Durante años, una cámara de seguridad, un router doméstico o cualquier otro dispositivo conectado a Internet pudo parecer, a simple vista, un elemento insignificante dentro de una red. Pero detrás de uno de esos aparatos podía esconderse una pieza de una operación mucho mayor: un dispositivo comprometido utilizado como puente para que un atacante entrara en una organización situada a miles de kilómetros de distancia. Ese es, precisamente, uno de los aspectos más llamativos de la operación anunciada por Estados Unidos contra la infraestructura vinculada al grupo chino QTFY.
El 26 de agosto de 2026, el Departamento de Justicia de Estados Unidos (DOJ, por sus siglas en inglés) y el FBI anunciaron la incautación, con autorización judicial, de dominios utilizados por dos plataformas de hacking denominadas QScan y QTRouter, para llevar a cabo ciberspionaje.
De acuerdo con los documentos judiciales hechos públicos, ambas herramientas (QScan y QTRouter) estaban vinculadas con QTFY, un grupo que las autoridades estadounidenses describen como patrocinado por la República Popular China y empleado por la empresa china Nanjing Xinjiuwei Network Technology Company. La infraestructura habría sido utilizada desde, al menos, 2018 para actividades contra organizaciones gubernamentales, infraestructura crítica y otros objetivos sensibles.
Para entender la importancia de la operación conviene detenerse un momento en una sigla que aparece repetidamente en los comunicados: DOJ. Se trata del Department of Justice, o Departamento de Justicia de Estados Unidos, la institución federal responsable, entre otras funciones, de hacer cumplir las leyes federales y de supervisar organismos de aplicación de la ley como el FBI.
En términos sencillos, cuando el DOJ participa en una operación de este tipo no estamos hablando únicamente de investigadores informáticos: existe también una dimensión judicial que permite, por ejemplo, solicitar y ejecutar órdenes para tomar control de determinados dominios utilizados por una infraestructura maliciosa.
El FBI, por su parte, es la principal agencia federal estadounidense de investigación y una agencia de inteligencia y seguridad nacional. En este caso, su participación permitió combinar investigación criminal, inteligencia técnica y operaciones de interrupción de infraestructura. El resultado fue una acción que no buscó únicamente identificar a los responsables, sino afectar directamente las herramientas que les permitían operar.
Entre los objetivos identificados por las autoridades estadounidenses aparecen organizaciones de enorme relevancia como:
- La Administración Nacional de Aeronáutica y el Espacio, NASA por sus siglas en español.
- La Reserva Federal.
- El Departamento de Energía.
- El DOJ (Department of Justice), o Departamento de Justicia de Estados Unidos.
- El Departamento de Salud y Servicios Humanos.
- Los Institutos Nacionales de Salud.
- El Senado estadounidense.
- Proveedores de telecomunicaciones.
- Compañías eléctricas.
- Instituciones financieras y contratistas de defensa.
La historia, sin embargo, no comienza en esos grandes organismos. Comienza mucho antes, en Internet, buscando máquinas vulnerables. Y ahí es donde QScan entra en escena.
De buscar dispositivos vulnerables a ocultar al verdadero atacante
Imaginemos que un atacante quiere entrar en un edificio, pero sabe que hacerlo directamente llamaría la atención. En lugar de presentarse en la puerta principal, primero busca edificios con ventanas abiertas, después utiliza una de esas instalaciones como punto intermedio y finalmente intenta llegar a su verdadero objetivo. En el mundo digital, QScan y QTRouter cumplían funciones que recuerdan a ese esquema: una herramienta ayudaba a encontrar y comprometer dispositivos; la otra contribuía a ocultar desde dónde se originaban las comunicaciones.
QScan era una plataforma de reconocimiento y explotación de vulnerabilidades. En términos sencillos, su función era buscar en Internet dispositivos y sistemas que presentaran determinadas características o debilidades que pudieran ser aprovechadas.
El análisis técnico de Lumen Black Lotus Labs describe una infraestructura distribuida para ejecutar tareas de reconocimiento a gran escala, mientras que investigadores de seguridad han documentado capacidades como recopilación de información de sitios web, enumeración de subdominios, recopilación de certificados TLS y pruebas automatizadas de vulnerabilidades.
Entre los objetivos de QScan estaban los dispositivos IoT, sigla de Internet of Things o Internet de las Cosas. El término se refiere, de manera general, a dispositivos conectados que pueden intercambiar información a través de una red y que, en muchos casos, interactúan con el mundo físico. Una cámara de vigilancia, un router, un sensor industrial, un televisor inteligente o determinados equipos médicos pueden formar parte de este universo. El National Institute of Standards and Technology (NIST) advierte que estos dispositivos introducen riesgos particulares porque deben administrarse, actualizarse y protegerse dentro de ecosistemas muy diversos.
Esto permite entender uno de los elementos más inquietantes del caso. El propietario de un dispositivo IoT puede no saber que su equipo ha sido comprometido. Para esa persona, el router continúa funcionando, la cámara sigue transmitiendo vídeo y el sistema aparentemente no presenta ningún problema. Pero para el atacante, ese mismo dispositivo puede haberse convertido en una especie de “escalón” desde el cual enviar tráfico hacia otro destino. El DOJ sostiene que QScan infectaba automáticamente miles de dispositivos IoT que posteriormente podían incorporarse a la red controlada por QTFY.
La segunda pieza era QTRouter, descrita por las autoridades como una red de ocultamiento u obfuscation network. Su función era combinar dispositivos IoT comprometidos con servicios comerciales de proxy y servidores virtuales alquilados para encaminar las comunicaciones de los atacantes. Así, una conexión que realmente se originaba en China podía terminar apareciendo para la víctima como procedente de un dispositivo ubicado en otro país e incluso, potencialmente, cerca de la propia organización atacada.
Para visualizarlo, pensemos en una carta. Si el remitente envía directamente una carta desde su ciudad hasta la casa del destinatario, es relativamente sencillo observar desde dónde salió. Pero si esa carta pasa primero por cinco intermediarios ubicados en distintos lugares, el destinatario ve el último punto de tránsito y no necesariamente el lugar donde comenzó el recorrido.
En una red informática, los servicios proxy pueden actuar de manera comparable: reciben y retransmiten determinadas comunicaciones, de modo que el servidor de destino puede observar como origen una dirección distinta de la del operador que inició la conexión.
Una dirección IP puede mostrar el camino, pero no necesariamente al atacante
Aquí aparece otro concepto fundamental: la dirección IP. Una dirección IP es, simplificando, un identificador utilizado por los protocolos de Internet para especificar información de direccionamiento y permitir que los datos lleguen desde un origen hasta un destino. En la práctica, cuando un equipo se conecta a un servicio, la dirección IP puede aportar información sobre la red desde la que parece proceder la conexión.
Por eso, durante mucho tiempo, una de las primeras preguntas de un investigador ante una conexión sospechosa era: “¿De qué dirección IP viene?”. El problema es que una IP no necesariamente identifica al atacante. Puede corresponder a un servidor alquilado, un dispositivo comprometido, un servicio proxy, una red empresarial, una VPN o cualquier otro punto intermedio. En el caso de QTRouter, precisamente se buscaba que la IP observada por la víctima no revelara el verdadero origen de la operación.
Esto es especialmente importante cuando se habla de VPN, o Virtual Private Network. Una VPN crea una red virtual sobre redes existentes y puede proporcionar un canal de comunicación protegido mediante mecanismos como cifrado y túneles. Las VPN tienen numerosos usos legítimos (por ejemplo, permitir que un trabajador acceda de forma segura a recursos corporativos), pero determinados servicios de infraestructura de red también pueden ser utilizados por actores maliciosos para dificultar la identificación de su ubicación real.
La diferencia es importante: usar una VPN no significa ser un atacante. Del mismo modo, que una organización observe una conexión procedente de una IP extranjera no significa automáticamente que exista una intrusión. Lo relevante es el contexto: qué dispositivo se conecta, qué servicio solicita, a qué hora lo hace, con qué frecuencia, qué otras conexiones establecen y si su comportamiento coincide con patrones previamente asociados con amenazas. Esa combinación de señales es la que permite pasar de una simple dirección IP a una investigación de seguridad.
Una infraestructura que llevaba años preparándose para el ciberespionaje
Los documentos judiciales estadounidenses sitúan la actividad de QTFY al menos desde 2018. Las autoridades señalan que el grupo utilizó infraestructura distribuida para comprometer redes de Estados Unidos y otros países, y que entre los objetivos figuraron organismos gubernamentales, empresas de telecomunicaciones, hospitales, compañías eléctricas, instituciones financieras y contratistas de defensa.
El FBI, la NSA y la Cyber National Mission Force publicaron además una alerta conjunta en la que describen a QTFY (también identificado mediante los acrónimos QT y QTCYBER) como un actor que desarrolló plataformas distribuidas para comprometer redes estadounidenses y extranjeras. La alerta señala que sus capacidades incluían reconocimiento, explotación de vulnerabilidades y utilización de dispositivos IoT comprometidos como nodos de una infraestructura de ocultamiento.
El caso también resulta llamativo por la relación atribuida a Nanjing Xinjiuwei Network Technology Company. De acuerdo con la declaración jurada del FBI, QTFY trabajaba para esta empresa privada china y los documentos señalan pagos procedentes del Ministerio de Seguridad del Estado de China como parte de la evidencia utilizada por las autoridades para vincular a la compañía con actividades cibernéticas en nombre del Gobierno chino. Se trata de afirmaciones contenidas en documentos judiciales estadounidenses y deben entenderse como alegaciones y evidencia presentada por las autoridades, no como una sentencia judicial sobre todos los hechos descritos.
La estructura descrita por Lumen Black Lotus Labs resulta todavía más reveladora porque presenta a este tipo de infraestructura como una especie de “quartermaster” digital, es decir, un proveedor que no necesariamente se limita a ejecutar una intrusión concreta, sino que puede proporcionar reconocimiento, rutas de comunicación, proxies y mecanismos de ocultamiento para que otros operadores realicen sus campañas. La metáfora es útil porque cambia la manera de entender una operación de espionaje: detrás del atacante que vemos puede existir toda una cadena de proveedores y servicios especializados.
Antes del ataque, hay que encontrar la puerta: así funciona el reconocimiento
Una campaña de este tipo no comienza necesariamente con el robo de información. Antes de intentar entrar, el atacante necesita saber qué hay detrás de una dirección de Internet. ¿Qué software utiliza la organización? ¿Qué servicios están expuestos? ¿Qué versión tienen? ¿Existe una vulnerabilidad conocida? ¿Hay un acceso remoto? ¿Puede utilizarse una credencial obtenida previamente?
Ese proceso recibe el nombre de reconocimiento. En términos cotidianos, es como recorrer un barrio antes de intentar entrar a una casa: observar qué puertas existen, cuáles están abiertas, qué cámaras hay instaladas y qué horarios parecen tener los habitantes. En ciberseguridad, herramientas como QScan automatizan buena parte de esa observación a una escala que sería imposible para una persona realizar manualmente.
La alerta conjunta de las agencias estadounidenses destaca precisamente el uso de vulnerabilidades zero-day y N-day. Una zero-day es una vulnerabilidad que el fabricante o la comunidad defensiva todavía no ha tenido tiempo suficiente para corregir cuando comienza a ser explotada; una N-day, en cambio, es una vulnerabilidad ya conocida, pero que todavía puede ser aprovechada contra sistemas que no han sido actualizados. Esta diferencia ayuda a entender por qué la gestión de parches sigue siendo una de las defensas más importantes incluso frente a grupos sofisticados.
El FBI encontró el punto de conexión y desconectó la infraestructura
El punto decisivo de la operación estadounidense llegó cuando las autoridades identificaron que determinados dominios eran esenciales para el funcionamiento de QScan y QTRouter. No se trataba simplemente de páginas web informativas. Los dominios formaban parte de los mecanismos mediante los cuales las herramientas se comunicaban y autenticaban con su infraestructura de control.
Los investigadores obtuvieron autorización judicial para incautar esos dominios. Según el DOJ, estaban codificados directamente en el malware y eran necesarios para tareas esenciales de comunicación y autenticación. Al tomar control de ellos, las autoridades consiguieron que QScan y QTRouter dejaran de funcionar. Es un ejemplo de una estrategia de interrupción que no requiere necesariamente localizar físicamente todos los dispositivos comprometidos del planeta: basta con cortar un punto central del que dependen determinados componentes.
La operación también ilustra una idea cada vez más importante en ciberseguridad: atacar la infraestructura que hace posible una campaña puede ser tan importante como perseguir al atacante que ejecuta la intrusión. Lumen señala que los llamados operational relay box networks (redes descentralizadas construidas con dispositivos comprometidos o infraestructura alquilada) pueden convertirse en puntos de concentración útiles para los investigadores, porque una misma infraestructura compartida puede respaldar distintas operaciones.
¿Qué puede aprender una empresa de una operación de esta escala?
Para una empresa que no trabaja con información militar ni gubernamental, el caso podría parecer lejano. Pero su enseñanza más importante es mucho más cotidiana: un dispositivo aparentemente secundario puede terminar formando parte de una operación contra un tercero. Una cámara, un router, un sistema de videoconferencia o un equipo conectado a Internet puede ser comprometido y utilizado como intermediario sin que su propietario se dé cuenta inmediatamente.
Por eso, una primera lección es conocer qué dispositivos están conectados a la red. Parece una recomendación básica, pero resulta difícil proteger aquello que una organización ni siquiera sabe que existe. Un inventario actualizado debería incluir routers, cámaras, sistemas de videovigilancia, dispositivos médicos, equipos industriales, puntos de acceso inalámbrico y otros elementos que puedan comunicarse con Internet.
La segunda lección está relacionada con las conexiones salientes. Tradicionalmente, muchas organizaciones concentran buena parte de su vigilancia en aquello que intenta entrar en su red. Pero un dispositivo que ya fue comprometido puede comportarse de otra manera: puede ser él quien inicie comunicaciones hacia Internet. En un escenario como el de QTFY, observar que un equipo interno establece conexiones inusuales con múltiples destinos, servidores desconocidos o servicios proxy puede aportar una señal importante de que algo no está funcionando como debería.
Aquí entran en juego herramientas como:
- EDR, sigla de Endpoint Detection and Response. Un EDR permite supervisar y detectar actividad sospechosa en los dispositivos finales de una organización, como computadoras y servidores, y proporciona información para investigar y responder ante posibles incidentes. En un caso de compromiso, esta visibilidad puede ayudar a identificar comportamientos que no necesariamente resultan evidentes para el usuario
Pero observar un equipo de manera aislada no siempre es suficiente. Imaginemos que una computadora realiza una conexión extraña. Esa señal puede ser simplemente un servicio legítimo. Sin embargo, si al mismo tiempo el firewall registra conexiones similares, otro servidor presenta actividad anómala y existe una alerta relacionada con una vulnerabilidad reciente, la historia cambia.
- Ahí es donde un SIEM, o Security Information and Event Management, resulta especialmente útil: centraliza registros de diferentes fuentes y permite correlacionar acontecimientos para convertirlos en información que pueda ser analizada por los equipos de seguridad.
Dicho de manera sencilla, el EDR puede funcionar como una cámara dentro de una habitación, mientras que el SIEM ayuda a construir la película completa del edificio. Uno observa lo que ocurre en un dispositivo; el otro puede reunir señales procedentes de servidores, firewalls, aplicaciones y otros sistemas para descubrir relaciones que serían difíciles de detectar revisando cada registro por separado. Esta combinación resulta especialmente relevante frente a amenazas que intentan desplazarse por diferentes capas de una infraestructura.
No basta con bloquear una IP: hay que entender el comportamiento de la amenaza
El tercer elemento es la Threat Intelligence, o inteligencia de amenazas. NIST la define como información sobre amenazas que ha sido recopilada, transformada, analizada, interpretada o enriquecida para proporcionar contexto útil para la toma de decisiones. En otras palabras, no se trata simplemente de acumular miles de direcciones IP o nombres de dominios: se trata de comprender qué significan y cómo pueden relacionarse con una amenaza concreta.
Por ejemplo, conocer que una IP pertenece a un centro de datos puede ser una pieza de información. Saber que esa IP estuvo relacionada con una infraestructura utilizada previamente para reconocimiento, que se comunica con determinados dominios y que presenta patrones similares a una campaña conocida es mucho más útil.
La inteligencia convierte un dato aislado en contexto. La Cybersecurity and Infrastructure Security Agency (CISA por sus siglas en español) también destaca que una fuente de inteligencia de amenazas tiene mayor valor cuando la información es relevante, utilizable y puede convertirse oportunamente en una acción defensiva.
Esto es particularmente importante frente a redes como QTRouter. Si una organización bloquea únicamente una dirección IP y el atacante dispone de cientos o miles de posibles puntos de salida, el bloqueo puede perder efectividad rápidamente. En cambio, identificar el comportamiento (cómo se mueve el atacante, qué infraestructura utiliza, qué vulnerabilidades explota y qué patrones de comunicación mantiene) permite construir controles más resistentes a los cambios de infraestructura
El nuevo perímetro de seguridad también está en los dispositivos que nadie mira
El caso QScan/QTRouter deja una imagen particularmente clara de cómo ha cambiado el terreno de juego. La superficie de ataque ya no está formada únicamente por el servidor que almacena una base de datos importante. También incluye los dispositivos periféricos, los routers, las cámaras, los sistemas de acceso remoto, los servicios en la nube, los proveedores externos y cualquier otro elemento que pueda convertirse en una puerta de entrada o en un punto de tránsito.
Además, el atacante moderno no necesariamente necesita parecerse al atacante que imaginamos. Puede no utilizar una dirección IP de China. Puede aparecer desde una conexión comercial, desde un servidor alquilado o desde un dispositivo doméstico situado en otro continente. Puede aprovechar una vulnerabilidad conocida en lugar de un sofisticado zero-day. Y puede apoyarse en infraestructura construida por terceros. La investigación de Lumen sobre el modelo de “quartermaster” muestra precisamente cómo los servicios de reconocimiento, proxy y enrutamiento pueden convertirse en una capa reutilizable para diferentes operaciones.
Por ello, la defensa debe evolucionar desde una pregunta relativamente sencilla: “¿desde qué país viene este ataque?” hacia preguntas mucho más útiles: ¿qué está haciendo la conexión?, ¿qué dispositivo la origina?, ¿con qué infraestructura se relaciona?, ¿qué vulnerabilidad está intentando aprovechar?, ¿se ha observado el mismo comportamiento antes? Esa perspectiva permite detectar una amenaza incluso cuando el atacante cambia constantemente de dirección IP o utiliza infraestructura aparentemente legítima.
QScan y QTRouter fueron desmantelados, pero el modelo de amenaza permanece
La operación estadounidense contra QScan y QTRouter representa un golpe significativo contra una infraestructura concreta, pero no significa que el problema del ciberespionaje patrocinado por Estados haya desaparecido. El propio DOJ presenta la acción como parte de una serie de operaciones técnicas dirigidas contra infraestructuras utilizadas por grupos vinculados con China.
De hecho, una de las conclusiones más relevantes del caso es que los atacantes pueden reconstruir o modificar su infraestructura. Cuando una organización depende de miles de dispositivos, proxies y servidores distribuidos, perder una parte de esa red no necesariamente implica perder todas sus capacidades. Por eso, la inteligencia de amenazas, el monitoreo continuo y la capacidad para reconocer comportamientos (más que simples indicadores estáticos) son esenciales para anticipar la siguiente etapa de una campaña.
Para las organizaciones, el mensaje es sencillo, aunque sus implicaciones sean profundas: un dispositivo conectado a Internet puede ser algo más que un dispositivo. Puede convertirse en una herramienta para atacar, en un punto de tránsito para ocultar una operación o en una pieza de una infraestructura global que su propietario jamás imaginó estar proporcionando. QScan y QTRouter muestran hasta qué punto la frontera entre “mi dispositivo” y “la infraestructura de un atacante” puede desaparecer cuando un equipo queda comprometido.
La historia también deja una última lección: en una operación sofisticada de ciberespionaje, la máquina que aparece frente a la víctima puede no ser la máquina desde la que comenzó el ataque.
Detrás de una dirección IP aparentemente inocente puede existir un dispositivo comprometido; detrás de ese dispositivo, una red de proxies; y detrás de esa red, una infraestructura creada para permitir que otros actores operen con mayor anonimato.
La operación contra QScan y QTRouter demuestra que, para entender una amenaza moderna, no basta con mirar quién llama a la puerta: también hay que averiguar quién construyó el camino que llevó hasta ella.
