El Departamento de Justicia de EE. UU., en colaboración con el FBI, desactivó dos plataformas de hacking denominadas QScan y QTRouter, gestionadas por el grupo QTFY vinculado a China. Estas plataformas escaneaban dispositivos IoT, los infectaban y formaban una amplia botnet que había apuntado a instituciones como la NASA, la Reserva Federal y el Departamento de Salud de EE. UU.
QScan escanea automáticamente dispositivos IoT en todo el mundo y agrega los dispositivos comprometidos a la red QTRouter; QTRouter, mediante software OpenWrt personalizado y el proxy Clash, mezcla los dispositivos con servicios proxy comerciales y VPS alquilados para ocultar los rastros de los ataques. Esta arquitectura permite a los atacantes enmascarar su ubicación geográfica, anulando los bloqueos tradicionales de IP.
La infraestructura está operativa desde 2018 y accede mediante la explotación de numerosas vulnerabilidades CVE de día cero y conocidas. El FBI y la empresa de ciberseguridad Lumen cerraron los nombres de dominio relacionados, deteniendo las plataformas, aunque redes de camuflaje basadas en servicios proxy alquilados podrían seguir representando una amenaza en el futuro.