El Departamento de Justicia de EE.UU. y el FBI incautaron el 26 de agosto de 2026 los dominios de dos plataformas relacionadas, QScan y QTRouter, que juntas constituían la infraestructura del grupo QTFY, patrocinado por la República Popular China. La importancia de la operación no radica en los dominios en sí: su incrustación rígida en el código del malware implicaba que, sin ellos, ambas plataformas físicamente no podían funcionar. El equipo privó a los hackers de su canal de comunicación y autenticación de golpe, no solo bloqueó los sitios web.
El esquema de QTFY se basaba en la división del trabajo entre dos herramientas. QScan se encargaba del reconocimiento, encontrando y comprometiendo automáticamente miles de dispositivos IoT vulnerables en todo el mundo. Estos dispositivos infectados no eran el objetivo final, sino que se integraban a la red QTRouter, que los combinaba con servicios proxy comerciales y servidores virtuales alquilados. El resultado: una red de ofuscación distribuida donde el tráfico de ataque desde China salía al exterior a través de dispositivos ajenos, aparentando ser tráfico local para la red atacada o, al menos, no chino.
Quién está detrás de QTFY y a quién se dirige el grupo
Una notificación conjunta del FBI, la Agencia de Seguridad Nacional y la Fuerza de Tareas Cibernética Nacional describe a QTFY como un grupo activo desde 2018 y vinculado a la empresa china Nanjing Xinjiuwei Network Technology Co. Se han registrado relaciones comerciales de esta empresa con subdivisiones del Ministerio de Seguridad del Estado de China, y entre sus miembros hay exmilitares del Ejército Popular de Liberación. En otras palabras, no se trata de cibercriminales privados, sino de un contratista comercial que sirve a clientes estatales.
Según la notificación, la actividad del grupo ha afectado a redes de la NASA, la Reserva Federal, el Departamento de Justicia y otras agencias federales, desde escaneo e intentos de intrusión hasta ataques a infraestructuras críticas. El Departamento de Justicia, en su comunicado, también incluye a estas organizaciones, así como a los Departamentos de Energía y Salud, los Institutos Nacionales de Salud y el Senado de EE.UU., entre las víctimas de la actividad de QTFY.
Confirmación independiente de Lumen Technologies
Paralelamente a las acciones gubernamentales, Lumen Technologies, a través de su división Black Lotus Labs, estudió la infraestructura de QTFY, calificando al operador como el 'quartermaster de infraestructura', es decir, un proveedor de servicios de reconocimiento, proxy y enrutamiento para otros atacantes. La empresa identificó otros dos componentes del esquema no mencionados directamente en el comunicado del Departamento de Justicia:
- Fast Labyrinth: una red de retransmisión cifrada basada en proxies comerciales.
- QTProxy: un componente para gestionar los nodos de la red.
Lumen bloqueó de forma independiente parte de la infraestructura relacionada mediante el método de null-routing, lo que significa que, paralelamente a la incautación estatal de dominios, existía otro canal de contraacción independiente. Entre los dominios incautados en la operación se encuentran qtproxy.xyz, qt-proxy.org y qt-team.com.
Esta coincidencia de acciones entre las fuerzas del orden y una empresa privada demuestra que la infraestructura de QTFY era lo suficientemente visible como para ser rastreada independientemente mucho antes de la incautación oficial. Sin embargo, la propia arquitectura, basada en dispositivos IoT infectados en lugar de servidores del grupo, está diseñada para poder ser restablecida relativamente rápido con nuevos dominios y nodos.
Opinión de la IA
Desde el punto de vista del análisis de datos automatizado, el esquema de QTFY repite un modelo probado en la práctica ya en 2024: entonces el FBI anunció el desmantelamiento de la botnet Flax Typhoon (Raptor Train), que agrupaba más de 260,000 dispositivos IoT infectados para camuflar tráfico chino como legítimo. La coincidencia en la arquitectura, desde cámaras hasta dispositivos de almacenamiento, apunta no a una selección casual de objetivos, sino a una práctica establecida en el sector entre operadores que trabajan para estructuras estatales chinas. La diferencia clave de QTFY es que su infraestructura se construyó sobre la combinación de dos plataformas especializadas en lugar de una única botnet, lo que dificulta la desconexión total de la red incluso tras la incautación de dominios.
La economía de estos esquemas es tal que el costo de restablecer una red de dispositivos IoT infectados es incomparablemente menor que el gasto de las fuerzas del orden en su detección y desmantelamiento. Que la incautación de los dominios de QScan y QTRouter sea un episodio aislado o marque el inicio de una serie de operaciones similares contra la infraestructura de estos 'quartermasters' es una cuestión que definirá el próximo año en ciberseguridad.
end-content
