El Departamento de Justicia de EE. UU. y el FBI incautan 7 dominios de herramientas de hackeo de 'Integrity Tech', contratista del gobierno chino; se confirman daños en cerca de 20 universidades taiwanesas
El Departamento de Justicia de EE. UU. y el FBI han cortado las vías de acceso a dos herramientas de hackeo operadas por 'Integrity Technology Group' (en adelante, Integrity Tech), una empresa con sede en China contratada por el gobierno chino. Se incautaron siete dominios de Internet. El mismo día, la Agencia de Seguridad Nacional (NSA), el FBI, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y agencias de países aliados emitieron un aviso conjunto de ciberseguridad (CSA) en el que detallan los métodos utilizados por hackers vinculados a esta empresa.
Esta medida no constituye un anuncio de cargos penales contra personas físicas. El fundamento de la incautación de los dominios son documentos judiciales revelados en el Tribunal de Distrito de los EE. UU. para el Distrito Oeste de Pensilvania, y el Departamento de Justicia describió el contenido de dichos documentos como "presuntos hechos" (as alleged) y no como hechos confirmados. En un comunicado de prensa del 8 de octubre de 2026, hora del Este de EE. UU. (9 de octubre, hora de Corea), el Departamento de Justicia declaró: "Mediante una incautación autorizada judicialmente, se impidió que ciberdelincuentes maliciosos accedieran a dos herramientas de hackeo llamadas 'Microscan' y 'FishHub'". El Departamento de Justicia explicó que estas herramientas se utilizaban para "escanear y, en algunos casos, piratear sistemas de infraestructura crítica en EE. UU. y el extranjero". Asimismo, señaló que Integrity Tech "mantiene contratos con el gobierno de la República Popular China".
La División Cibernética del FBI declaró en su cuenta oficial de X: "El FBI y el Departamento de Justicia han neutralizado herramientas de hackeo utilizadas por el grupo de ciberamenazas 'Flax Typhoon'", agregando que "se incautaron múltiples dominios y se bloqueó el acceso a la plataforma utilizada para escanear y penetrar parcialmente en infraestructuras críticas de Estados Unidos".
https://x.com/FBICyberDiv/status/2108256413084422599
Qué cambia
La importancia de esta medida radica en que el gobierno estadounidense no solo rastrea a "hackers estatales", sino que también persigue y desconecta los equipos de contratistas privados vinculados al gobierno chino. Existe un precedente en septiembre de 2024, cuando el Departamento de Justicia anunció haber desarticulado, con autorización judicial, una botnet con malware Mirai operada por Integrity Tech. Dicha botnet estaba compuesta por "más de 200.000 dispositivos de consumo en EE. UU. y todo el mundo". Esta última incautación representa la "segunda interrupción técnica pública" contra la infraestructura de hackeo de Integrity Tech, según el Departamento de Justicia.
Qué hacían las dos herramientas
Según los documentos judiciales publicados por el Departamento de Justicia, Integrity Tech creó y utilizó una botnet compuesta por dispositivos del Internet de las cosas (IoT) infectados con variantes de Mirai.
- Microscan: Es una herramienta de reconocimiento y escaneo de vulnerabilidades desarrollada por Integrity Tech. El Departamento de Justicia afirmó que los "clientes" de la compañía la utilizaban para localizar vulnerabilidades destinadas a su posterior explotación. Entre los objetivos escaneados revelados por las autoridades se encuentran una compañía eléctrica estadounidense en Carolina del Sur, una ONG multinacional, aeropuertos en Japón y Polonia, empresas de infraestructura de gas natural y electricidad en Taiwán, y dos universidades taiwanesas. Integrity Tech accedía a Microscan a través de uno de los dominios incautados, c0cc[.]cc.
- FishHub: Es una herramienta de spear phishing (phishing dirigido). Según el Departamento de Justicia, tras la intrusión inicial permitía la descarga de malware adicional, el cual habilitaba el acceso remoto no autorizado o localizaba archivos específicos para enviarlos a servidores bajo control de Integrity Tech. Entre las víctimas confirmadas señaladas por el Departamento de Justicia figuran "aproximadamente 20 universidades taiwanesas". Cinco de los dominios incautados (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com y linkedinns[.]net) se utilizaron para distribuir este malware.
El comunicado de la Fiscalía del Distrito Oeste de Pensilvania indicó que el dominio restante estaba vinculado a un software de administración remota no autorizado que conectaba las redes de las víctimas con los servidores de Integrity Tech.
La oficina del FBI en San Diego anunció en su cuenta de X que lideró esta investigación.
https://x.com/FBISanDiego/status/2108252514365653376
Aviso de la NSA: "Sectores afectados de gran alcance"
En un comunicado emitido el mismo día, la NSA indicó que el aviso conjunto se titulaba «Ciberamenazas vinculadas al gobierno chino combinan herramientas de hackeo automatizadas y manuales para robar datos confidenciales». Citando el contenido del aviso, la NSA explicó que Integrity Tech "permitió a actores de amenazas vinculados al gobierno chino explotar redes de organizaciones estadounidenses y extranjeras en múltiples sectores, incluidos servicios e instalaciones gubernamentales, manufactura crítica, atención médica y salud pública, y tecnología de la información". Los objetivos también abarcaron agencias policiales, instituciones educativas y entidades religiosas de EE. UU., así como organizaciones en el sudeste asiático, África y América del Norte, según indicó la NSA.
La cuenta oficial de NSA Cyber también publicó: "Integrity Tech permitió a actores de amenazas vinculados al gobierno chino explotar redes de organizaciones en todo el mundo y sustraer datos críticos". CISA también anunció en su cuenta de X la emisión del aviso conjunto con el FBI.
https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869
En cuanto a las denominaciones, la NSA indicó que algunas de estas actividades coinciden con métodos atribuidos por la industria a grupos como 'Flax Typhoon', 'Storm-0919', 'Ethereal Panda' y 'RedJuliett'. Estos nombres fueron asignados por el sector privado de la ciberseguridad, y el gobierno estadounidense restringió el alcance a "algunos" (some).
Declaraciones de las autoridades
John Eisenberg, fiscal general adjunto de Seguridad Nacional del Departamento de Justicia, declaró: "Estados Unidos no permitirá que China o sus intermediarios operen impunemente en el ciberespacio en detrimento de los intereses estadounidenses". La División de Seguridad Nacional del Departamento de Justicia también publicó esta declaración en su cuenta oficial de X.
Troy Rivetti, fiscal federal interino para el Distrito Oeste de Pensilvania, declaró: "Esta incautación representa la segunda interrupción de operaciones a gran escala de Integrity Tech en dos años". Brett Leatherman, subdirector adjunto de la División Cibernética del FBI, afirmó: "China recurre a contratistas y empresas de soporte para ampliar el alcance y la escala de sus actividades cibernéticas maliciosas", añadiendo que "al exponer y neutralizar a estos facilitadores, dificultamos que China ataque las redes e infraestructuras estadounidenses".
Secuencia del ataque detallada en el aviso conjunto AA26-281A
El aviso conjunto de ciberseguridad publicado el mismo día lleva el identificador oficial AA26-281A. Entre los organismos emisores figuran el FBI, CISA y la NSA, junto con el Centro Nacional de Ciberseguridad del Reino Unido (NCSC-UK), el Centro de Ciberseguridad de la Dirección de Señales de Australia (ASD ACSC), el Centro Canadiense de Ciberseguridad, la Agencia Nacional de Policía y la Oficina de Ciberseguridad Nacional de Japón, el Centro Nacional de Ciberseguridad de Nueva Zelanda y el Centro Criptológico Nacional/Centro Nacional de Inteligencia (CNI) de España, en una autoría conjunta internacional. El aviso detalla que el punto de partida del análisis fueron las pruebas técnicas obtenidas y observadas durante múltiples investigaciones del FBI relacionadas con Integrity Tech. Mientras que la incautación de dominios por parte del Departamento de Justicia responde a procedimientos penales y judiciales, este aviso constituye un documento técnico que distribuye indicadores de compromiso y técnicas a los defensores de redes.
La fase de reconocimiento detallada en el aviso es más específica que el comunicado de prensa del Departamento de Justicia. Se indica que los atacantes utilizaron herramientas públicas de escaneo como BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe y wpscan para identificar vulnerabilidades en redes y aplicaciones web. Los puertos monitoreados con mayor frecuencia fueron el 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) y 1080 (SOCKS). Respecto a Microscan, el aviso señala que ha estado en uso desde aproximadamente 2017 y que contenía más de 1.300 scripts de pruebas de penetración integrados en una aplicación web basada en Python para localizar vulnerabilidades específicas. Los servicios atacados por estos scripts incluyeron OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins y Apache Struts.
El acceso inicial y los métodos de persistencia también se detallan paso a paso. El aviso revela que el FBI recuperó cargas útiles mediante las cuales los atacantes empleaban ataques de secuencias de comandos en sitios cruzados (XSS) basados en JavaScript y HTML para mostrar campos de entrada de usuario y contraseña con el fin de robar credenciales. Otra herramienta, denominada EBurst, realizaba ataques de password spraying y adivinación de contraseñas contra servidores Microsoft Exchange, utilizando interfaces como el Panel de Control de Exchange (ECP), Exchange Web Services (EWS), Libreta de Direcciones sin Conexión (OAB) y Outlook Web Access (OWA) como vectores de ataque. Tras la infiltración, los atacantes descargaban el archivo instalador del software VPN legítimo SoftEther en el dispositivo comprometido, configurándolo para que se reconectara automáticamente al iniciar el sistema y renombrando el archivo con nombres comunes de ejecutables de Windows como conhost.exe o dllhost.exe para evadir la detección, según el análisis del aviso.
En la etapa de recopilación de datos, el aviso explica que un archivo denominado DC.exe ejecutaba DCSync, una técnica de replicación de Active Directory (AD), para copiar credenciales de cuentas, pertenencia a grupos e información de relaciones de confianza. El script en PHP Curlc4.txt accedía a la API de Microsoft EWS para extraer contenidos como correos electrónicos, calendarios y contactos, comprimiéndolos o cifrándolos con RC4 o AES-128-CBC antes de subirlos a servidores remotos. Asimismo, se utilizó una herramienta de línea de comandos llamada office-cli para acceder de forma recurrente a cuentas de Outlook 365 y sustraer correos electrónicos por rangos temporales. El aviso añade que los casos confirmados de robo de datos de correo electrónico incluyeron entidades gubernamentales, agencias policiales, sistemas de salud y organizaciones religiosas en el sudeste asiático; en algunos casos, el acceso a los datos exfiltrados se limitó exclusivamente a direcciones IP procedentes de Xiamen, China. Estos detalles técnicos complementan la descripción de 'FishHub' proporcionada por el Departamento de Justicia, aunque la cifra de aproximadamente 20 universidades taiwanesas confirmadas no debe extrapolarse a todos los casos documentados en el aviso.
Medidas recomendadas para revisión inmediata por parte de los defensores
Las directrices defensivas del aviso van más allá de una advertencia general. Las entidades emisoras recomiendan deshabilitar los servicios y puertos no utilizados, y reducir al mínimo la información que las páginas de inicio de sesión y los banners exponen a solicitudes externas. Se estipula la necesidad de validar las entradas en aplicaciones web para bloquear la inyección de cargas útiles XSS, así como aplicar autenticación multifactor (MFA) en todos los servicios, prestando especial atención al correo web, VPN y cuentas de acceso a sistemas críticos. También se instruye sustituir contraseñas predeterminadas por contraseñas robustas, limitar y auditar cuentas con privilegios administrativos aplicando el principio de mínimo privilegio, y activar la inspección de reputación de descargas y dominios en navegadores, así como DNS protegidos.
En el apartado de parches, se presentan en una tabla ocho vulnerabilidades cuya explotación exitosa ha sido confirmada: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 y CVE-2023-22894. El aviso señala que varias de ellas son adiciones recientes al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA. En el ámbito de la detección, se recomienda monitorizar signos de uso no autorizado de técnicas "living-off-the-land" (que abusan de herramientas legítimas del sistema), replicaciones imprevistas de AD, tráfico anómalo de escaneo y carga de datos, inicios de sesión fuera del horario laboral y accesos simultáneos físicamente imposibles. Como plan de recuperación, se aconseja almacenar múltiples copias de datos confidenciales y servidores en ubicaciones físicamente separadas y seguras, además de proteger las copias de seguridad desconectadas (offline) con contraseñas.
El aviso también pauta el procedimiento en caso de sospecha de compromiso: aislar o desconectar de la red los hosts confirmados como infectados, recopilar registros y artefactos para identificar las tácticas del atacante, el alcance de la infección y la cronología de actividades, notificar a las autoridades competentes según las pautas de cada país y aplicar medidas de erradicación para fortalecer la red. Como canales de denuncia para organizaciones estadounidenses, se indican el Centro de Denuncias de Delitos en Internet del FBI (IC3), la oficina local del FBI correspondiente y el centro de operaciones 24/7 de CISA (contact@cisa.dhs.gov, 1-844-Say-CISA). La dirección de consultas sobre ciberseguridad de la NSA es CybersecurityReports@nsa.gov. Las instituciones surcoreanas no figuran como destinatarias directas de denuncia en este aviso.
Diferencias entre la desarticulación de la botnet de 2024 y la incautación actual
El 18 de septiembre de 2024, el Departamento de Justicia anunció que una operación autorizada por un tribunal desarticuló una botnet de más de 200.000 dispositivos de consumo en EE. UU. y el mundo. En aquel entonces, los dispositivos infectados eran routers para pequeñas oficinas y hogares (SOHO), cámaras IP, grabadoras de video digital (DVR) y sistemas de almacenamiento conectado a red (NAS). El Departamento de Justicia señaló que Integrity Tech controlaba los dispositivos infectados mediante una aplicación en línea denominada 'KRLab', la cual ofrecía un menú de comandos maliciosos a través de una herramienta llamada 'vulnerability-arsenal'. Dicha operación consistió en tomar el control de la infraestructura de los atacantes para enviar comandos de desactivación al malware en los dispositivos infectados. Durante el operativo, se intentó realizar un ataque de denegación de servicio distribuido (DDoS) contra los servidores de remediación del FBI, pero el intento fracasó, según informaron las autoridades.
La medida de 2026 constituye una continuación, pero su enfoque es más acotado que un procedimiento idéntico. En 2024, el eje central fue enviar comandos a los propios dispositivos de consumo comprometidos para cortar la conexión con la botnet; el FBI realizó pruebas previas para garantizar que los comandos no interfirieran con el funcionamiento normal de los dispositivos ni recopilaran contenidos privados, y anunció que notificaría a los propietarios estadounidenses a través de sus proveedores de servicios de Internet. En 2026, la atención se centró en incautar siete vías de acceso a herramientas: un dominio de acceso a Microscan, cinco dominios relacionados con FishHub y un dominio de enlace para administración remota. Los fiscales encargados del caso son el fiscal federal adjunto Brendan McKenna, del Distrito Oeste de Pensilvania, y el fiscal litigante Zach Singer-Emery, de la Sección de Ciberseguridad Nacional de la División de Seguridad Nacional del Departamento de Justicia, con un apoyo significativo proporcionado por el fiscal adjunto Thomas Sullivan, del Distrito de Maryland, y la Agencia Nacional de Policía de Japón. El agente especial a cargo Mark Remily, de la oficina del FBI en San Diego, también declaró que "emplearán todas las facultades de investigación junto con sus socios policiales", una postura de la jefatura local emitida de forma independiente en los comunicados de prensa locales y centrales respecto a las declaraciones del fiscal Rivetti y el subdirector Leatherman citadas anteriormente.
China, Taiwán y Corea del Sur
Los documentos del Departamento de Justicia y de la NSA no incluyen respuestas del gobierno chino ni de Integrity Tech; la documentación divulgada por ambas agencias no recoge la postura de la contraparte. Tampoco figuran entidades de Corea del Sur en las listas de objetivos o víctimas publicadas por el Departamento de Justicia. No obstante, la Agencia Nacional de Policía de Japón fue reconocida en el comunicado por brindar "ayuda considerable" en la investigación, y aeropuertos japoneses figuraron entre los objetivos de los escaneos.
Próximos pasos
El Departamento de Justicia hizo pública la declaración jurada (affidavit) del FBI y la orden judicial de incautación. La investigación está a cargo de las oficinas del FBI en San Diego y Baltimore, junto con la División Cibernética del FBI, mientras que la acción judicial corresponde a la Fiscalía del Distrito Oeste de Pensilvania y a la Sección de Ciberseguridad Nacional de la División de Seguridad Nacional del Departamento de Justicia. El Departamento de Justicia no anunció cargos penales individuales en esta ocasión. Los administradores de redes pueden cotejar los indicadores de compromiso (IoC) del aviso conjunto para llevar a cabo sus propias revisiones.
Fuentes
- Comunicado de prensa de la Oficina de Asuntos Públicos del Departamento de Justicia de EE. UU., 8 de octubre de 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
- Comunicado de prensa de la Fiscalía del Distrito Oeste de Pensilvania del Departamento de Justicia de EE. UU., 8 de octubre de 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
- Comunicado de prensa de la Agencia de Seguridad Nacional de EE. UU., 8 de octubre de 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
- Aviso conjunto de ciberseguridad AA26-281A de CISA, FBI, NSA y otros, 8 de octubre de 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
- Comunicado de prensa de la Oficina de Asuntos Públicos del Departamento de Justicia de EE. UU., 18 de septiembre de 2024 (Neutralización de botnet de Integrity Tech): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
- Todas las publicaciones de X citadas en el texto proceden de cuentas oficiales de organismos gubernamentales.