El Departamento de Justicia y el FBI desmantelaron dos plataformas utilizadas por un grupo de hackers señalado por autoridades estadounidenses como patrocinado por el gobierno de China para atacar infraestructura crítica y redes sensibles de Estados Unidos. La operación, autorizada por un tribunal federal del Distrito Sur de California, permitió incautar los dominios vinculados a los sistemas conocidos como QScan y QTRouter.
De acuerdo con documentos judiciales revelados el 26 de agosto, el grupo identificado como QTFY había creado y operado ambas herramientas mientras trabajó para la empresa china Nanjing Xinjiuwei Network Technology Company. Las autoridades estadounidenses sostuvieron que la organización había proporcionado servicios de intrusión informática a clientes que incluyeron al Ministerio de Seguridad del Estado de China y al Ejército Popular de Liberación.
Entre las instituciones estadounidenses que habían sido afectadas por las actividades atribuidas al grupo se encontraron la NASA, la Reserva Federal, los departamentos de Energía, Justicia y Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de Estados Unidos. Las investigaciones también identificaron ataques contra hospitales, empresas de telecomunicaciones, compañías eléctricas, instituciones financieras y contratistas de defensa.
QScan había funcionado como una plataforma capaz de localizar vulnerabilidades e infectar automáticamente miles de dispositivos conectados a internet alrededor del mundo. Los equipos comprometidos posteriormente fueron incorporados a QTRouter, una red que permitió a los atacantes ocultar el verdadero origen de sus operaciones.
QTRouter utilizó dispositivos de internet de las cosas infectados, servicios comerciales de proxy y servidores privados virtuales para hacer que las comunicaciones maliciosas parecieran provenir de otros países o incluso de computadoras ubicadas cerca de las redes atacadas. Esta estructura dificultó que las víctimas identificaran que las operaciones habían tenido origen en China.
Las autoridades federales lograron inutilizar ambas plataformas mediante la incautación de dominios que habían sido incorporados directamente al código de QScan y QTRouter. Esos dominios resultaron esenciales para funciones de comunicación y autenticación, por lo que su control dejó inoperantes las herramientas utilizadas por los atacantes.
La investigación determinó además que la infraestructura de QTFY había sido utilizada desde al menos 2018 para comprometer redes sensibles en Estados Unidos y otros países. El FBI y la Agencia de Seguridad Nacional también difundieron indicadores técnicos para ayudar a organizaciones públicas y privadas a identificar posibles rastros de las intrusiones.
La operación se sumó a otras acciones federales realizadas durante los últimos años contra redes de hackers vinculadas por Washington con China, entre ellas Mustang Panda, Flax Typhoon y Volt Typhoon. En esos casos, las autoridades habían eliminado programas de espionaje y desactivado redes formadas por miles de dispositivos comprometidos.
El FBI de San Diego, su División Cibernética y fiscales federales del Distrito Sur de California encabezaron la investigación, mientras las autoridades estadounidenses mantuvieron las acciones para identificar y desmantelar infraestructura utilizada en ataques contra servicios esenciales y redes gubernamentales.
