estágios possuem significados operacionais diferentes e não devem ser tratados como equivalentes.
…
Defesa cibernética como processo contínuo
A tentativa frustrada contra a NASA oferece uma indicação prática relevante: a atualização do software impediu a exploração da vulnerabilidade buscada pelos atacantes.
Medidas básicas, como aplicação de correções, atualização de firmware, autenticação multifator, segmentação das redes, monitoramento de equipamentos de borda e inventário de dispositivos conectados, continuam sendo decisivas mesmo diante de grupos patrocinados por Estados.
O alerta norte-americano recomenda especial atenção a roteadores, dispositivos de Internet das Coisas, aplicações expostas à internet e sistemas que não recebem atualizações regulares. Também orienta as organizações a comparar seus registros com os indicadores de comprometimento divulgados pelas autoridades.
A defesa exige ainda capacidade de identificar comportamentos, e não apenas endereços conhecidos. Quando o agressor utiliza equipamentos legítimos e serviços comerciais, o bloqueio de uma lista de endereços IP oferece proteção limitada. Torna-se necessário detectar padrões anormais de autenticação, varredura, transferência de dados e movimento lateral.
…
Implicações para o Brasil
Embora a operação tenha sido conduzida pelos Estados Unidos, o modelo descrito possui implicações diretas para o Brasil.
Organizações brasileiras utilizam os mesmos tipos de roteadores, dispositivos conectados, plataformas de nuvem, aplicações corporativas e componentes de código encontrados em redes internacionais. Vulnerabilidades exploradas de forma automatizada não respeitam fronteiras e podem atingir empresas de defesa, órgãos públicos, universidades, instituições financeiras e operadores de energia, telecomunicações, saúde, transporte e saneamento.
A exposição também pode ser indireta. Um equipamento brasileiro comprometido pode ser incorporado a uma rede de proxies e utilizado para ocultar uma operação contra um terceiro país. Nesse cenário, a infraestrutura localizada no Brasil deixa de ser apenas uma possível vítima e passa a integrar, sem conhecimento de seu proprietário, uma cadeia operacional estrangeira.
Para o setor de defesa, o caso reforça a importância do controle da cadeia de suprimentos, da gestão de equipamentos conectados, da proteção de ambientes de pesquisa e do acompanhamento de fornecedores com acesso remoto. Empresas menores integradas a programas estratégicos podem apresentar níveis de proteção inferiores aos das grandes organizações, tornando-se vias alternativas para coleta de informações.
…
Uma disputa por acesso, persistência e invisibilidade
A campanha atribuída ao QTFY não deve ser reduzida a uma lista de agências supostamente invadidas. Seu significado está na criação de uma infraestrutura reutilizável que combina reconhecimento em massa, exploração automatizada, botnets, serviços comerciais e dispositivos civis para sustentar operações de espionagem.
A correção feita pelo Departamento de Justiça impede afirmar que NASA, Federal Reserve e Senado foram todos comprometidos. Essas instituições foram alvos; algumas tentativas fracassaram, enquanto intrusões foram confirmadas em um conjunto mais restrito de organizações.
Essa precisão não diminui a ameaça. Ao contrário, permite compreendê-la de maneira mais realista. A capacidade estratégica não está apenas em penetrar uma rede específica, mas em examinar milhões de sistemas, catalogar vulnerabilidades, ocultar operadores e oferecer essa estrutura como serviço para diferentes clientes.
A apreensão dos domínios impôs custos e interrompeu parte da operação. Não eliminou, porém, o conhecimento técnico, os vínculos institucionais ou o mercado capaz de reconstruí-la.
No ambiente cibernético, a competição entre grandes potências ocorre abaixo do limiar do conflito armado, por meio da busca permanente por acessos, informações e posições que possam ser exploradas em uma crise futura. O caso QTFY é menos a história de uma invasão isolada e mais a exposição de uma cadeia industrial de apoio à espionagem digital.
…
Fontes: Departamento de Justiça dos Estados Unidos; Federal Bureau of Investigation; National Security Agency; Cyber National Mission Force; alerta conjunto “China-Linked Hacking Group QTFY Targets Military and Critical Infrastructure with Malicious Distributed Systems”; Reuters; Black Lotus Labs/Lumen Technologies.
