2026年8月26日——美国司法部与FBI宣布查封两个中国关联黑客平台QScan与QTRouter的互联网域名。南加州联邦地区法院解封的法庭文件将这两个工具归于代号QTFY的组织，其受雇于南京一家网络科技公司。由于被查封的域名被硬编码进两个工具并承担通信与认证等核心功能，司法部称查封行动已使两平台失效。FBI与NSA同日发布联合网络安全通告，披露了追溯到至少2018年的威胁指标。受害者名单包括NASA、美联储、司法部、能源部、卫生与公众服务部、国立卫生研究院与美国参议院。 ## 双层军火架构：扫描加隐身 QTFY的工具链是分工明确的组合拳。QScan负责攻击面发现：对全球目标网络实施高并发扫描与端口嗅探，自动发现边界防火墙缺陷、VPN凭证泄露与未修补漏洞的暴露面。 QTRouter则是真正值得警惕的部分——司法部将其定性为"混淆网络"。该平台将QScan拉入的被攻陷设备池，与商业代理服务及租用服务器组合，为入侵流量提供多级中继。其设计目标不是破门，而是让破门的人隐形：恶意流量伪装成来自中国境外的普通民用设备，有时甚至来自靠近目标自身的网络。 对防御者而言，这改写了威胁检测的基本假设。当打到边境的流量看起来"本地且平常"时，实时告警体系的设计逻辑就失效了——这正是QTFY能潜伏八年的原因。 ## 承包商模式：国家能力的市场化采购 法庭文件中最有分量的指控关于商业模式：QTFY向付费客户提供黑客服务，客户包括中国国家安全部门与军队；涉案公司从国家安全部门获得付款，团队成员包括军队前成员。 这一模式是美国调查机构对中国APT活动的一贯画像：国家主导的入侵工作外包给名义上的商业公司。对国家而言，这种安排同时买到了能力与可否认性——出事时可以切割为"企业行为"。此前被美方处置的Volt Typhoon、Flax Typhoon、Mustang Panda等行动被列为独立事件，官方未声称QTFY与其存在重叠。 需要强调的是，这些是查封宣誓书中的指控而非庭审结论，且本次行动没有起诉或逮捕任何个人。中国外交部对美方说法予以否认。 ## 查封之外：八年的存量风险才是重点 域名死了，历史足迹不会消失。这起事件对防御者的真正价值，不在"工具已失效"的头条，而在FBI-NSA联合通告披露的威胁指标——因为暴露窗口可追溯到2018年，任何机构过去数年的"无告警"都不能证明"无入侵"。 优先动作顺序应当是： 1. 立即摄取通告中的IOC指标，加载到狩猎与检测工具； 2. 用这些指标回溯检索历史网络、DNS与终端日志——窗口要覆盖通告所述的完整年限，而非仅近期数据； 3. 以"假定已失陷"的姿态审查：混淆网络的设计目的就是实时看起来正常，所需证据在历史数据里而非实时告警里； 4. 通过CISA与行业信息共享组织上报发现并获取指导； 5. 指标命中即按活跃入侵处置：启动事件响应、保全证据、履行法定通报义务——不是归档了事。 医院、电信、电力、金融与国防承包商虽未在官方点名之列，但报道显示其处于攻击范围内，相关行业应按同等优先级自查。 ## 长驻威胁的解药是回溯狩猎 司法部完成的是"干扰"，而八年驻留时间的追责落在每个安全团队自己身上。一个被描述为自2018年起驻留联邦网络、用本地化伪装流量隐藏行踪的对手，是典型的"驻留时间问题"——这类问题的答案藏在旧日志的检索里，不在庆祝查封的通稿里。 本周最值得回答的问题只有一个：如果过去八年里有流量被刻意塑造成"来自本地的正常访问"，你的留存日志有没有能力把它找出来？答案如果是"没有"，那么真正该补的课不是威胁情报订阅，而是日志留存策略本身。