La operación desarticuló la infraestructura de Microscan y FishHub, dos plataformas utilizadas contra infraestructura crítica en Estados Unidos y otros países.
El FBI ejecutó la incautación de siete dominios que operaban Microscan y FishHub, dos herramientas de hacking atribuidas a Flax Typhoon, grupo de amenaza persistente avanzada vinculado al estado chino. Según el Departamento de Justicia de Estados Unidos, los operadores de estas plataformas trabajaban para Integrity Technology Group, empresa con sede en China que mantiene contratos con el gobierno de ese país. La acción judicial apunta a desmantelar infraestructura utilizada en campañas contra objetivos de infraestructura crítica tanto en territorio estadounidense como en el extranjero.
La conexión entre herramientas comerciales y operaciones estatales
Microscan y FishHub no son malware convencional distribuido de forma oportunista. Funcionaban como plataformas de acceso y control remoto desplegadas de manera selectiva contra objetivos específicos, con énfasis en sectores de infraestructura crítica. El Departamento de Justicia confirmó que los operadores de estas herramientas estaban empleados por Integrity Technology Group, lo que establece un vínculo directo entre una entidad corporativa china con contratos gubernamentales y las actividades de Flax Typhoon. Este modelo — donde empresas privadas con lazos estatales desarrollan o gestionan capacidades ofensivas — replica un patrón ya documentado en otros grupos chinos de amenaza persistente avanzada, donde la línea entre contratista de ciberseguridad y actor de espionaje se vuelve deliberadamente difusa.
La incautación de dominios no elimina el código de las herramientas ni neutraliza a los operadores, pero sí interrumpe la infraestructura de comando y control necesaria para mantener acceso persistente en sistemas comprometidos. Sin estos dominios, las instancias activas de Microscan y FishHub pierden capacidad de recibir instrucciones o exfiltrar datos, forzando a los atacantes a reconstruir canales de comunicación desde cero.
Flax Typhoon y su enfoque en infraestructura crítica
Flax Typhoon ha sido rastreado por agencias de inteligencia occidentales como un actor enfocado en objetivos de largo plazo en sectores de energía, telecomunicaciones, transporte y manufactura. A diferencia de grupos orientados a ransomware o robo de propiedad intelectual con fines comerciales inmediatos, Flax Typhoon prioriza el acceso persistente y la recopilación de inteligencia estratégica. Este perfil operativo es consistente con objetivos de preparación de campo de batalla cibernético — mantener presencia latente en sistemas críticos que podrían ser activados en escenarios de conflicto o tensión geopolítica.
El uso de herramientas como Microscan y FishHub sugiere un nivel de profesionalización en la cadena de suministro de capacidades ofensivas. No son scripts descargables de repositorios públicos ni exploits de día cero vendidos en mercados clandestinos, sino plataformas desarrolladas y mantenidas por una organización con recursos estables y objetivos definidos por un cliente estatal. La incautación de dominios revela parte de esa infraestructura de soporte, pero no necesariamente el alcance completo de las operaciones en curso.
Exposición en América Latina por dependencia de proveedores globales
Aunque el Departamento de Justicia no especificó qué países fuera de Estados Unidos fueron afectados, la mención de infraestructura crítica en el extranjero abre la pregunta sobre exposición en América Latina. Sectores como energía y telecomunicaciones en países como Brasil, México, Chile y Colombia dependen de proveedores tecnológicos globales — muchos de los cuales también operan en Estados Unidos y Europa — lo que los coloca en el mismo perímetro de riesgo que los objetivos confirmados de Flax Typhoon. Si un proveedor de sistemas de control industrial o de gestión de redes fue comprometido en una campaña de cadena de suministro, las instancias desplegadas en la región quedarían expuestas sin que necesariamente exista visibilidad local del compromiso.
La falta de capacidades forenses avanzadas en muchos países de la región dificulta la detección de acceso persistente de bajo ruido, el tipo de presencia que Flax Typhoon busca mantener. A diferencia de ataques ruidosos con cifrado de datos o interrupción de servicios, las campañas de espionaje de infraestructura crítica pueden pasar desapercibidas durante meses o años si no hay monitoreo activo de tráfico de red anómalo hacia dominios de comando y control. La incautación del FBI elimina esos dominios específicos, pero no garantiza que no existan canales alternativos ya operativos en sistemas comprometidos de la región.
Lo que la incautación revela sobre coordinación entre agencias
La acción del FBI contra los dominios de Microscan y FishHub no ocurre en aislamiento. Requiere coordinación previa con agencias de inteligencia para identificar la infraestructura, con registradores de dominios para ejecutar la transferencia de control, y con aliados internacionales si parte de la infraestructura estaba alojada fuera de jurisdicción estadounidense. El hecho de que el Departamento de Justicia haya emitido una noticia pública de incautación — en lugar de mantener la operación bajo reserva — indica una decisión deliberada de visibilizar la atribución a Integrity Technology Group y, por extensión, al gobierno chino.
Esta visibilización tiene un componente disuasorio: señala a otros contratistas con lazos estatales que su infraestructura puede ser identificada y desmantelada, y que la atribución pública puede afectar su capacidad de operar bajo fachadas corporativas legítimas. Sin embargo, también tiene un costo: una vez que los operadores saben que sus dominios fueron incautados, pueden migrar a infraestructura de respaldo que las agencias de inteligencia aún no han mapeado, reduciendo la ventana de oportunidad para rastrear actividad adicional antes de que el grupo se reorganice.
Nuestro análisis
La incautación de dominios vinculados a Flax Typhoon confirma un patrón que ya se había visto en casos anteriores de grupos chinos de amenaza persistente avanzada: la externalización de capacidades ofensivas a empresas privadas con contratos gubernamentales permite al estado mantener negación plausible mientras conserva control operativo. Integrity Technology Group no es un actor aislado — es parte de un ecosistema donde la frontera entre sector privado de ciberseguridad y aparato de inteligencia estatal es estructuralmente porosa. Este modelo complica la atribución legal y dificulta las sanciones, porque las empresas pueden operar bajo marcos comerciales legítimos mientras ejecutan tareas de espionaje.
Lo que no sabemos es cuántos sistemas comprometidos por Microscan y FishHub siguen activos con canales de comando y control alternativos que no dependían de los dominios incautados. La incautación interrumpe una parte de la infraestructura, pero no necesariamente elimina el acceso persistente ya establecido en redes objetivo. Tampoco está claro si la operación del FBI incluyó notificación a organizaciones afectadas fuera de Estados Unidos — un vacío que deja a operadores de infraestructura crítica en otros países sin información sobre si fueron parte de las campañas de Flax Typhoon.
¿Qué pasaría si la próxima generación de herramientas de este tipo se diseñara desde el inicio para operar sin dependencia de dominios centralizados, usando infraestructura descentralizada o canales de comunicación cifrados sobre protocolos legítimos que no pueden ser incautados con una orden judicial?
—
*Nota generada por IA y verificada por el equipo editorial de CiberseguridadLatam.*