El Departamento de Justicia de EE. UU. rectificó que varias agencias federales fueron objetivos de ataques del grupo chino QTFY, pero no necesariamente víctimas confirmadas. Este grupo, vinculado al gobierno chino, utiliza herramientas como QScan y QTRouter para espiar infraestructuras críticas y redes sensibles. Finalmente, el FBI logró neutralizar la operación al desmantelar los dominios utilizados por los atacantes.







El Departamento de Justicia de EE. UU. (DoJ) corrigió el viernes un comunicado de prensa emitido anteriormente en el que afirmaba que varias de sus agencias fueron víctimas de ataques llevados a cabo por actores de amenazas chinos, señalando ahora que estaban entre los objetivos.

La semana pasada, el DoJ afirmó que la Administración Nacional de Aeronáutica y el Espacio, la Reserva Federal, el Departamento de Energía, el Departamento de Justicia, el Departamento de Salud y Servicios Humanos, los Institutos Nacionales de Salud y el Senado de EE. UU. fueron algunas de las víctimas de una "actividad de intrusión informática" orquestada por QTFY, un grupo patrocinado por el estado afiliado a la República Popular China (RPC).

En el comunicado recientemente actualizado, las agencias mencionadas han sido enumeradas como "entre los objetivos de QTFY". La actualización fue informada por Reuters durante el fin de semana.

"Se han realizado ediciones para asegurar que este comunicado de prensa refleje con precisión las alegaciones del gobierno en la declaración jurada en apoyo de las incautaciones de dominios", dijo el DoJ en una nota.

Según la declaración jurada, QTFY (también conocido como QT y QTCYBER) trabaja para una empresa privada china conocida como Nanjing Xinjiuwei Network Technology Co, añadiendo que los pagos del Ministerio de Seguridad del Estado (MSS) sugieren que la empresa lleva a cabo actividades cibernéticas maliciosas en nombre de Pekín.

Se cree que el actor de amenazas ha estado activo desde 2018. La infraestructura vinculada al adversario se ha utilizado para comprometer redes críticas y sensibles en EE. UU. y en el extranjero. Además de dirigirse a las redes del gobierno federal de EE. UU., el grupo ha seleccionado hospitales, operadores de telecomunicaciones, compañías eléctricas, instituciones financieras y contratistas de defensa.

Descrito como un intendente técnico, QTFY ha proporcionado capacidades de reconocimiento, gestión de proxies y enrutamiento operativo para facilitar las actividades de ciberespionaje chino. Dos de los productos principales en su arsenal son QScan, una plataforma de escaneo y explotación de vulnerabilidades, y QTRouter, que es una red de ofuscación.

En un caso que se remonta a 2019, se dice que el actor de amenazas intentó irrumpir en la Administración Nacional de Aeronáutica y el Espacio explotando la CVE-2019-11510, una vulnerabilidad crítica que afectaba a Pulse Secure VPN.

El cambio en la redacción es significativo ya que sugiere que, aunque la actividad pudo haber tenido como objetivo una amplia gama de organizaciones, solo algunas de ellas fueron realmente comprometidas.

El Buró Federal de Investigaciones (FBI) de EE. UU. ha desarticulado desde entonces los dominios conectados a QScan y QTRouter (qtproxy[.]xyz, qt-proxy[.]org y qt-team[.]com), neutralizando eficazmente las funciones del malware.

Lumen Black Lotus Labs ha revelado que el actor de amenazas ha industrializado la creación de redes de Cajas de Relé Operativo (ORB) para operaciones de espionaje vinculadas a China, creando una botnet descentralizada de dispositivos IoT infectados y VPS alquilados que les permite ocultar los orígenes reales de la actividad maliciosa.

QTFY vende acceso a QScan y QTRouter para que otros actores identifiquen y exploten dispositivos IoT vulnerables. Esto, a su vez, permite tanto a los actores de QTFY como a sus clientes enlistar esos dispositivos como nodos de botnet en QTRouter.

La red también comprende nodos operados por el servicio de proxy comercial chino fastlink[.]ws. Toda la arquitectura sustenta Fast Labyrinth, una red de relé cifrada que mezcla el tráfico malicioso con la actividad de red legítima.

"Al enrutar su tráfico de internet malicioso a través de dispositivos IoT (comprometidos por QScan) locales a sus víctimas, estos hackers chinos pueden mezclarse con usuarios legítimos y permanecer indetectados al escanear y atacar infraestructuras críticas y otros objetivos", alegó la declaración jurada.

Fuente:
THN