El FBI interrumpió una infraestructura que, según el Departamento de Justicia, estaba vinculada a una entidad tecnológica que proporcionaba servicios de reconocimiento, gestión de proxies y direccionamiento de comunicaciones para operaciones de espionaje cibernético relacionadas con China. Entre los objetivos anunciados se encontraban redes pertenecientes a agencias gubernamentales estadounidenses e infraestructuras sensibles, incluidas NASA, la Reserva Federal, los Departamentos de Energía y Justicia, el Departamento de Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de Estados Unidos.
La entidad es conocida como QTFY, QT o QTCYBER, y el expediente del caso afirma que creó y operó las plataformas QScan y QTRouter. Los documentos describen QScan como una plataforma de escaneo y explotación, mientras que QTRouter funcionaba como una red para ocultar la ruta de las comunicaciones. Las autoridades se incautaron de los dominios qtproxy[.]xyz, qt-proxy[.]org y qt-team[.]com, que ahora muestran un aviso de una autoridad policial.
Una plataforma de servicios, no una herramienta aislada
Según una investigación de Black Lotus Labs, el brazo de investigación de seguridad de Lumen Technologies, la infraestructura ofrecía un conjunto interconectado de servicios. QScan recopilaba información sobre objetivos de alto valor, como puertos abiertos, logotipos de aplicaciones, huellas de sistemas operativos y datos de configuración. Fast Labyrinth, por su parte, era una red de retransmisores cifrados para ocultar las comunicaciones hacia y desde las organizaciones objetivo.
QTRouter proporcionaba un dispositivo físico preconfigurado para acceder a la infraestructura de proxies y al sistema de gestión de nodos, mientras que QTProxy permitía seleccionar retransmisores y crear rutas personalizadas a través de Fast Labyrinth. Los hallazgos indican que estos elementos fueron diseñados para reducir el esfuerzo operativo necesario para realizar el reconocimiento y ocultar el origen del tráfico, en lugar de depender de una única herramienta de intrusión.
Lumen afirmó que la infraestructura se utilizó para atacar instituciones militares y de defensa, redes gubernamentales, universidades y centros de investigación, empresas aeronáuticas y de información crítica, el sector sanitario, instituciones financieras, empresas energéticas e infraestructuras críticas, además de proveedores de software empresarial.
¿Qué revela la operación de interrupción?
Black Lotus Labs afirma que vigiló la infraestructura de QTFY durante un año y compartió información sobre amenazas con organismos gubernamentales estadounidenses. También interrumpió puntos conocidos redirigiendo hacia ellos el tráfico a rutas ineficaces. Lumen considera que la coincidencia entre los objetivos examinados por QScan y las instituciones con las que posteriormente se comunicó la red Fast Labyrinth constituye el indicio más sólido de una transición de la actividad de reconocimiento a operaciones posteriores.
La empresa estima que las comunicaciones bidireccionales observadas podrían reflejar intentos de explotación, movimiento lateral, establecimiento de acceso o recopilación de datos. Los documentos judiciales mencionan, por su parte, que el grupo incluía a exmiembros de un ala militar del Ejército Popular de Liberación de China y que Nanjing Xinjiuwei Network Technology Company recibió pagos del Ministerio de Seguridad del Estado de China, algo que el Departamento de Justicia utiliza como indicio de la ejecución de actividades maliciosas en nombre del Gobierno chino.
¿Por qué importa esta noticia a los defensores?
La importancia de la operación radica en que apunta a un modelo comercial de provisión de infraestructura operativa, no simplemente a un único servidor. Fast Labyrinth dependía de nodos de pago del servicio comercial de proxies fastlink.ws y mezclaba el tráfico de espionaje con el de usuarios legítimos, al tiempo que rotaba la infraestructura desde la que se originaban las comunicaciones. QTFY también vendía a otras entidades acceso a QScan y QTRouter, lo que permitía escanear dispositivos vulnerables de Internet de las cosas e incorporarlos a redes de retransmisión que ocultaban el origen del tráfico.
No obstante, Lumen advierte que el bloqueo estático por sí solo no será suficiente, porque el tráfico se desplaza constantemente a través de servicios comerciales de proxies cambiantes. Los datos prácticos recomiendan seguir las directrices de CISA y NCSC sobre las amenazas vinculadas a China, actualizar enrutadores, cortafuegos y dispositivos de Internet de las cosas, y proteger sus configuraciones. La incautación por sí sola no demuestra que el riesgo haya terminado; las limitaciones impuestas por la rotación de proxies y la posibilidad de reconstruir la infraestructura mediante otros servicios siguen siendo cuestiones abiertas para los equipos de defensa.