Introducción
Organizaciones de EE.UU., incluyendo agencias gubernamentales y empresas de infraestructura crítica, han sido objetivo de una campaña de espionaje cibernético orchestrada por un grupo vinculado a China, identificado como QTFY. El FBI logro desactivar la infraestructura clave usada para ocultar el origen de estos ataques, pero el riesgo persiste para sistemas vulnerables que aún puedan estar comprometidos. Los equipos de DevOps y seguridad deben actuar para detectar y mitigar posibles intrusiones relacionadas con esta operación.
Qué ocurrió
El 6 de agosto de 2026, el Departamento de Justicia de EE.UU. anunció el desmantelamiento de dos plataformas de hacking —QScan y QTRouter— operadas por el grupo QTFY (también conocido como Bronze river o Earth Berber). Estas herramientas eran usadas para escanear, comprometer dispositivos IoT y crear una red de proxy que ocultaba el origen de los ataques. Según el FBI, el grupo, vinculado a la empresa Nanjing Xinjiuwei Network Technology Co. (南京鑫玖维网络科技有限公司), tiene como clientes al Ministerio de Seguridad del Estado de China (MSS) y al Ejército de Liberación Popular (PLA).
Entre las víctimas confirmadas están la NASA, la Reserva Federal, el Departamento de Energía, el Departamento de Justicia, el Departamento de Salud y Servicios Humanos (HHS), los Institutos Nacionales de Salud (NIH) y el Senado de EE.UU.. Además, se registraron ataques contra sistemas de elecciones en EE.UU. en junio de 2026. La infraestructura desactivada inclusiona dominios como www.qtproxy[.]xyz y securelink.qtproxy[.]xyz, que eran usados para autenticar nodos del botnet.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El principal riesgo de esta operación radica en su capacidad de ofuscación. QTRouter funcionaba como una red de proxies distribuida, combinando dispositivos IoT comprometidos, servidores VPS alquilados y servicios de proxy comerciales. Esto permitía a los atacantes:
- Evasión de controles: El tráfico malicioso aparecía como originado en ubicaciones geográficas legítimas, eludiendo listas de bloqueo por IP o políticas basadas en ubicación.
- Persistencia: La infraestructura descentralizada (descrita como un «operational relay box» o ORB) hacía difícil su desmantelamiento completo.
- Escalabilidad: El modelo «multi-tenant» permitía a múltiples grupos de Amenaza usar la misma infraestructura, amplificando el alcance de las campañas.
Para los equipos de DevOps y cloud, el riesgo es doble:
Detalles técnicos
Componentes de la infraestructura
- QScan:
– Explotaba vulnerabilidades conocidas (ej.: CVE-2017-17215 en routers Huawei, CVE-2022-26145 en TP-Link) para comprometer dispositivos.
– Los dispositivos infectados se incorporaban automáticamente a QTRouter.
– Usaba dominios hardcodeados (ej.: qscan[.]xyz) para descargar payloads y recibir comandos.
- QTRouter:
– Dispositivos IoT comprometidos (con firmware modificado, basado en OpenWrt).
– Servidores VPS alquilados.
– Nodos de servicios de proxy comerciales (como Clash).
– Los nodos se autenticaban con servidores de administración en www.qtproxy[.]xyz y securelink.qtproxy[.]xyz.
– Permitía encadenar múltiples nodos para ocultar el origen del tráfico.
– Incluía funcionalidades para:
– Ver nodos disponibles.
– Ejecutar commands en dispositivos comprometidos (ej.: wget, curl, sh).
– Lanzar ataques DDoS.
- Plataformas de gestión:
– Proxy Pool Management System: Sistema para asignar nodos a campañas.
– QTBotnet: Arquitectura de control con:
– Servidor principal.
– Servidores secundarios (para mantener la comunicación con los nodos).
– Dispositivos comprometidos.
Técnicas de evasión
- Mezcla de tráfico: Combinaba tráfico malicioso con tráfico legítimo de servicios de proxy comerciales.
- Rotación de IPs: Usaba IPs dinámicas de dispositivos IoT y VPS para evitar la detección.
- Topología descentralizada: Sin punto único de falla, lo que dificultaba la mitigación.
Indicadores de compromiso (IOCs)
- Dominios:
– securelink.qtproxy[.]xyz
– qscan[.]xyz
- IPs asociadas a servidores de comando y control (ver lista completa en el aviso del FBI).
- Puertos usados: 8080, 8443, 80 (para C2 y proxy).
- Firmware modificado en routers (hashes disponibles en reportes de Lumen Black Lotus Labs).
Qué deberían hacer los administradores y equipos técnicos
1. Detección de compromisos
- Escaneo de red:
grep -r "qtproxy\|qscan" /var/log/ 2>/dev/nullo usando Zeek (antes Bro):
zeek -r pcap_file.pcap "any(where /4 /conn.log/ $1~ /qtproxy|qscan/)"
- Análisis de firmware:
md5sum /bin/busybox
sha256sum /www/cgi-bin/*.cgi
– Comparar con hashesKnown-good del fabricante.
- Monitoreo de tráfico:
– Usar reglas Snort/Suricata para detectar actividad relacionada. Ejemplo:
alert tcp $HOME_NET any -> $EXTERNAL_NET 8080 (msg:"QTRouter C2 traffic"; flow:to_server; content:"qtproxy"; fastpattern; classtype:trojan-activity;)
2. Mitigación
- Aislar dispositivos comprometidos:
- Bloquear IOCs:
iptables -A OUTPUT -p tcp -d 192.0.2.1 --dport 8080 -j DROP- Actualizar firmware:
- Revisar servicios de proxy:
- Segmentación de red:
3. Prevención
- Deshabilitar servicios innecesarios:
– Desactivar UPnP en routers.
- Cambiar credenciales por defecto:
- Implementar autenticación fuerte:
- Monitoreo continuo:
Conclusión
El desmantelamiento de la infraestructura QTFY es un golpe significativo a las operaciones de espionaje chino, pero no elimina el riesgo para organizaciones que puedan estar comprometidas. Los equipos de DevOps y seguridad deben priorizar la detección de actividad relacionada, mitigar compromisos existentes y endurecer la postura de seguridad en dispositivos IoT y servicios de proxy. Este caso subraya la importancia de la visibilidad en la red, la gestión de assets y la segmentación para limitar el impacto de amenazas avanzadas.
Fuentes
- https://thehackernews.com/2026/08/fbi-disrupts-china-linked-qtfy.html
- https://www.fbi.gov/investative-assistance/techintel/qtfy