El 26 de agosto, las autoridades federales desactivaron dos plataformas de hackers interconectadas, confiscando los dominios necesarios para sus funciones de comunicación y autenticación. El Departamento de Justicia anunció que QScan y QTRouter se enfocaron en infraestructura crítica y redes confidenciales gestionadas por la NASA, la Reserva Federal, el Departamento de Energía, el Departamento de Justicia, el Departamento de Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de EE. UU.
Según documentos judiciales, estas plataformas pertenecen a QTFY, un grupo de hackers chino patrocinado por el estado y que trabaja para la empresa Nanjing Xinjiuwei Network Technology Company. En una declaración jurada del FBI que justifica la incautación de los dominios, se afirma que QTFY vendía servicios de hacking a clientes, entre los que se encontraban el Ministerio de Seguridad del Estado de China y el Ejército Popular de Liberación. Los tres dominios confiscados estaban codificados de forma rígida en las plataformas, lo que permitió desactivar ambos sistemas durante la operación.
La confiscación interrumpió la operación de la infraestructura que, según se alega, ayudaba a los hackers a identificar sistemas vulnerables y a ocultar sus conexiones a las redes objetivo. El Fiscal General Todd Blanche declaró:
"Las fuerzas del orden federales investigaron y desactivaron el software malicioso de la República Popular China; esta es la última de una serie de operaciones técnicas destinadas a detener la actividad de hackers desenfrenada patrocinada por la República Popular China".
QScan detectaba objetivos y QTRouter enmascaraba los ataques
Estas dos plataformas realizaban funciones diferentes dentro de un sistema integrado de inteligencia, explotación de vulnerabilidades y enmascaramiento de tráfico. En una notificación conjunta de ciberseguridad preparada por el FBI, la Agencia de Seguridad Nacional y las Fuerzas Nacionales Cibernéticas, se indica que QScan contenía más de 200 exploits de prueba de concepto y que en un solo día de 2024 procesó más de 2 millones de tareas de escaneo y pruebas de penetración. Durante una campaña llevada a cabo en mayo de 2024, se robaron datos de más de 300 organizaciones en todo el mundo.
QScan pirateaba automáticamente dispositivos vulnerables conectados a Internet y los agregaba a QTRouter, que combinaba los dispositivos comprometidos con servicios proxy comerciales y servidores privados virtuales alquilados. Black Lotus Labs analizó la infraestructura de QTFY y caracterizó al grupo como un proveedor de infraestructura que apoya las operaciones cibernéticas chinas. Enrutar el tráfico a través de dispositivos ubicados cerca de las víctimas permitía crear la apariencia de que los mensajes maliciosos provenían de usuarios locales legítimos.
El Director del FBI, Kash Patel, declaró:
"Hoy anunciamos la eliminación de una botnet global y una plataforma de hackers que fueron utilizadas por hackers apoyados por el estado chino para atacar la infraestructura crítica de EE. UU. Estas herramientas eran utilizadas por ciberdelincuentes de la República Popular China para ocultar el origen de sus ataques".
Los enrutadores y otros dispositivos comprometidos del "Internet de las Cosas" también se utilizaron para cometer ciberdelitos con fines financieros, no relacionados con operaciones patrocinadas por el estado. Anteriormente, las autoridades eliminaron una red proxy que incluía 369,000 dispositivos comprometidos en 163 países. Esta red permitía a los delincuentes enmascarar actividades relacionadas con el secuestro de cuentas de criptomonedas, fraude bancario, uso de ransomware y otros esquemas, generando más de 5.7 millones de dólares para sus operadores.
La operación amplía la campaña para eliminar infraestructura
Las incautaciones más recientes siguen a varias operaciones autorizadas por el tribunal dirigidas contra la infraestructura cibernética china patrocinada por el estado. En enero de 2025, el FBI informó que había eliminado el malware espía PlugX de aproximadamente 4,258 sistemas estadounidenses infectados por el grupo Mustang Panda. Las autoridades federales también desactivaron la botnet "Flax Typhoon" en 2024 y detuvieron la actividad de la botnet "Volt Typhoon" en 2023.
El enfoque federal hacia las amenazas cibernéticas extranjeras también va más allá de las confiscaciones tradicionales autorizadas por el tribunal y las operaciones de eliminación de malware. Un memorando presidencial del 12 de agosto ordenaba la creación de un programa para contrarrestar ciberataques bajo supervisión federal, permitiendo a empresas estadounidenses verificadas proponer misiones contra redes criminales extranjeras, dándose a los funcionarios 60 días para establecer criterios de selección, procedimientos de revisión de objetivos y medidas de seguridad.
Los investigadores federales bloquean cada vez más cuentas, servidores, dominios y conexiones de red que facilitan operaciones cibernéticas extranjeras. En una iniciativa separada llevada a cabo en mayo, empresas tecnológicas se unieron a una operación del Departamento de Justicia que resultó en el bloqueo de más de 1.4 millones de cuentas vinculadas al fraude. Los participantes también bloquearon tráfico de Internet malicioso, sacaron de servicio infraestructura de hosting y ayudaron a congelar más de 3.8 millones de dólares en criptomonedas.
Los usuarios individuales enfrentan riesgos diferentes a los de los grupos criminales sofisticados que apuntan a agencias gubernamentales e infraestructura crítica, aunque ambos pueden usar malware y dispositivos comprometidos. Las medidas de protección comunes incluyen actualizar el software, evitar descargas sospechosas y verificar sitios web antes de ingresar información confidencial. El phishing y los sitios web falsificados pueden instalar malware o revelar contraseñas, y los enrutadores obsoletos pueden proporcionar a los atacantes infraestructura para ocultar intrusiones individuales.
