El Departamento de Justicia de EE. UU. anunció el desmantelamiento de dos plataformas de hacking, QScan y QTRouter, que, según el organismo, eran utilizadas por el grupo estatal chino QTFY para atacar infraestructuras críticas de EE. UU. Entre las víctimas declaradas figuran la NASA, la Reserva Federal, el Departamento de Energía, el propio Departamento de Justicia, el Departamento de Salud, los Institutos Nacionales de Salud y el Senado de EE. UU. Los dominios hardcodeados en el código de ambas plataformas fueron incautados por orden judicial, lo que, según se indica, provocó el cese de su funcionamiento. Las organizaciones que usen los productos enumerados en las recomendaciones del FBI deben revisar de inmediato sus redes en busca de indicadores de compromiso y asegurarse de tener al día los parches de las vulnerabilidades explotadas.
Arquitectura de la infraestructura: del escaneo a la ofuscación
Según las recomendaciones del FBI, la actividad de QTFY se atribuye a la empresa Nanjing Xinjiuwei Network Technology Company. De acuerdo con los investigadores de Lumen Black Lotus Labs, la infraestructura funciona presuntamente desde mayo de 2018 y la cooperación con el FBI en este caso se prolongó alrededor de un año.
La plataforma QScan realiza funciones de escaneo automático e infección de dispositivos IoT vulnerables en todo el mundo, conformando con ellos un botnet. Los dispositivos comprometidos se integran en la red QTRouter, una red proxy de ofuscación que combina dispositivos IoT comprometidos, servicios de proxys comerciales y servidores VPS alquilados. El objetivo clave de QTRouter es ocultar la fuente real de los ataques: el tráfico aparenta proceder de ubicaciones fuera de China, a menudo geográficamente próximas a las redes objetivo.
QTRouter se ejecuta en routers con firmware OpenWrt personalizado y utiliza la herramienta Clash para establecer conexiones proxy. El sistema permite a los operadores visualizar los nodos disponibles y construir cadenas para una ofuscación multinivel, mezclando tráfico malicioso con tráfico legítimo.
La gestión del botnet se lleva a cabo a través de tres plataformas: Proxy Platform Management, Proxy Pool Management System y QTBotnet; esta última incluye el servidor de control, servidores de mando secundarios y los dispositivos comprometidos. El servidor de control también es capaz de lanzar ataques DDoS y ejecutar comandos en los nodos infectados.
Según Lumen, la arquitectura distribuida incluye adicionalmente los componentes Fast Labyrinth (la capa operativa con la infraestructura de proxys comerciales, incluido el servicio Fastlink) y QTProxy (gestión de los nodos operativos de Fast Labyrinth). Toda la construcción se describe como una operational relay backbone (ORB), una red mallada descentralizada que enruta el tráfico a través de direcciones IP rotatorias.
Ciclo de ataque y vulnerabilidades explotadas
De acuerdo con la documentación del FBI, el ciclo típico de ataque de QTFY consta de cuatro etapas: reconocimiento mediante QScan, obtención de acceso inicial explotando vulnerabilidades, afianzamiento mediante troyanos de acceso remoto (RAT), web shells y credenciales legítimas, y posteriormente acceso a la red objetivo a través de los dispositivos IoT comprometidos más cercanos utilizando QTRouter.
La lista de vulnerabilidades explotadas abarca tanto zero-days como brechas conocidas desde hace años. Todos los CVE enumerados están confirmados en la NVD, y la mayoría figuran en el catálogo CISA KEV:
- Ivanti CSA: CVE-2024-8190 (CVSS 7.2), CVE-2024-8963 (CVSS 9.1), CVE-2024-9380 (CVSS 7.2): OS command injection y path traversal; Ivanti confirmó la explotación encadenada de estas vulnerabilidades
- Fortinet SSL-VPN: CVE-2018-13379: path traversal en FortiOS/FortiProxy
- Citrix ADC/Gateway: CVE-2019-19781 (CVSS 9.8): directory traversal
- Microsoft Exchange Server: CVE-2021-26855 (CVSS 9.8): remote code execution
- Apache Log4j: CVE-2021-44228: JNDI injection en Log4j2 versiones 2.0-beta9 – 2.15.0
- Atlassian Confluence: CVE-2023-22515 (CVSS 10.0 según la valoración de Atlassian): violación del control de acceso
- Check Point Quantum Gateway: CVE-2024-24919 (CVSS 8.6): information disclosure
- CrushFTP: CVE-2025-31161: bypass de autenticación en versiones 10 hasta 10.8.4 y 11 hasta 11.3.1
- BeyondTrust Remote Support: CVE-2026-1731 (CVSS 9.8): remote code execution previa a la autenticación
- También se mencionan F5 BIG-IP (CVE-2020-5902) y Kentico CMS (CVE-2019-10068)
Alcance y contexto de la amenaza
Según Lumen, el targeting de QTFY se extendía por todo el mundo occidental, con especial énfasis en los entornos académicos y de investigación. Se indica que, hasta junio de 2026, los ataques también se dirigieron al sistema electoral de EE. UU. El grupo, presumiblemente, participaba en redes chinas de brokers freelance para la compra y venta de exploits y de acceso a redes comprometidas.
Lumen describe la situación como un alto grado de industrialización de las operaciones cibernéticas chinas: una transición desde configuraciones fragmentadas y puntuales a redes utilitarias compartidas y multiusuario, que permiten llevar a cabo campañas complejas con un elevado nivel de anonimato, rapidez y alcance global. El uso de suscripciones de pago legítimas a servicios de proxys comerciales hace que los bloqueos estáticos tradicionales resulten insuficientes.
Indicadores de compromiso
Dominios asociados a la infraestructura de QTFY:
qt-proxy[.]orgmq-task.qt-proxy[.]org(antesmq-task.qt-team[.]com)mq-result.qt-proxy[.]org(antesmq-result.qt-team[.]com)www.qtproxy[.]xyzsecurelink.qtproxy[.]xyzfastlink.ws
Recomendaciones
- Revisar los registros de red en busca de conexiones a los dominios enumerados y a direcciones IP asociadas a la infraestructura QTRouter/QTProxy
- Instalar inmediatamente los parches para todos los CVE enumerados; la mayoría figuran en el catálogo CISA KEV y se explotan activamente. Prioridad: CVE-2026-1731 (BeyondTrust), CVE-2025-31161 (CrushFTP), CVE-2024-24919 (Check Point), CVE-2023-22515 (Confluence)
- Realizar una auditoría de los dispositivos IoT de la red: routers con firmware OpenWrt no estándar, dispositivos con tráfico saliente anómalo hacia servicios de proxys
- Implantar monitorización del uso anómalo de servicios de proxys comerciales desde la red corporativa; los bloqueos estáticos por IP no son eficaces frente a una infraestructura ORB con IPs rotatorias
- Comprobar la existencia de web shells, RAT y cuentas no legítimas, especialmente en dispositivos perimetrales de Ivanti CSA, Fortinet, Citrix y Exchange
La incautación de los dominios hardcodeados en el código de QScan y QTRouter neutraliza temporalmente esta infraestructura concreta; sin embargo, la arquitectura distribuida de tipo ORB permite su restablecimiento sobre nuevos dominios. Las organizaciones deben centrarse no solo en bloquear indicadores conocidos, sino también en identificar patrones de comportamiento: tráfico proxy anómalo desde dispositivos IoT, explotación encadenada de vulnerabilidades perimetrales y signos de movimiento lateral a través de routers comprometidos situados en la proximidad inmediata de la red objetivo.
