Hackers chinos se ocultaban tras routers ajenos; el FBI desactivó la infraestructura de QTFY
Durante años, la operación enmascaró el origen del tráfico y atacó incluso a los objetivos más sensibles.
Las grandes campañas de espionaje recurren cada vez más no a un solo servidor, sino a toda una red de dispositivos ajenos, y ese fue precisamente el tipo de infraestructura que las autoridades de Estados Unidos decidieron neutralizar. El Departamento de Justicia y el FBI informaron sobre la interrupción de las plataformas QScan y QTRouter, vinculadas con el grupo chino QTFY y utilizadas contra infraestructuras críticas y otras redes sensibles.
Las autoridades estadounidenses relacionan a QTFY con la empresa Nanjing Xinjiuwei Network Technology, cuyos clientes incluyen al Ministerio de Seguridad del Estado de China y al Ejército Popular de Liberación de China. Entre los objetivos del grupo estuvieron la Administración Nacional de Aeronáutica y del Espacio de EE. UU., la Reserva Federal, el Departamento de Energía y el Senado de Estados Unidos.
QScan buscaba dispositivos IoT vulnerables en todo el mundo, infectaba automáticamente algunos de ellos y los añadía a la red QTRouter. También formaban parte de esa red proxies comerciales y servidores virtuales alquilados. Esa mezcla permitía ocultar la fuente real de la actividad y dar la impresión de que la conexión provenía de otro país o incluso de una red cercana al propio objetivo.
Para infiltrarse, QTFY explotó tanto vulnerabilidades hasta entonces desconocidas como otras ya publicadas en Ivanti, Fortinet, Citrix, Microsoft Exchange, F5, Confluence, Check Point y otros productos. Tras el acceso, los atacantes se asentaban usando troyanos de acceso remoto, web shells y credenciales legítimas, y luego se conectaban a través de los nodos IoT infectados más cercanos.
La infraestructura funcionaba como una red distribuida de retransmisores. QTRouter podía construir cadenas de proxies, mezclar el tráfico malicioso con el tráfico legítimo de servicios comerciales y cambiar los puntos de salida. Según la estimación de Lumen, ese esquema dificultaba el rastreo por direcciones IP y por geolocalización, y además permitía que varios operadores usaran la red compartida al mismo tiempo.
El FBI y el Departamento de Justicia incautaron los dominios codificados de forma rígida en QScan y QTRouter, tras lo cual ambas plataformas dejaron de funcionar. Las autoridades estadounidenses afirman que la infraestructura se utilizó también en 2026, incluido un ataque contra el sistema electoral estadounidense en junio. El FBI advirtió además que los bloqueos estáticos basados únicamente en IP y geolocalización ya no son suficientes frente a redes de este tipo.