Introducción
Organizaciones de EE.UU., incluyendo agencias gubernamentales y empresas de infraestructura crítica, han sido objetivo de una campaña de espionaje cibernético orchestrada por un grupo vinculado a China, identificado como QTFY. El FBI logro desactivar la infraestructura clave usada para ocultar el origen de estos ataques, pero el riesgo persiste para sistemas vulnerables que aún puedan estar comprometidos. Los equipos de DevOps y seguridad deben actuar para detectar y mitigar posibles intrusiones relacionadas con esta operación.
Qué ocurrió
El 6 de agosto de 2026, el Departamento de Justicia de EE.UU. anunció el desmantelamiento de dos plataformas de hacking —QScan y QTRouter— operadas por el grupo QTFY (también conocido como Bronze river o Earth Berber). Estas herramientas eran usadas para escanear, comprometer dispositivos IoT y crear una red de proxy que ocultaba el origen de los ataques. Según el FBI, el grupo, vinculado a la empresa Nanjing Xinjiuwei Network Technology Co. (南京鑫玖维网络科技有限公司), tiene como clientes al Ministerio de Seguridad del Estado de China (MSS) y al Ejército de Liberación Popular (PLA).
Entre las víctimas confirmadas están la NASA, la Reserva Federal, el Departamento de Energía, el Departamento de Justicia, el Departamento de Salud y Servicios Humanos (HHS), los Institutos Nacionales de Salud (NIH) y el Senado de EE.UU.. Además, se registraron ataques contra sistemas de elecciones en EE.UU. en junio de 2026. La infraestructura desactivada inclusiona dominios como www.qtproxy[.]xyz y securelink.qtproxy[.]xyz, que eran usados para autenticar nodos del botnet.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El principal riesgo de esta operación radica en su capacidad de ofuscación. QTRouter funcionaba como una red de proxies distribuida, combinando dispositivos IoT comprometidos, servidores VPS alquilados y servicios de proxy comerciales. Esto permitía a los atacantes:
- Evasión de controles: El tráfico malicioso aparecía como originado en ubicaciones geográficas legítimas, eludiendo listas de bloqueo por IP o políticas basadas en ubicación.
- Persistencia: La infraestructura descentralizada (descrita como un «operational relay box» o ORB) hacía difícil su desmantelamiento completo.
- Escalabilidad: El modelo «multi-tenant» permitía a múltiples grupos de Amenaza usar la misma infraestructura, amplificando el alcance de las campañas.
Para los equipos de DevOps y cloud, el riesgo es doble:
Detalles técnicos
Componentes de la infraestructura
- QScan:
– Herramienta de escaneo y explotación automática de dispositivos IoT.
– Explotaba vulnerabilidades conocidas (ej.: CVE-2017-17215 en routers Huawei, CVE-2022-26145 en TP-Link) para comprometer dispositivos.
– Los dispositivos infectados se incorporaban automáticamente a QTRouter.
– Usaba dominios hardcodeados (ej.: qscan[.]xyz) para descargar payloads y recibir comandos.
- QTRouter:
– Red de ofuscación que combinaba:
– Dispositivos IoT comprometidos (con firmware modificado, basado en OpenWrt).
– Servidores VPS alquilados.
– Nodos de servicios de proxy comerciales (como Clash).
– Los nodos se autenticaban con servidores de administración en www.qtproxy[.]xyz y securelink.qtproxy[.]xyz.
– Permitía encadenar múltiples nodos para ocultar el origen del tráfico.
– Incluía funcionalidades para:
– Ver nodos disponibles.
– Ejecutar commands en dispositivos comprometidos (ej.: wget, curl, sh).
– Lanzar ataques DDoS.
- Plataformas de gestión:
– Proxy Platform Management: Interfaz para gestionar el pool de proxies.
– Proxy Pool Management System: Sistema para asignar nodos a campañas.
– QTBotnet: Arquitectura de control con:
– Servidor principal.
– Servidores secundarios (para mantener la comunicación con los nodos).
– Dispositivos comprometidos.
Técnicas de evasión
- Mezcla de tráfico: Combinaba tráfico malicioso con tráfico legítimo de servicios de proxy comerciales.
- Rotación de IPs: Usaba IPs dinámicas de dispositivos IoT y VPS para evitar la detección.
- Topología descentralizada: Sin punto único de falla, lo que dificultaba la mitigación.
Indicadores de compromiso (IOCs)
- Dominios:
– www.qtproxy[.]xyz
– securelink.qtproxy[.]xyz
– qscan[.]xyz
- IPs asociadas a servidores de comando y control (ver lista completa en el aviso del FBI).
- Puertos usados: 8080, 8443, 80 (para C2 y proxy).
- Firmware modificado en routers (hashes disponibles en reportes de Lumen Black Lotus Labs).
Qué deberían hacer los administradores y equipos técnicos
1. Detección de compromisos
- Escaneo de red:
– Buscar conexiones salientes a los dominios IOCs (qtproxy[.]xyz, qscan[.]xyz) con herramientas como:
grep -r «qtproxy\|qscan» /var/log/ 2>/dev/null
o usando Zeek (antes Bro):
zeek -r pcap_file.pcap «any(where /4 /conn.log/ $1~ /qtproxy|qscan/)»
- Análisis de firmware:
– Verificar la integridad del firmware en routers y dispositivos IoT. Buscar modificaciones no autorizadas en:
md5sum /bin/busybox
sha256sum /www/cgi-bin/*.cgi
– Comparar con hashesKnown-good del fabricante.
- Monitoreo de tráfico:
– Buscar patrones de tunneling o proxy anómalo (ej.: tráfico Clash no autorizado).
– Usar reglas Snort/Suricata para detectar actividad relacionada. Ejemplo:
alert tcp $HOME_NET any -> $EXTERNAL_NET 8080 (msg:»QTRouter C2 traffic»; flow:to_server; content:»qtproxy»; fastpattern; classtype:trojan-activity;)
2. Mitigación
- Aislar dispositivos comprometidos:
– Desconectar de la red routers y dispositivos IoT que muestren signos de compromiso (conexiones a IOCs, firmware modificado).
- Bloquear IOCs:
– Añadir dominios e IPs a listas de bloqueo en firewalls, IDS/IPS y proxies. Ejemplo para iptables:
iptables -A OUTPUT -p tcp -d 192.0.2.1 –dport 8080 -j DROP
- Actualizar firmware:
– Aplicar las últimas actualizaciones a routers y dispositivos IoT. Priorizar modelos con vulnerabilidades conocidas (ej.: Huawei, TP-Link, ZTE).
- Revisar servicios de proxy:
– Auditar el uso de servicios como Clash, Squid o 3proxy. Buscar configuraciones no autorizadas o tráfico inusual.
- Segmentación de red:
– Aislar dispositivos IoT en VLANs dedicadas con acceso restringido a la red interna.
3. Prevención
- Deshabilitar servicios innecesarios:
– Cerrar puertos no usados (ej.: 7547 en routers, usado para TR-069).
– Desactivar UPnP en routers.
- Cambiar credenciales por defecto:
– Usar contraseñas fuertes y únicas para todos los dispositivos IoT.
- Implementar autenticación fuerte:
– Usar SSH con clave pública en lugar de contraseñas para la administración de routers.
- Monitoreo continuo:
– Implementar detección de anomalías en el tráfico de red (ej.: con Elastic SIEM, Wazuh o Graylog).
Conclusión
El desmantelamiento de la infraestructura QTFY es un golpe significativo a las operaciones de espionaje chino, pero no elimina el riesgo para organizaciones que puedan estar comprometidas. Los equipos de DevOps y seguridad deben priorizar la detección de actividad relacionada, mitigar compromisos existentes y endurecer la postura de seguridad en dispositivos IoT y servicios de proxy. Este caso subraya la importancia de la visibilidad en la red, la gestión de assets y la segmentación para limitar el impacto de amenazas avanzadas.
Fuentes
- https://thehackernews.com/2026/08/fbi-disrupts-china-linked-qtfy.html
- https://www.fbi.gov/investative-assistance/techintel/qtfy