Pada 26 Agustus, otoritas federal melumpuhkan dua platform hacker yang saling berhubungan dengan menyita domain yang diperlukan untuk fungsi komunikasi dan autentikasinya. Departemen Kehakiman mengumumkan bahwa QScan dan QTRouter menargetkan infrastruktur penting dan jaringan rahasia yang dikelola NASA, Federal Reserve System, Departemen Energi, Departemen Kehakiman, Departemen Kesehatan dan Layanan Kemanusiaan, Institut Kesehatan Nasional, dan Senat AS.
Menurut dokumen pengadilan, platform ini dimiliki oleh QTFY—kelompok hacker China yang didanai negara dan bekerja untuk perusahaan Nanjing Xinjiuwei Network Technology Company. Dalam surat keterangan di bawah sumpah FBI yang mendasari penyitaan domain, dinyatakan bahwa QTFY menjual layanan hacking kepada klien, termasuk Kementerian Keamanan Negara China dan Tentara Pembebasan Rakyat. Tiga domain yang disita telah diprogram secara keras ke dalam platform, memungkinkan operasi untuk melumpuhkan kedua sistem sekaligus.
Penyitaan ini mengganggu infrastruktur yang diklaim membantu para hacker mengidentifikasi sistem yang rentan dan menyamarkan koneksi mereka ke jaringan target. Jaksa Agung Todd Blanch menyatakan:
"Penegak hukum federal telah melakukan penyelidikan dan melumpuhkan perangkat lunak berbahaya RRT—ini adalah yang terbaru dalam serangkaian operasi teknis yang ditujukan untuk menghentikan aktivitas hacker yang semrawut yang didanai Republik Rakyat Tiongkok."
QScan Mendeteksi Target, QTRouter Menyamarkan Serangan
Kedua platform ini menjalankan fungsi berbeda dalam sistem terpadu untuk intelijen, eksploitasi kerentanan, dan penyamaran lalu lintas. Dalam pemberitahuan keamanan siber bersama yang disiapkan oleh FBI, Badan Keamanan Nasional, dan Pasukan Siber Nasional, diindikasikan bahwa QScan berisi lebih dari 200 eksploit bukti-konsep dan memproses lebih dari 2 juta tugas pemindaian dan pengujian penetrasi dalam satu hari di tahun 2024. Dalam kampanye yang dilakukan pada Mei 2024, data lebih dari 300 organisasi di seluruh dunia dicuri.
QScan secara otomatis meretas perangkat rentan yang terhubung ke internet dan menambahkannya ke QTRouter, yang menggabungkan perangkat yang diretas dengan layanan proxy komersial dan server pribadi virtual yang disewa. Black Lotus Labs menganalisis infrastruktur QTFY dan mengkarakterisasi kelompok tersebut sebagai penyedia infrastruktur yang mendukung operasi siber China. Perutean lalu lintas melalui perangkat yang berlokasi dekat korban menciptakan ilusi bahwa pesan berbahaya berasal dari pengguna lokal yang sah.
Direktur FBI Kash Patel menyatakan:
"Hari ini kami mengumumkan likuidasi botnet global dan platform hacker yang digunakan oleh hacker yang didukung negara China untuk menyerang infrastruktur penting AS. Alat-alat ini digunakan oleh penjahat siber RRT untuk menyembunyikan sumber serangan mereka."
Router dan perangkat 'Internet of Things' lainnya yang dikompromikan juga digunakan untuk melakukan kejahatan siber dengan tujuan finansial, tidak terkait dengan operasi yang didanai negara. Sebelumnya, otoritas melikuidasi jaringan proxy yang mencakup 369.000 perangkat yang diretas di 163 negara. Jaringan ini memungkinkan penjahat untuk menyamarkan aktivitas yang terkait dengan pengambilalihan akun kripto, penipuan perbankan, penggunaan perangkat lunak pemeras, dan skema lainnya, menghasilkan lebih dari $5,7 juta bagi operatornya.
Operasi Memperluas Kampanye Likuidasi Infrastruktur
Penyitaan terbaru ini menyusul beberapa operasi yang disetujui pengadilan yang ditujukan terhadap infrastruktur siber China yang didanai negara. Pada Januari 2025, FBI melaporkan telah menghapus perangkat lunak berbahaya mata-mata PlugX dari sekitar 4.258 sistem AS yang terinfeksi oleh grup Mustang Panda. Otoritas federal juga melumpuhkan botnet 'Flax Typhoon' pada 2024 dan menghentikan aktivitas botnet 'Volt Typhoon' pada 2023.
Pendekatan federal terhadap ancaman siber asing juga melampaui penyitaan dan operasi penghapusan perangkat lunak berbahaya tradisional yang disetujui pengadilan. Memorandum Presiden 12 Agustus menginstruksikan pembuatan program untuk menghentikan serangan siber di bawah pengawasan federal, memungkinkan perusahaan AS yang telah disaring untuk mengusulkan misi melawan jaringan kriminal asing, dengan pejabat diberikan waktu 60 hari untuk menetapkan kriteria seleksi, prosedur peninjauan target, dan tindakan keamanan.
Penyelidik federal semakin memblokir akun, server, domain, dan koneksi jaringan yang memungkinkan pelaksanaan operasi siber asing. Dalam inisiatif terpisah yang dilakukan pada Mei, perusahaan teknologi bergabung dengan operasi Departemen Kehakiman yang memblokir lebih dari 1,4 juta akun yang terkait dengan penipuan. Para peserta juga memblokir lalu lintas internet berbahaya, menonaktifkan infrastruktur hosting, dan membantu membekukan lebih dari $3,8 juta dalam mata uang kripto.
Pengguna individu menghadapi risiko berbeda dibandingkan dengan kelompok kriminal canggih yang menargetkan lembaga pemerintah dan infrastruktur penting, meskipun keduanya dapat menggunakan perangkat lunak berbahaya dan perangkat yang diretas. Tindakan perlindungan umum termasuk memperbarui perangkat lunak, menghindari unduhan yang mencurigakan, dan memverifikasi situs web sebelum memasukkan informasi sensitif. Phishing dan situs web palsu dapat menginstal perangkat lunak berbahaya atau mengungkapkan kata sandi, dan router yang usang dapat memberikan infrastruktur bagi pelaku kejahatan untuk menyembunyikan intrusi individual.
