ФБР и АНБ предупредили о китайской группировке QTFY, атакующей оборону и критическую инфраструктуру США

2 сентября 2026 года ФБР, АНБ и Кибернетическое командование национальной миссии США выпустили совместное предупреждение о деятельности группировки QTFY. Её связывают с Китаем. Атакам подвергаются сети государственных и частных организаций в США и за их пределами. Приоритетные цели - оборонная промышленность, связь, энергетика, водоснабжение, органы власти и высшая школа. Документ предназначен для руководителей организаций и служб безопасности.

Описание

Группировка работает с 2018 года. Её участников связывают с китайской компанией Nanjing Xinjiuwei Network Technology. Часть из них - бывшие военнослужащие. Личные контакты помогают им получать подряды и субподряды на атаки против критической инфраструктуры. Помимо этого, группировка торгует вредоносным кодом и уязвимостями на закрытых площадках. Среди товаров - доступ к уже взломанным сетям.

Связи компании-прикрытия ведут к подразделениям Министерства государственной безопасности Китая и к крупным частным подрядчикам. Некоторые из них участвуют в проектах по защите промышленных систем. Другие поставляют сведения об уязвимостях государственным органам до их публикации. Такая схема даёт группировке постоянный приток задач и заказов.

Для работы созданы три собственных продукта. Платформа QScan ищет уязвимости и проверяет их на практике. Сеть QTRouter скрывает реальные адреса атакующих. Отдельные платформы управляют ботнетами, то есть сетями заражённых устройств интернета вещей. Все три инструмента дополняют друг друга. Заражённое устройство становится узлом сокрытия. За счёт этого атакующие выглядят как обычные пользователи из разных стран.

QScan устроена как распределённая система. Она берёт на себя массовое сканирование интернета и проверку защищённости сайтов. По данным ФБР, АНБ и Кибернетического командования национальной миссии США, в 2024 году платформа обрабатывала более двух миллионов задач за сутки. В её арсенале - база из более чем двухсот готовых эксплойтов. Помимо проверки сайтов, система собирает сертификаты, ищет поддомены и выявляет слабые места в популярных системах управления контентом.

Сканирование ведётся почти десять лет. Накопленная база позволяет быстро находить цели. Как только появляется новая уязвимость, атакующие уже знают, какие организации проверять. Первый доступ они получают через уязвимости в приложениях, доступных из интернета. Например, в 2019 году применялась уязвимость в Pulse Secure VPN против Минюста США, Федеральной резервной системы и NASA. В 2021 году в ход пошла уязвимость ProxyLogon в Microsoft Exchange. В том же году - Log4Shell.

Затем в сети жертвы появляются скрытые программы удалённого доступа и используются украденные учётные данные. Это позволяет закрепиться надолго. В 2023 году атаковали Atlassian Confluence. В 2024 году применили уязвимости нулевого дня в продуктах Ivanti против трёх лабораторий Министерства энергетики США. Тогда же данные похитили более чем у 300 организаций по всему миру. Среди них - оборонные подрядчики, финансовые компании и университеты. В феврале 2026 года целью стало правительство одного из штатов и местный водный округ. В июне 2026 года проверяли избирательную систему США.

Более ранние эпизоды показывают ту же картину. В 2018 году проверяли сети Министерства энергетики США. В 2019 году внимание привлекла избирательная система. В 2020 году атаковали системы здравоохранения. В 2021 году проверяли детскую больницу. Позже в списке целей появились телекоммуникационные компании, банки, университеты и органы местной власти. Каждый раз попытки заканчивались либо проникновением, либо сбором сведений о сети.

Скрытность обеспечивает сеть QTRouter. Она работает на устройствах с изменённой прошивкой, включая роутеры. Узлами становятся коммерческие прокси-сервисы, облачные серверы и взломанные устройства интернета вещей. Трафик смешивается с легитимным. В результате отследить источник крайне сложно. Косвенные признаки указывают на то, что сетью пользуются не только участники группировки, но и сотрудники китайских государственных структур.

Управление ботнетами разделено между несколькими платформами. Одна собирает заражённые устройства и настраивает на них прокси-серверы. Другая хранит базу уязвимостей и сведения об уже взломанном оборудовании. Третья, известная как QTBotnet, рассылает команды, запускает массовые атаки на отказ в обслуживании и управляет узлами. Так формируется устойчивая инфраструктура, которую трудно закрыть одним действием.

Последствия для жертв разнообразны. Это утечка чувствительных данных, простой оборудования и потеря контроля над сетью. Для оборонных предприятий и энергетики такие инциденты означают риск остановки работ и ущерб репутации. Кроме того, длительное присутствие в сети позволяет годами вести разведку. Группировка внимательно следит за новыми техниками. Например, последние два года она активно внедряет искусственный интеллект в свои процессы.

Организациям рекомендуют обновлять программное обеспечение и прошивки устройств. Важно проверять, не раскрываются ли через публичные приложения служебные данные и ключи доступа. Критичные системы стоит отделить от устройств на периметре. Сегментация сети по принципу нулевого доверия ограничит масштаб возможного ущерба. Полезно регулярно проверять защитные средства на устойчивость к описанным техникам. При подозрении на взлом следует изолировать узлы, собрать данные о происходящем и сообщить в ФБР.