Por Canuto  

El Departamento de Justicia y el FBI de EE. UU. incautaron dominios vinculados a QScan y QTRouter, plataformas que, según documentos judiciales, permitían a hackers patrocinados por China comprometer dispositivos IoT y ocultar el origen de sus ataques contra redes sensibles.
***

  • La operación dejó inoperables dos plataformas usadas por el grupo QTFY, vinculado a una empresa tecnológica china.
  • Entre las víctimas señaladas figuran NASA, la Reserva Federal, los departamentos de Justicia y Energía, y el Senado.
  • El FBI y la NSA publicaron indicadores de compromiso para ayudar a las organizaciones afectadas a detectar la actividad.

El Departamento de Justicia y el FBI de Estados Unidos anunciaron una operación para incautar dominios asociados con QScan y QTRouter, dos plataformas que, según documentos judiciales, fueron utilizadas por hackers patrocinados por China contra infraestructura crítica y otras redes sensibles. La medida, autorizada por un tribunal, buscó impedir que los operadores mantuvieran acceso a las herramientas y dejó inoperables sus funciones esenciales de comunicación y autenticación.

La investigación atribuye la operación de ambas plataformas a QTFY, un grupo patrocinado por el Estado de la República Popular China y empleado por Nanjing Xinjiuwei Network Technology Company. Entre las organizaciones identificadas como víctimas aparecen NASA, la Reserva Federal, los departamentos de Energía, Justicia, Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de Estados Unidos, aunque el impacto total de la campaña todavía no está claro.

Una infraestructura diseñada para ocultar el origen

De acuerdo con el Departamento de Justicia, QTFY ofrecía servicios de intrusión informática a clientes que pagaban por ellos, incluidos el Ministerio de Seguridad del Estado de China y el Ejército Popular de Liberación. La arquitectura combinaba QScan, encargado de localizar e infectar automáticamente miles de dispositivos conectados a internet, con QTRouter, que coordinaba esos equipos comprometidos y otros recursos alquilados.

Los dispositivos IoT infectados, los servicios comerciales de proxy y los servidores privados virtuales formaban una red de ofuscación para los ataques. En lugar de mostrar una conexión originada directamente en China, las comunicaciones maliciosas podían parecer provenientes de computadoras ubicadas fuera del país o incluso dentro de la misma red atacada, una característica que complicaba la atribución y la respuesta defensiva.

Los documentos judiciales señalan que los dominios incautados estaban codificados de forma fija tanto en QScan como en QTRouter. Como esos dominios cumplían tareas indispensables para la comunicación y la autenticación, la intervención coordinada por las autoridades estadounidenses interrumpió el funcionamiento de las dos plataformas, en vez de limitarse a bloquear páginas informativas.

La acción también tuvo un componente preventivo para las organizaciones posiblemente afectadas. El FBI y la Agencia de Seguridad Nacional divulgaron un aviso de ciberseguridad con indicadores de compromiso basados en el análisis de actividad atribuida a QTFY desde al menos 2018, mientras Black Lotus Labs, el grupo de inteligencia de amenazas de Lumen Technologies, publicó una descripción adicional de sus tácticas, técnicas y procedimientos.

Objetivos sensibles y alcance todavía incierto

La lista oficial incluye instituciones financieras, científicas, sanitarias y legislativas, sectores cuya interrupción podría afectar servicios públicos y decisiones estratégicas. La información difundida también menciona redes militares estadounidenses, hospitales, empresas eléctricas y contratistas de defensa como objetivos de la actividad de intrusión atribuida al ecosistema de QTFY.

Funcionarios estadounidenses no ofrecieron una evaluación pública completa de los daños, y las revisiones de contrainteligencia probablemente permanecerán clasificadas por razones de seguridad. Esa falta de detalle impide determinar cuántas redes fueron comprometidas, qué información pudo extraerse o si alguna intrusión produjo interrupciones operativas en los servicios señalados.

El anuncio se suma a una serie de denuncias estadounidenses sobre campañas chinas dirigidas contra infraestructura crítica, incluidas plantas eléctricas y bancos. En 2023, funcionarios de Estados Unidos acusaron a China de infiltrarse en redes de transporte militar, plantas de agua y empresas eléctricas, con la posibilidad de preparar capacidades para sabotear una respuesta estadounidense ante una eventual invasión de Taiwán.

Washington ha sostenido que penetrar esos objetivos no respondía a un propósito legítimo de inteligencia, sino que podía crear una capacidad de presión o interrupción durante una crisis. China ha negado habitualmente las acusaciones de piratería estadounidense y, a su vez, ha acusado a las agencias de espionaje de Estados Unidos de realizar ciberataques, por lo que el caso se inserta en una relación marcada por la desconfianza tecnológica.

Una escalada dentro de la tensión bilateral

La ciberseguridad lleva años funcionando como un frente de tensión entre Washington y Beijing, con episodios de mayor intensidad después de ataques de alto perfil. En 2024, funcionarios estadounidenses y grandes compañías telefónicas pasaron meses investigando y conteniendo la presunta infiltración china de redes de telecomunicaciones, una campaña que también habría alcanzado al entonces candidato presidencial Donald Trump y a su compañero de fórmula, JD Vance.

La nueva operación ocurre mientras Estados Unidos intenta trasladar la defensa digital desde la reacción posterior al ataque hacia la interrupción técnica de las herramientas empleadas por los adversarios. El fiscal general Todd Blanche afirmó que los hackers patrocinados por Estados que atacan infraestructura crítica serán detenidos y procesados, y presentó la incautación como parte de una estrategia más amplia para utilizar todos los recursos disponibles en la protección del público estadounidense.

El director del FBI, Kash Patel, describió QScan y QTRouter como una botnet global y una plataforma de hacking utilizadas para ocultar el origen de los ataques chinos. Según su declaración, agentes del FBI en San Diego, la División Cibernética y socios del Departamento de Justicia incautaron la infraestructura adversaria y cerraron las plataformas, dentro del respaldo institucional a la estrategia cibernética de la administración del presidente Donald Trump.

John A. Eisenberg, fiscal general adjunto para Seguridad Nacional, sostuvo que las incautaciones negaron a hackers vinculados a China el acceso a herramientas destinadas a atacar infraestructura crítica. Adam Gordon, fiscal federal del Distrito Sur de California, añadió que la ofensiva pretende proteger los servicios esenciales de los que dependen diariamente los estadounidenses, mientras Mark Remily, agente especial a cargo de la oficina del FBI en San Diego, destacó el uso de investigaciones complejas y operaciones técnicas agresivas.

El precedente de otras operaciones del FBI

El Departamento de Justicia presentó la medida como una continuación de varias operaciones autorizadas por tribunales contra actividades de hacking indiscriminadas atribuidas a actores patrocinados por la República Popular China. En 2025, el FBI eliminó el software de vigilancia PlugX de más de 4.000 computadoras estadounidenses después de que fueran infectadas por Mustang Panda, un grupo hacker patrocinado por China.

Durante 2024, la agencia también deshabilitó una botnet compuesta por cientos de miles de dispositivos IoT infectados, que el grupo Flax Typhoon habría puesto a disposición de clientes del gobierno chino. Un año antes, el FBI interrumpió otra botnet utilizada por Volt Typhoon para ocultar la explotación de infraestructura crítica estadounidense y extranjera, según el historial de acciones citado por el Departamento de Justicia.

El patrón descrito por las autoridades combina dispositivos vulnerables, servicios de intermediación y servidores controlados a distancia para dificultar la identificación del operador. Para empresas de energía, hospitales, organismos públicos y contratistas, la publicación de indicadores de compromiso puede ayudar a revisar registros y detectar señales de intrusión, aunque no sustituye la investigación específica de cada red.

La incautación de dominios no resuelve por sí sola el riesgo de nuevas campañas, porque los operadores pueden intentar reconstruir su infraestructura, cambiar proveedores o reutilizar equipos comprometidos. Sin embargo, al afectar componentes necesarios para la autenticación y las comunicaciones, la operación eleva el costo técnico de QTFY y ofrece a los defensores una ventana para identificar actividad relacionada.

Qué queda por aclarar

La información oficial no cuantifica el volumen de datos extraídos ni confirma si las instituciones mencionadas sufrieron interrupciones visibles. Tampoco establece públicamente qué clientes habrían solicitado cada operación, por lo que las referencias al Ministerio de Seguridad del Estado y al Ejército Popular de Liberación deben entenderse como parte de lo descrito en los documentos judiciales, no como una acusación individual sobre cada incidente.

La atribución en ciberseguridad suele construirse a partir de infraestructura, código, patrones de operación e inteligencia adicional, y rara vez depende de una sola señal. En este caso, el Departamento de Justicia y el FBI vincularon QScan y QTRouter con QTFY y con la empresa Nanjing Xinjiuwei Network Technology Company, mientras el aviso conjunto del FBI y la NSA busca permitir que terceros contrasten sus propios registros.

También queda pendiente conocer la respuesta del gobierno chino a esta acusación concreta. CNN solicitó comentarios a la embajada de China en Washington, y la posición habitual de Beijing consiste en negar las acusaciones estadounidenses y señalar que las agencias de espionaje de Estados Unidos también participan en actividades cibernéticas ofensivas.

Por ahora, Washington ha comunicado una victoria operativa, pero no un balance final de la campaña. La combinación de incautaciones judiciales, avisos técnicos y análisis de inteligencia pretende convertir un episodio de espionaje difícil de medir en una oportunidad para cerrar accesos, alertar a posibles víctimas y presionar a los responsables.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados