Las autoridades federales han cerrado dos herramientas en línea que, al parecer, utilizaban unos piratas informáticos respaldados por el Gobierno chino para atacar a importantes organismos estadounidenses. Estas plataformas ayudaban a los piratas informáticos a localizar dispositivos vulnerables y a hacer que sus ataques parecieran proceder de otras ubicaciones.
El FBI incauta plataformas chinas de piratería informática utilizadas para atacar a organismos estadounidenses
ESCRITO POR
COMPARTIR
Puntos clave
- El FBI ha desactivado dos herramientas de piratería informática llamadas QScan y QTRouter.
- Las herramientas tenían como objetivo la NASA, la Reserva Federal y otras agencias estadounidenses.
- Los hackers utilizaban dispositivos infectados para ocultar el origen de sus ataques.
El FBI desconecta QScan y QTRouter
Las autoridades federales desactivaron el 26 de agosto dos plataformas de piratería informática interconectadas mediante la incautación de los dominios esenciales para sus funciones de comunicación y autenticación. El Departamento de Justicia anunció que QScan y QTRouter tenían como objetivo infraestructuras críticas y redes sensibles gestionadas por la NASA, la Reserva Federal, el Departamento de Energía, el Departamento de Justicia, el Departamento de Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de EE. UU.
Los expedientes judiciales atribuyen las plataformas a QTFY, un grupo de hackers patrocinado por el Estado chino y empleado por la empresa Nanjing Xinjiuwei Network Technology Company. La declaración jurada del FBI que respalda las incautaciones de dominios alega que QTFY vendía servicios de piratería informática a clientes entre los que se encontraban el Ministerio de Seguridad del Estado de China y el Ejército Popular de Liberación. Tres de los dominios incautados estaban codificados de forma fija en las plataformas, lo que permitió a la operación dejar ambos sistemas inoperativos. Las incautaciones desarticularon una infraestructura que, presuntamente, ayudaba a los hackers a identificar sistemas vulnerables y a camuflar sus conexiones con las redes objetivo. El fiscal general Todd Blanche declaró:
«Las fuerzas del orden federales investigaron y desactivaron el software malicioso de la República Popular China, la última de una serie de operaciones técnicas destinadas a desmantelar las actividades de piratería informática indiscriminadas patrocinadas por la República Popular China».
QScan localizaba objetivos mientras QTRouter ocultaba los ataques
Las dos plataformas desempeñaban funciones diferentes dentro de un sistema integrado de reconocimiento, explotación y ofuscación del tráfico. El aviso de ciberseguridad conjunto del FBI, la Agencia de Seguridad Nacional y la Fuerza de Misión Nacional Cibernética indica que QScan contenía más de 200 exploits de prueba de concepto y procesó más de 2 millones de tareas de escaneo y pruebas de penetración en un solo día de 2024. Una campaña de mayo de 2024 sustrajo datos de más de 300 organizaciones de todo el mundo. QScan comprometía automáticamente dispositivos vulnerables conectados a Internet y los añadía a QTRouter, que combinaba los dispositivos secuestrados con servicios de proxy comerciales y servidores privados virtuales alquilados. Black Lotus Labs analizó la infraestructura de QTFY y describió al grupo como un proveedor de infraestructura que da soporte a operaciones cibernéticas chinas. Al enrutar el tráfico a través de dispositivos cercanos a las víctimas, las comunicaciones maliciosas parecían proceder de usuarios locales legítimos. El director del FBI, Kash Patel, declaró:
«Hoy hemos anunciado la desarticulación de una red de bots global y una plataforma de piratería informática utilizadas por hackers patrocinados por el Estado chino para atacar infraestructuras críticas de EE. UU. Estas herramientas fueron utilizadas por actores cibernéticos de la República Popular China para ocultar el origen de sus ataques».
Los routers comprometidos y otros dispositivos del «Internet de las cosas» también han servido de apoyo a delitos cibernéticos con motivaciones económicas, al margen de las operaciones patrocinadas por el Estado. Las autoridades ya habían desmantelado anteriormente una red de proxies que contenía 369 000 dispositivos pirateados en 163 países. Esa red permitía a los delincuentes encubrir actividades relacionadas con la apropiación de cuentas de criptomonedas, el fraude bancario, el ransomware y otras estafas, al tiempo que generaba más de 5,7 millones de dólares para sus operadores.
La operación amplía la campaña de desmantelamiento de infraestructuras
Las últimas incautaciones se producen tras varias operaciones autorizadas por los tribunales dirigidas contra la infraestructura cibernética patrocinada por el Estado chino. En enero de 2025, el FBI afirmó que había eliminado el malware de vigilancia PlugX de aproximadamente 4.258 sistemas estadounidenses infectados por Mustang Panda. Las autoridades federales también desactivaron una red de bots Flax Typhoon en 2024 y desarticularon una red de bots Volt Typhoon en 2023. El enfoque federal frente a las amenazas cibernéticas extranjeras también se está ampliando más allá de las incautaciones convencionales autorizadas por los tribunales y las operaciones de eliminación de malware. Un memorándum presidencial del 12 de agosto ordenó la creación de un programa de interrupción cibernética supervisado a nivel federal que permite a empresas estadounidenses seleccionadas proponer misiones contra redes criminales extranjeras, y se concedió a los funcionarios un plazo de 60 días para establecer criterios de elegibilidad, procedimientos de revisión de objetivos y medidas de seguridad.
Los investigadores federales han desarticulado cada vez más las cuentas, los servidores, los dominios y las conexiones de red que permiten las operaciones cibernéticas extranjeras. Durante una iniciativa independiente en mayo, varias empresas tecnológicas se unieron a una operación del Departamento de Justicia que desactivó más de 1,4 millones de cuentas vinculadas a estafas. Los participantes también bloquearon el tráfico malicioso en Internet, desactivaron infraestructuras de alojamiento y ayudaron a congelar más de 3,8 millones de dólares en criptomonedas.
Los usuarios particulares se enfrentan a riesgos distintos a los de los grupos sofisticados que tienen como objetivo organismos gubernamentales e infraestructuras críticas, aunque ambos pueden aprovechar el uso de malware y dispositivos comprometidos. Entre las medidas de protección habituales se incluyen actualizar el software, evitar descargas sospechosas y verificar los sitios web antes de introducir información confidencial. El phishing y los sitios web falsos pueden instalar malware o revelar contraseñas, mientras que los routers obsoletos pueden proporcionar a los atacantes una infraestructura para ocultar otras intrusiones.
Este artículo fue traducido del inglés mediante IA. La versión original en inglés es la fuente autorizada; las traducciones automáticas pueden contener imprecisiones, especialmente en la terminología legal y regulatoria.
