El Departamento de Justicia de EU el FBI anunciaron el desmantelamiento de dos plataformas informáticas que, de acuerdo con documentos judiciales, eran utilizadas por un grupo de hackers patrocinado por el gobierno de China para realizar ataques contra infraestructura crítica estadounidense y otras redes consideradas sensibles.Las autoridades estadounidenses informaron que obtuvieron autorización judicial para incautar varios dominios relacionados con QScan y QTRouter, dos herramientas que funcionaban de manera complementaria para identificar, comprometer y controlar dispositivos conectados a internet.Entre las instituciones que aparecen como víctimas de actividades atribuidas al grupo se encuentran la NASA, la Reserva Federal, el Departamento de Energía, el Departamento de Justicia, el Departamento de Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de Estados Unidos.El caso expone una de las principales dificultades que enfrentan las autoridades frente al ciberespionaje y los ataques patrocinados por Estados: los responsables pueden utilizar equipos de terceros ubicados en distintos países para ocultar el verdadero origen de sus operaciones.Según los documentos judiciales, detrás de las plataformas se encontraba QTFY, un grupo vinculado con la empresa china Nanjing Xinjiuwei Network Technology Company. Las autoridades estadounidenses sostienen que QTFY ofrecía servicios de piratería informática a clientes de pago, entre ellos el Ministerio de Seguridad del Estado y el Ejército Popular de Liberación de China.Una de las herramientas, QScan, estaba diseñada para buscar automáticamente dispositivos conectados a internet que presentaran vulnerabilidades. Entre los objetivos podían encontrarse dispositivos del llamado Internet de las Cosas, conocidos como IoT, que incluyen desde determinados equipos de red hasta aparatos conectados utilizados en hogares y organizaciones.Cuando estos dispositivos eran comprometidos, podían incorporarse a una infraestructura controlada por los atacantes. De acuerdo con el Departamento de Justicia, miles de dispositivos podían terminar formando parte de la red utilizada posteriormente para realizar nuevas operaciones.La segunda herramienta, QTRouter, utilizaba esos dispositivos comprometidos junto con servidores virtuales y servicios comerciales de proxy para crear una red destinada a ocultar el origen de las comunicaciones maliciosas.Esto significa que un ataque podía aparentar proceder de un dispositivo ubicado fuera de China e incluso de una computadora situada cerca de la red que estaba siendo atacada, dificultando que los investigadores determinaran inmediatamente quién se encontraba detrás de la operación.La operación estadounidense se concentró precisamente en uno de los elementos necesarios para que QScan y QTRouter pudieran funcionar. Los dominios incautados estaban incorporados directamente en el código de las herramientas y eran utilizados para funciones esenciales como comunicación y autenticación.Al obtener el control de esos dominios mediante órdenes judiciales, las autoridades consiguieron interrumpir la comunicación entre el malware y la infraestructura utilizada por los atacantes.El Departamento de Justicia aseguró que esta intervención hizo que QScan y QTRouter quedaran inoperables, impidiendo que sus operadores continuaran utilizando esas plataformas de la misma manera. El FBI calificó la acción como el desmantelamiento de una red global de bots y una plataforma de piratería utilizada por actores patrocinados por China para atacar infraestructura crítica estadounidense.El director del FBI, Kash Patel, señaló que las herramientas también servían para ocultar el origen chino de las actividades de intrusión. Por su parte, el fiscal general Todd Blanche afirmó que las autoridades estadounidenses continuarán utilizando operaciones técnicas y judiciales contra los grupos que representen una amenaza para la infraestructura del país.Los dispositivos conectados a internet pueden convertirse en una herramienta especialmente útil para los ciberdelincuentes cuando presentan vulnerabilidades, utilizan contraseñas débiles o no reciben actualizaciones de seguridad.Una vez comprometidos, estos equipos pueden utilizarse como parte de una botnet, es decir, una red de dispositivos controlados de manera remota. El propietario del aparato puede incluso desconocer que su equipo está siendo utilizado para una actividad maliciosa.El caso QScan y QTRouter demuestra por qué la seguridad informática no depende únicamente de proteger grandes servidores gubernamentales. Un dispositivo aparentemente insignificante puede convertirse en un punto intermedio para ocultar la infraestructura utilizada durante una operación mucho mayor.La estrategia también dificulta las investigaciones internacionales. Si las comunicaciones de un ataque pasan por dispositivos comprometidos en diferentes países, rastrear la actividad hasta sus responsables requiere analizar múltiples capas de infraestructura.El Departamento de Justicia recordó que esta operación forma parte de una serie de intervenciones estadounidenses contra infraestructura informática vinculada con grupos patrocinados por China.En 2025, el FBI eliminó el malware de vigilancia PlugX de más de 4 mil computadoras estadounidenses después de que fueran infectadas por el grupo Mustang Panda. Un año antes, las autoridades desactivaron una botnet compuesta por cientos de miles de dispositivos IoT comprometidos que, según EU, estaba siendo utilizada por Flax Typhoon.En 2023 también se produjo una operación contra otra botnet relacionada con Volt Typhoon, grupo al que EU atribuyó actividades dirigidas contra infraestructura crítica estadounidense y extranjera.El FBI y la Agencia de Seguridad Nacional de EU publicaron además un aviso de ciberseguridad con indicadores que pueden ayudar a identificar actividad relacionada con QTFY, basados en el análisis de operaciones atribuidas al grupo desde al menos 2018.El caso vuelve a poner sobre la mesa una preocupación creciente para gobiernos de todo el mundo: la posibilidad de que infraestructura tecnológica cotidiana sea utilizada como una pieza intermedia en conflictos y operaciones de ciberespionaje entre Estados.Para EU, la amenaza adquiere una dimensión especial cuando los objetivos incluyen sectores como energía, salud, finanzas, comunicaciones o instituciones gubernamentales, debido a que una interrupción podría afectar servicios esenciales.Por ahora, el operativo anunciado por el Departamento de Justicia representa una interrupción de la infraestructura utilizada por los atacantes, no la eliminación definitiva de la amenaza. Las autoridades estadounidenses han presentado la incautación como parte de una estrategia más amplia para elevar el costo de las operaciones cibernéticas patrocinadas por China.El caso también evidencia cómo las guerras y disputas entre potencias han ampliado su campo de acción hacia internet. En este escenario, la seguridad de una red ya no depende únicamente de proteger sus propios servidores, sino también de impedir que dispositivos externos sean utilizados como puertas de entrada o intermediarios para ataques contra sistemas críticos.TG
