El Departamento de Justicia de Estados Unidos y el FBI anunciaron este miércoles la desarticulación de una extensa red de bots (botnet) gestionada por una empresa china y utilizada por hackers respaldados por el Gobierno de Pekín para infiltrarse en agencias federales, el Senado y la NASA, entre otras instituciones sensibles. La operación, que representa uno de los mayores golpes contra la infraestructura de ciberespionaje china en años, dejó inoperativos los servidores de comando y control del grupo, conocido como QTFY.
Según el comunicado del Departamento de Justicia y la affidavit presentada ante un tribunal federal, QTFY era operada por la compañía Nanjing Xinjiuwei Network Technology, con sede en la ciudad china de Nanjing. La firma actuaba como proveedor de infraestructura para hackers del Ministerio de Seguridad del Estado y del Ejército Popular de Liberación, ofreciendo acceso a miles de dispositivos del llamado internet de las cosas (IoT) previamente comprometidos, así como a redes de servidores proxy comerciales. Sobre estos dispositivos se ejecutaban dos herramientas clave: QTRouter, que administraba el acceso de los clientes a la botnet, y QScan, diseñada para detectar vulnerabilidades en dispositivos IoT que pudieran ser añadidos a la red.
La red de bots servía como una capa de ofuscación que ocultaba el tráfico malicioso de los hackers, dificultando su detección por parte de los defensores. Según el comunicado, los ataques se remontan al menos a 2018 y afectaron a un listado llamativo de víctimas: la NASA, el Senado de Estados Unidos —comprometido incluso en 2026—, la Reserva Federal, el Departamento de Justicia, el Departamento de Energía, el Departamento de Salud y Servicios Sociales, y los Institutos Nacionales de Salud. Entre los objetivos también figuran hospitales, contratistas de defensa, empresas de energía y telecomunicaciones, entidades financieras y proveedores aeroespaciales.
La operación fue posible gracias a la cooperación de los investigadores del FBI con Black Lotus Labs, el equipo de inteligencia de amenazas de Lumen Technologies. Damon Rouse, investigador de Black Lotus Labs, calificó el alcance como 'gigantesco' y describió a la compañía china como un 'proveedor logístico' de las operaciones de hackeo estatales chinas. En una entrada de blog, Lumen explicó que durante el último año el grupo había comenzado a secuestrar servicios de VPN utilizados habitualmente por ciudadanos chinos para esquivar el Gran Cortafuegos, mezclando así el tráfico malicioso con el de usuarios legítimos.
Lumen también explicó que, además del FBI, tomaron medidas para 'anular el enrutamiento' de ciertos dominios, dejándolos inoperativos, incluyendo el sistema más reciente de uso de VPN.
El fiscal general Todd Blanche declaró que 'los hackers maliciosos patrocinados por Estados que atacan la infraestructura crítica de Estados Unidos serán detenidos y procesados', aunque el anuncio del Departamento de Justicia no incluyó cargos contra personas específicas. Por su parte, la empresa Nanjing Xinjiuwei Network Technology no respondió a las solicitudes de comentarios.
Sobre los objetivos finales de la campaña de espionaje, los investigadores consultados señalan que las operaciones no parecen solaparse con la llamada campaña Volt Typhoon, que busca obtener capacidad para interrumpir servicios eléctricos, hídricos y otra infraestructura civil y militar. Según Rouse, los años de intrusiones parecen enfocarse más en tareas clásicas de espionaje y recolección de información: 'Era prácticamente tan amplio como puedas imaginar, mapeando lo que se les encarga a las operaciones cibernéticas chinas en términos de recopilación de información'.
La desarticulación de la red de proxies de QTFY representa un retroceso para esas campañas de hackeo y una situación incómoda para la empresa proveedora en China. Sin embargo, los propios investigadores reconocen que el impacto será temporal: dada la flexibilidad demostrada por los hackers para cambiar de métodos a lo largo de los años, es casi seguro que se adaptarán y regresarán. Como advirtió Rouse, 'esto tendrá un efecto directo sobre la empresa y su percepción en China. Es un momento de vergüenza para ellos', pero el grupo mantiene estrechos lazos con los niveles más altos del Ejército Popular de Liberación, lo que hace prever que la amenaza persistirá en el corto y mediano plazo. Por ahora, las autoridades estadounidenses han logrado cortar una arteria fundamental del ciberespionaje chino, aunque queda por ver si la operación disuade futuras intrusiones o simplemente obliga a los atacantes a buscar nuevas rutas.