Una empresa china vendía acceso a redes hackeadas de EEUU al espionaje de Pekín: así operaba la red que desmanteló el FBI

El FBI desarticuló una vasta operación de ciberespionaje vinculada a China que durante años se infiltró en redes gubernamentales y de infraestructura crítica de Estados Unidos, camuflando su actividad dentro del tráfico normal de internet para evadir la detección de las autoridades y las agencias de inteligencia.

Entre los blancos de la operación figuraron la NASA, la Reserva Federal, el Departamento de Energía y el propio Senado de Estados Unidos, según reveló el FBI en un documento judicial citado en exclusiva por el Wall Street Journal.

Detrás de la red, bautizada QTFY por las autoridades estadounidenses, había una empresa privada china llamada Nanjing Xinjiuwei Network Technology, que operaba desde 2018 bajo un modelo de negocio que atenta contra la seguridad nacional: vender acceso a redes hackeadas e información robada a los servicios de inteligencia exterior y militar de Pekín. Es decir, no eran hackers estatales operando de forma directa, sino un intermediario privado que monetizaba el espionaje a gran escala.

El mecanismo, según explicó Brett Leatherman, principal funcionario de ciberseguridad del FBI, funcionaba a través de una botnet, es decir, una red mundial de dispositivos comprometidos que la compañía construyó combinando servicios en la nube y miles de aparatos hackeados. A sus clientes, la empresa les entregaba dispositivos llamados QTRouters, que los conectaban directamente a esa infraestructura. "Hemos visto, a través de esta botnet, ataques dirigidos contra entidades y dispositivos en más de 130 países", dijo Leatherman.

Además de las agencias federales mencionadas, la operación apuntó contra compañías eléctricas, sistemas hospitalarios y hasta sistemas electorales estadounidenses, de acuerdo con Leatherman.

La clave de la operación, y lo que la volvía especialmente difícil de rastrear, era su capacidad para mimetizarse con el tráfico legítimo de internet. Nanjing Xinjiuwei recurría, entre otras técnicas, a las llamadas redes "airport", nodos que operan desde territorio chino y que se comercializan como un servicio para evadir el Gran Cortafuegos, el sistema de censura que Pekín utiliza para restringir el acceso a internet dentro del país, reseñó el WSJ.

Rumaisa Habib, doctoranda de la Universidad de Stanford que ha estudiado este fenómeno, explicó que existen miles de estas redes operando en China, donde son ilegales pero se promocionan abiertamente en Telegram.

Damon Rouse, ingeniero de Black Lotus Labs, la división de la empresa Lumen que dio seguimiento a esta operación, resumió de esta manera el beneficio que este esquema le daba a los atacantes: "Les da un margen enorme de negación plausible al utilizar redes como esta". Al esconderse detrás de usuarios comunes y tráfico aparentemente inofensivo, resulta mucho más complicado atribuir con certeza un ataque a un actor estatal específico.

El desmantelamiento se concretó el miércoles, cuando el FBI y la Agencia de Seguridad Nacional (NSA) incautaron varios de los dominios que sostenían las funciones centrales de la red. Según Leatherman, esa medida dejó inoperables las plataformas utilizadas por la operación. Las autoridades estadounidenses también publicaron detalles técnicos del funcionamiento del grupo, con la intención de que otras organizaciones puedan identificar y bloquear a tiempo actividad similar.

Hasta el momento, Nanjing Xinjiuwei no dio a conocer su versión de los hechos. China, de todas formas, ha negado en el pasado que lleve adelante operaciones de hackeo, una postura que Pekín repite de forma sistemática cada vez que Washington acusa a compañías o agencias del gigante asiático de este tipo de actividades.