El Departamento de Justicia de EE.UU. ha desarticulado esta semana los botnets chinos QScan y QTRouter, operados por el grupo QTFY. La acción confirma una atribución poco habitual: la infraestructura pertenecía a una empresa privada, Nanjing Xinjiuwei Network Technology, y servía al Ministerio de Seguridad del Estado y al Ejército Popular de Liberación.
El anuncio del Departamento de Justicia se apoya en una declaración jurada (affidavit) del FBI. Según el análisis de Lawfare, QTFY no era un actor independiente, sino un proveedor del Ministerio de Seguridad del Estado y del Ejército chino. Entre los objetivos registrados figuran agencias federales, el Senado de Estados Unidos, hospitales, empresas de telecomunicaciones y entidades financieras. Se trata de la tercera operación estadounidense contra infraestructuras de este tipo desde diciembre de 2023, un patrón que conviene no perder de vista.
Operación QTFY: dos botnets, una empresa privada y el rastro del MSS
QScan y QTRouter son dos piezas de un sistema más amplio. Ambas utilizaban dominios codificados de forma fija, una debilidad técnica que permitió a la justicia estadounidense solicitar su incautación judicial. La lectura confidencial es otra: el error de diseño convirtió una red supuestamente clandestina en una infraestructura vulnerable a una orden judicial.
El aviso conjunto del FBI y la Agencia de Seguridad Nacional (NSA) detalla que QScan alimenta una base de datos con casi una década de escaneos de internet. Esa base no solo sirve para seleccionar víctimas concretas: también permite identificar objetivos de interés en cuanto aparece una nueva vulnerabilidad. Dicho de otro modo, el botnet no ataca por sorpresa; elige.
Anatomía de QScan y QTRouter: escaneo distribuido y comunicaciones encubiertas
QScan era un sistema distribuido de escaneo de vulnerabilidades. Buscaba redes objetivo y localizaba dispositivos de internet de las cosas (IoT) susceptibles de ser reclutados para otras botnets del ecosistema QTFY. QTRouter, por su parte, era la capa de comunicaciones encubiertas: enrutaba el tráfico malicioso a través de esos dispositivos comprometidos para ocultar el origen chino.
QTFY no hackeaba de forma artesanal: industrializaba el descubrimiento de objetivos y ocultaba sus pasos con la misma cadena logística.
Lumen Technologies, a través de su unidad Black Lotus Labs, seguía la pista del sistema desde hacía un año. Sus analistas constatan que QTFY compra suscripciones corporativas de alto nivel del servicio VPN comercial chino Fastlink, para transportar tráfico de vuelta a China. Es más barato que comprometer y gestionar otros miles de dispositivos de retransmisión.
China ha encontrado en su sector privado una extensión logística que convierte el ciberespionaje en un servicio escalable y resiliente.
Con esta operación, el Gobierno estadounidense suma el tercer golpe a botnets de ciberespionaje chino desde diciembre de 2023. La primera en caer fue la botnet KV, atribuida al grupo Volt Typhoon y activa desde al menos febrero de 2022. Le siguió Raptor Train en septiembre de 2024, vinculada a Flax Typhoon y formada en mayo de 2020. No está claro cuánto tiempo llevaban operativas QScan y QTRouter, pero el Departamento de Justicia sitúa el apoyo de QTFY al Gobierno chino en ‘al menos 2018’.
La lista de objetivos revelada por el FBI refuerza la lectura de que no estamos ante cibercrimen oportunista. Hospitales, telecos y entidades financieras forman parte del repertorio clásico de la inteligencia china, que combina espionaje político con preparación para contingencias. No hay trazas de cifrado destructivo ni de sabotaje: es un aparato de recolección.
El patrón de resiliencia es lo que de verdad me preocupa. Lumen informa de que, desde la caída de KV a finales de 2023, una red hermana conocida como botnet JDY ha duplicado su tamaño. Estamos, por tanto, en pleno ciclo descubrir-interrumpir-reconstruir-atacar. Ganar una batalla no significa ganar la guerra.
Le adelanto que Pekín no va a renunciar a estas redes: son un activo demasiado rentable. La combinación de sector privado, suscripciones comerciales y dispositivos comprometidos le da a la inteligencia china una capacidad de denegación plausible y un coste operativo bajo. Si usted ha seguido los últimos tres años de atribuciones técnicas, habrá comprobado que cada desarticulación estadounidense se traduce en una reconstrucción casi inmediata.
Dossier Moncloa: Ojos en la Sombra
En este caso, el vector de amenaza es un ciberataque de espionaje persistente canalizado mediante botnets IoT de origen comercial. La agencia atacante no es una estructura estatal convencional, sino el grupo QTFY, vinculado a Nanjing Xinjiuwei y con clientes en el MSS y el PLA. La agencia defensora es el FBI, con la NSA como apoyo técnico. Y quienes miran de reojo son, entre otros, el CNI, el CCN-CERT y los socios de Five Eyes.
El precedente que cito no es casual: Stuxnet demostró hace más de una década que una ciberarma puede dañar infraestructura física sin declaración de guerra. QScan y QTRouter no destruyen centrifugadoras: construyen silenciosamente el mapa de objetivos y la logística de acceso. Ya advertí en El quinto elemento que ‘el próximo 11S empezará con un clic’. Aquí no hemos llegado a ese clic, pero el camino previo está servido.
En cuanto al nivel de clasificación, a juzgar por la naturaleza del material —infraestructura de espionaje contra agencias federales y el Senado—, estimo que la parte explotada roza el nivel Secreto. El affidavit desclasificado es solo la punta del iceberg. Lo que no veremos, ni siquiera en sedes judiciales, son las interceptaciones completas ni los objetivos activos que Washington quiere preservar.
El hito que sigo de cerca es la próxima publicación técnica de Lumen Black Lotus Labs sobre el ecosistema QTFY y la evolución de JDY. Mientras tanto, en la Península Ibérica no sobra precaución: España tiene miles de infraestructuras críticas conectadas a internet y una dependencia creciente de dispositivos IoT sin endurecer. No se equivoque conmigo: la guerra silenciosa ya se libra en nuestras redes.
