EE.UU. corrige datos sobre QTFY

El Departamento de Justicia de EE.UU. corrigió un comunicado sobre una campaña de ciberespionaje atribuida a QTFY, presuntamente patrocinado por la República Popular China, luego de aclarar que varias agencias federales y entidades financieras mencionadas eran objetivos detectados y no víctimas confirmadas. La cobertura disponible ubica la operación contra redes federales y sectores como energía, defensa, telecomunicaciones, utilities, hospitales y banca, con algunos casos de acceso exitoso y otros solo como intentos.

¿Qué corrigió el Departamento de Justicia?

El Departamento de Justicia aclaró que su versión inicial describía a todas las agencias como víctimas, cuando la declaración jurada mostraba que todas habían sido blanco de la campaña, pero solo algunas habían sufrido intrusiones confirmadas. Reuters precisó que la corrección se hizo porque el aviso inicial mezcló objetivos con víctimas, y que parte de las entidades nombradas no habían sido comprometidas.

La campaña fue atribuida por fuentes secundarias al grupo QTFY, también referido como QT o QTCYBER en un aviso conjunto del FBI, la NSA y el Cyber National Mission Force. Ese aviso sostuvo que los actores vinculados a China habían desarrollado plataformas distribuidas maliciosas para comprometer redes de organizaciones de EE.UU. y del exterior.

¿Qué blancos mencionó la cobertura?

La cobertura mencionó como blancos a redes federales de EE.UU. que incluyen el Departamento de Energía, NIH, HHS, la Reserva Federal, NASA, el Departamento de Justicia y el Senado. También citó objetivos en entidades financieras, contratistas de defensa, utilities, telecomunicaciones y hospitales, aunque no todos figuran como víctimas confirmadas.

Reuters añadió que la declaración jurada alegaba intrusiones informáticas en septiembre de 2024 contra tres laboratorios nacionales del DOE, NIH, una agencia del HHS y un fabricante estadounidense de dispositivos de seguridad. La misma fuente indicó que no se identificó públicamente cuáles de esas intrusiones tuvieron éxito en cada objetivo.

¿Qué técnicas y alcance se describieron?

Cybersecurity Dive informó que el FBI y el Departamento de Justicia incautaron dominios vinculados con una campaña de varios años atribuida a QTFY para apuntar a infraestructura crítica y agencias gubernamentales de EE.UU. Según el aviso de NSA y FBI citado por esa cobertura, los atacantes usaron vulnerabilidades zero-day y N-day para el acceso inicial y el robo de credenciales para mantener la persistencia.

Reuters agregó que el aviso conjunto incluyó robo exitoso de datos en mayo de 2024 contra contratistas de defensa, entidades financieras y universidades. También señaló intentos fallidos de acceso al Senado de EE.UU. y a un hospital estadounidense en marzo de 2026.

¿Cómo se presentó la atribución?

Security Current y SC World informaron que la operación se atribuyó a una entidad china con sede en Nanjing, Xinjiuwei Network Technology Company, y que las plataformas incautadas fueron QScan y QTRouter. Moncloa.com, por su parte, sostuvo que el FBI y el Departamento de Justicia desarticularon una red activa desde 2018, atribuida a QTFY, y que la atribución se apoyó en una empresa pantalla financiada por el gobierno y en exmilitares, según esa fuente secundaria.