Incautan siete dominios; se confirma que unas 20 universidades taiwanesas fueron víctimas
El FBI y el Departamento de Justicia de Estados Unidos anunciaron el 8 de octubre de 2026 que habían incautado siete dominios de internet que daban soporte a herramientas de piratería informática operadas por Integrity Technology Group, una empresa china de ciberseguridad que tiene contratos con el Gobierno. Una de las herramientas, Microscan, buscaba vulnerabilidades en redes de empresas energéticas taiwanesas, aeropuertos de Japón y Polonia, y una compañía eléctrica de Carolina del Sur. Otra, FishHub, estuvo vinculada a intrusiones confirmadas en aproximadamente 20 universidades taiwanesas.
Contenido
- Incautan siete dominios; se confirma que unas 20 universidades taiwanesas fueron víctimas
- Qué se desactivó realmente con la medida judicial
- Microscan convirtió dispositivos infectados en una red de reconocimiento
- FishHub facilitaba el acceso y el robo de información tras la primera intrusión
- El uso de programas legítimos ayudó a los atacantes a permanecer en las redes
- Una empresa detrás de la campaña, no solo piratas informáticos individuales
- Cómo se inscribe la última incautación en acciones anteriores
- Las advertencias sobre infraestructuras críticas no prueban que hubiera interrupciones
- Qué deben revisar los responsables de defensa tras la incautación
- Puntos clave
La operación se dirigió contra la infraestructura de la campaña de ciberataques conocida como Flax Typhoon. Según el anuncio del 8 de octubre del Departamento de Justicia, documentos judiciales desclasificados en el Distrito Oeste de Pensilvania sostienen que Integrity Technology Group desarrolló y operó herramientas que sus clientes utilizaron para identificar redes vulnerables, obtener acceso no autorizado y robar archivos.
El FBI dijo que la operación dejó las herramientas inoperativas. Esto no significa que todas las redes afectadas estén ahora protegidas: incautar dominios interrumpe la infraestructura de los atacantes, pero no elimina automáticamente el malware, las credenciales robadas ni los programas de acceso remoto que ya están en los sistemas de las víctimas.
Las pruebas también distinguen entre las redes analizadas y las redes que fueron vulneradas con éxito. Las autoridades identificaron como objetivos de Microscan empresas taiwanesas de gas natural y electricidad, la compañía eléctrica de Carolina del Sur, aeropuertos japoneses y polacos, y una organización no gubernamental multinacional. No informaron si todas esas organizaciones fueron vulneradas.
En el caso de las universidades, las pruebas son más específicas. Una declaración jurada del FBI describe vulneraciones exitosas tras análisis de Microscan en dos universidades taiwanesas, en agosto de 2022 y marzo de 2023. Por separado, el Departamento de Justicia identificó aproximadamente 20 universidades taiwanesas como víctimas confirmadas de la actividad de FishHub. No se han dado a conocer públicamente los nombres de las instituciones, y las dos cifras no pueden sumarse sin más porque no se ha informado si hay coincidencias entre ambos grupos.
Qué se desactivó realmente con la medida judicial
Un juez magistrado federal autorizó las incautaciones el 6 de octubre, dos días antes del anuncio público. La orden dispuso que los registros de dominios los bloquearan, los redirigieran a servidores controlados por el FBI y mostraran avisos de incautación. Esto impidió que los operadores utilizaran direcciones que daban soporte al análisis de redes, la distribución de malware y el acceso continuado a redes vulneradas.
El anuncio de la incautación de la Fiscalía del Distrito Oeste de Pensilvania especifica siete dominios. Uno, c0cc[.]cc, daba acceso a Microscan. Cinco ayudaban a distribuir el malware FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com y linkedinns[.]net. El dominio restante, 98aiblog[.]com, estaba asociado al programa SoftEther, utilizado para mantener el acceso remoto.
La declaración jurada que respalda la medida alega infracciones de la Ley de Fraude y Abuso Informático, la norma estadounidense que regula el acceso no autorizado a computadoras. También señala que las compras o renovaciones de los dominios se pagaron con dinero procedente de fuera de Estados Unidos. No se anunciaron detenciones ni cargos penales junto con las incautaciones. Las acusaciones contenidas en los documentos judiciales no constituyen una declaración de culpabilidad.
Microscan convirtió dispositivos infectados en una red de reconocimiento
Microscan era una aplicación web escrita en Python, un lenguaje de programación de uso generalizado, que contenía más de 1.300 scripts para probar vulnerabilidades de seguridad. Estos scripts pueden utilizarse legítimamente en evaluaciones de seguridad autorizadas. En este caso, los investigadores sostienen que se utilizaron para examinar los sistemas de otras organizaciones en busca de vulnerabilidades que los clientes de Integrity Tech pudieran aprovechar.
El programa buscaba sitios web y servicios que utilizaran productos como OpenSSL, Oracle WebLogic Server, WordPress, Jenkins y Apache Struts. Los investigadores dijeron que Microscan seguía disponible a través de c0cc[.]cc el 9 de septiembre de 2026 y que podría haberse utilizado desde 2017.
Algunos análisis pasaron por dispositivos de consumo infectados con una variante del malware Mirai. En conjunto, esos dispositivos formaban una botnet, es decir, un conjunto de máquinas vulneradas controladas por un operador. Enrutar el tráfico a través de dispositivos ajenos ayudaba a ocultar el origen de los análisis y proporcionaba infraestructura distribuida en numerosos lugares.
El aviso de ciberseguridad asociado identifica ocho vulnerabilidades atacadas con frecuencia, cuyos identificadores abarcan el período de 2014 a 2023. Entre ellas hay fallas en GNU Bash, Apache Struts, Pulse Secure VPN y GitLab. Algunas permiten que un atacante lea archivos sin autorización o ejecute comandos en un sistema vulnerable. La variedad muestra que la campaña no se limitaba a fallas recién descubiertas: los programas antiguos sin actualizar también ofrecían oportunidades.
FishHub facilitaba el acceso y el robo de información tras la primera intrusión
FishHub cumplía una función distinta de la de Microscan. Las autoridades sostienen que servía para el phishing dirigido, es decir, mensajes engañosos destinados a personas específicas, y que descargaba malware adicional después de una vulneración inicial de la red. Ese malware podía dar a los clientes de Integrity Tech acceso remoto o buscar archivos concretos y transmitirlos a servidores controlados por la empresa.
El proceso de robo de archivos descrito incluía hacer una lista de documentos, buscar contenido específico, comprimir los archivos y enviarlos fuera de la red de la víctima. Así, FishHub era más que un mecanismo de distribución: permitía recopilar y extraer información después de que los atacantes lograran entrar.
La declaración jurada del FBI describe datos y archivos de más de 20 organizaciones en un servidor asociado a FishHub, incluidas seis universidades taiwanesas. Esta cifra es más limitada que el recuento de aproximadamente 20 universidades taiwanesas víctimas indicado por el Departamento de Justicia. La referencia a las seis universidades corresponde a pruebas halladas en un servidor, mientras que la cifra mayor describe actividad confirmada de FishHub. Ninguna de las dos cifras establece el número total de organizaciones afectadas en todo el mundo.
Las redes universitarias pueden contener investigaciones, registros administrativos y correspondencia, pero las autoridades no han informado qué categorías de información se sustrajeron de las instituciones taiwanesas. El informe público tampoco cuantifica cuántos datos se robaron ni identifica a las personas cuya información podría haberse visto afectada.
El uso de programas legítimos ayudó a los atacantes a permanecer en las redes
El aviso conjunto del FBI, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), la Agencia de Seguridad Nacional y socios internacionales describe varias formas en que los actores obtuvieron credenciales y mantuvieron el acceso. Entre ellas figuran el cross-site scripting, que puede aprovechar un sitio web vulnerable para captar información de los usuarios, y los ataques de prueba de contraseñas contra sistemas Microsoft Exchange. En estos ataques se prueban unas pocas contraseñas comunes en muchas cuentas, en lugar de adivinar repetidamente la contraseña de una sola cuenta.
Los investigadores también describieron la instalación del programa VPN SoftEther en sistemas vulnerados para mantener el acceso, a veces disfrazado de archivo legítimo de Windows. Una VPN crea una conexión de red que puede utilizarse para el trabajo remoto habitual. Si se instala sin autorización, puede dar a un atacante una vía de acceso continuado a los sistemas de una organización.
También se utilizaron otras herramientas para recopilar credenciales de Active Directory y extraer correos electrónicos de cuentas de Exchange y Microsoft 365. Active Directory administra identidades de usuarios y permisos de acceso en muchas organizaciones, por lo que las credenciales robadas pueden dar acceso a más sistemas que el primer equipo vulnerado. Los investigadores también encontraron una aplicación web personalizada que permitía a terceros consultar correos electrónicos robados sin acceder directamente a las cuentas afectadas.
Chen Yun-nung, profesor de informática de la Universidad Nacional de Taiwán, explicó por qué puede ser difícil detectar actividades maliciosas que utilizan programas existentes:
"El programa malicioso se oculta en programas de gestión existentes y utiliza programas legítimos para realizar actividades maliciosas. Por ejemplo, puede descargar y exportar sus datos, lo que dificulta la detección porque no verá ningún programa adicional en ejecución, solo los programas originales que ya están allí".
Esta distinción es importante para la limpieza de los sistemas. Buscar únicamente programas desconocidos puede hacer que pase inadvertido el uso no autorizado de programas en los que los administradores suelen confiar.
Una empresa detrás de la campaña, no solo piratas informáticos individuales
Las autoridades estadounidenses describen a Integrity Technology Group como una empresa que respalda operaciones cibernéticas vinculadas al Gobierno chino. La compañía tiene su sede en Pekín y contratos con el Gobierno chino. El FBI la considera la organización detrás de las actividades que el sector privado conoce como Flax Typhoon.
Brett Leatherman, subdirector de la División Cibernética del FBI, describió el papel de la empresa en el anuncio del Departamento de Justicia:
"La República Popular China recurre a empresas contratistas y facilitadoras para ampliar el alcance y la escala de sus actividades cibernéticas maliciosas. Al exponer y desarticular a estos facilitadores, dificultamos que la República Popular China ataque redes e infraestructuras estadounidenses".
El aviso describe actividades que coinciden con operaciones rastreadas bajo los nombres Flax Typhoon, Ethereal Panda y Red Juliett. Advierte que no todas las actividades coincidentes pueden atribuirse necesariamente a Integrity Tech. Por tanto, esos nombres de campañas no deben considerarse prueba de que la misma empresa llevó a cabo todas las intrusiones asociadas.
Jason Bilnoski, subdirector adjunto de la División Cibernética del FBI, describió en términos directos la estrategia de aplicación de la ley:
"Nuestro objetivo es retirarles la capacidad a los actores de amenazas. Nos centramos en su infraestructura, su dinero y sus herramientas".
Bilnoski calificó la operación de piratería informática de "indiscriminada e imprudente". El aviso más amplio de las agencias describe objetivos en los sectores gubernamental, manufacturero, sanitario, de tecnologías de la información, de las fuerzas del orden, educativo y religioso, con actividades en el Sudeste Asiático, África y América del Norte.
Cómo se inscribe la última incautación en acciones anteriores
La operación de octubre es la segunda intervención técnica pública del Departamento de Justicia contra la infraestructura de piratería informática de Integrity Tech. La primera, en septiembre de 2024, se dirigió contra una botnet Mirai que incluía más de 200.000 dispositivos de consumo en todo el mundo, entre ellos cámaras, grabadoras de video y routers domésticos y de oficina.
Los registros de la investigación ofrecen una imagen más detallada del 5 de junio de 2024. Una base de datos contenía más de 1,2 millones de registros de dispositivos infectados, incluidos más de 385.000 dispositivos únicos de víctimas en Estados Unidos. Más de 260.000 dispositivos estaban infectados activamente ese día, entre ellos aproximadamente 126.000 en Estados Unidos. Los registros de la base de datos y las infecciones activas miden aspectos distintos, por lo que la cifra de 1,2 millones no debe interpretarse como el número de dispositivos bajo el control de los operadores al mismo tiempo.
Las fechas principales muestran una campaña y una respuesta de las autoridades que se extendieron a lo largo de varios años:
- Agosto de 2022 y marzo de 2023: según la declaración jurada del FBI, los análisis de Microscan precedieron a vulneraciones exitosas en dos universidades taiwanesas.
- Septiembre de 2024: las autoridades estadounidenses desarticularon la botnet Mirai de Integrity Tech, compuesta por más de 200.000 dispositivos de consumo.
- Enero de 2025: el Departamento del Tesoro de Estados Unidos sancionó a Integrity Technology Group por su participación en intrusiones cibernéticas dirigidas contra infraestructura estadounidense.
- 2025 y 2026: el Reino Unido y la Unión Europea, respectivamente, también sancionaron a la empresa por actividades de ciberataque.
- 9 de septiembre de 2026: los investigadores confirmaron que Microscan seguía disponible a través de c0cc[.]cc.
- 6 de octubre de 2026: un juez magistrado federal autorizó la incautación de los dominios.
- 8 de octubre de 2026: el Departamento de Justicia y el FBI anunciaron la operación y un aviso conjunto de ciberseguridad.
La última medida se dirigió contra la infraestructura de análisis, distribución de malware y acceso remoto, en lugar de anunciar una nueva desarticulación de una gran botnet de dispositivos de consumo. Las intervenciones afectaron distintas partes de la presunta operación.
Las advertencias sobre infraestructuras críticas no prueban que hubiera interrupciones
La inclusión de empresas eléctricas y de gas natural, así como de aeropuertos, hace que la campaña represente una preocupación que va más allá del robo de datos. Chris Butera, director ejecutivo adjunto interino de CISA para ciberseguridad, advirtió sobre el posible objetivo de acceder a sistemas críticos:
"Los actores vinculados al Gobierno chino siguen posicionándose dentro de redes de infraestructuras críticas, incluidos sistemas de tecnología operacional (OT), con el objetivo de interrumpir funciones críticas en un momento futuro que ellos elijan".
La tecnología operacional se refiere a sistemas que supervisan o controlan procesos físicos, como equipos industriales. El acceso a esos sistemas puede conllevar riesgos distintos de los relacionados con el acceso al correo electrónico de oficina.
La advertencia de Butera describe una amenaza, no concluye que esta campaña haya provocado cortes de electricidad, interrupciones en aeropuertos o cortes en el suministro de gas taiwanés. Las autoridades no han informado de vulneraciones exitosas en todos los objetivos de infraestructura mencionados, y el anuncio no demuestra que los sistemas operativos de esas organizaciones fueran vulnerados.
Las pruebas públicas son más sólidas en lo que respecta al análisis de redes, el acceso no autorizado y el robo de información. Distinguir esos hechos de la posibilidad de futuras interrupciones evita exagerar lo que han demostrado los investigadores.
Qué deben revisar los responsables de defensa tras la incautación
El aviso conjunto incluye dominios, direcciones IP, huellas digitales de malware y descripciones de herramientas para ayudar a las organizaciones a investigar posibles intrusiones. En la elaboración del aviso participaron agencias de Estados Unidos, el Reino Unido, Australia, Canadá, Japón, Nueva Zelanda y España.
Entre las medidas recomendadas figuran actualizar los sistemas expuestos a internet, exigir autenticación multifactor para el correo web y el acceso mediante VPN, desactivar los servicios que no se utilicen y revisar los registros de aplicaciones web en busca de análisis o intentos de explotación. También se insta a los administradores a vigilar la presencia de programas de acceso remoto no autorizados y la replicación inesperada de Active Directory, que puede indicar intentos de copiar datos de identidad.
Algunos indicadores se remontan a 2016. Deben investigarse en contexto, en lugar de considerarse automáticamente pruebas de una vulneración actual. Las asociaciones históricas pueden ayudar a reconstruir una intrusión, pero un indicador antiguo por sí solo no demuestra que los atacantes controlen actualmente un sistema.
Wang Po-chi, profesor asociado de justicia penal en la Universidad Ming Chuan, advirtió que las sanciones y las medidas técnicas podrían no impedir que los operadores regresen:
"Aunque sancionen a esta empresa, podría crear otra operación para iniciar las mismas actividades. Puede pensar que tiene poco que temer porque la empresa podría estar establecida en un lugar, mientras que los servidores desde los que se lanzan los ataques podrían estar en otro".
Brett Lally, agente supervisor especial de la oficina del FBI en San Diego, dijo que la agencia vigilaría si la empresa reconstruía su infraestructura. Las oficinas del FBI en San Diego y Baltimore investigan el caso junto con la División Cibernética del FBI, y la Agencia Nacional de Policía de Japón prestó asistencia. Los fiscales Brendan McKenna y Jacques Singer-Emery están a cargo del caso. No se anunció la fecha de una próxima audiencia ni ningún plazo.
Puntos clave
- El FBI incautó siete dominios que daban soporte a Microscan, FishHub y al acceso remoto no autorizado asociado a Integrity Technology Group.
- Se confirmó que aproximadamente 20 universidades taiwanesas fueron víctimas de la actividad de FishHub.
- Microscan tenía como objetivos empresas energéticas taiwanesas, una compañía eléctrica de Carolina del Sur, aeropuertos de Japón y Polonia, universidades y una organización no gubernamental multinacional.
- Las autoridades no informaron si todos los objetivos de infraestructura mencionados fueron vulnerados con éxito.
- Las incautaciones se producen después de la desarticulación de una botnet en septiembre de 2024 y de las sanciones impuestas por Estados Unidos, el Reino Unido y la Unión Europea.
- La incautación de dominios interrumpe la infraestructura de los atacantes, pero no elimina el malware ni las credenciales robadas que ya estén dentro de las redes de las víctimas.
- La operación no estuvo acompañada de anuncios de detenciones, cargos penales ni fecha para una próxima audiencia.
