El FBI y el Departamento de Justicia desconectaron dos plataformas de hacking vinculadas a un grupo patrocinado por el Estado chino, incautando tres dominios de internet que servían como base para lo que los funcionarios describieron como una extensa operación de ciberespionaje dirigida a redes del gobierno estadounidense e infraestructura crítica.
Las plataformas, conocidas como QScan y QTRouter, supuestamente operadas por un grupo llamado QTFY, fueron vinculadas por las autoridades estadounidenses a empleados de la empresa Nanjing Xinjiuwei Network Technology Company. Al tomar el control de los dominios, las autoridades hicieron efectivamente inoperativas ambas plataformas, ya que el malware dependía de esos dominios para la comunicación y la autenticación.
Una operación de hacking como servicio a escala industrial
El alcance de la operación no fue sutil. En un solo día en mayo de 2024, QScan ejecutó más de 2 millones de tareas de escaneo y explotación, aprovechando una vulnerabilidad en el software de Check Point para comprometer a más de 300 organizaciones estadounidenses en un solo golpe.
Se alega que QTFY ofreció hacking como servicio a entidades gubernamentales chinas, incluyendo el Ministerio de Seguridad del Estado y el Ejército de Liberación Popular. El grupo utilizó dispositivos de Internet de las Cosas comprometidos y redes proxy comerciales para enmascarar su actividad, dificultando significativamente la detección para los defensores. Su lista de objetivos incluye a la NASA, la Reserva Federal, el Senado de EE. UU. y numerosas otras organizaciones críticas.
Las actividades del grupo QTFY se remontan al menos a 2018, lo que significa que operaron durante aproximadamente ocho años antes de esta acción de cumplimiento en particular.
Parte de una represión más amplia
El director del FBI, Kash Patel, presentó la incautación como una interrupción crítica de una botnet global utilizada por hackers patrocinados por el estado chino.
Esta operación se enmarca dentro de un patrón de acciones crecientes de EE. UU. contra amenazas cibernéticas vinculadas a la RPC. Operaciones anteriores desmantelaron la botnet Flax Typhoon y eliminaron el malware PlugX de más de 4,000 computadoras en EE. UU.
La Embajada de China y la empresa Nanjing Xinjiuwei Network Technology no han respondido públicamente a las acusaciones. Beijing ha negado históricamente su participación en ciberataques patrocinados por el estado, una posición que se ha vuelto cada vez más difícil de mantener a medida que los fiscales estadounidenses acumulan acusaciones y evidencia técnica que vinculan a empresas e individuos específicos con campañas de intrusión.