Das US-Justizministerium (DoJ) und das FBI berichten über eine Maßnahme, die auf die QTFY-Infrastruktur abzielt: Zwei miteinander verbundene Hacking-Plattformen mit den Namen QScan und QTRouter sollen dabei gestört worden sein. Die Operation richtet sich nach Angaben der Behörden gegen Akteure, die China als Ursprungsregion bzw. als Organisationsbezug nutzen.
Im Zentrum steht ein Ansatz, der nicht nur Zugang zu Zielnetzen verschaffen soll, sondern vor allem die Herkunft von Angriffen verschleiert. Dazu werden automatisiert kompromittierte Geräte und Proxy-Verbindungen kombiniert – mit dem Effekt, dass die Kommunikation aus Sicht von Sicherheitskontrollen wie von anderen geografischen Bereichen aus wirkt.
Was ist die QTFY-Infrastruktur?
Die Behörden ordnen die Aktivitäten einer staatlich unterstützten chinesischen Gruppe zu, die unter dem Namen QTFY bekannt ist. Als organisatorischer Bezug wird die Nanjing Xinjiuwei Network Technology Company (南京鑫玖维网络科技有限公司) genannt. Laut DoJ waren unter den betroffenen Organisationen unter anderem die NASA, das Federal Reserve System, das Department of Energy, das Department of Justice sowie das Department of Health and Human Services – außerdem Einrichtungen wie die National Institutes of Health und der U.S. Senate.
Ein wichtiger Punkt: QTFY wird als Betreiber bzw. Nutzer einer Infrastruktur beschrieben, die aus mehreren Bausteinen besteht. Diese Bausteine arbeiten zusammen, um erst Informationen über mögliche Schwachstellen zu sammeln, dann Einfallstore zu schaffen und schließlich die Spuren der Angriffe zu verwischen.
QScan und QTRouter: Zwei Rollen, ein Ziel
In der Veröffentlichung werden zwei zentrale Komponenten hervorgehoben:
- QScan: Das Tool soll das Internet nach verwundbaren IoT-Geräten durchsuchen, diese bei Erfolg automatisch kompromittieren und anschließend in ein Netzwerk einbinden.
- QTRouter: Diese Komponente soll die weitere Kommunikation als Obfuscation-Netzwerk unterstützen. Dabei werden kompromittierte Geräte und zusätzliche Proxy-Knoten kombiniert.
Besonders relevant ist, wie QTRouter nach Angaben des FBI die Sicht von Verteidigern beeinflusst. Die Kommunikation soll so aussehen, als komme sie von Endpunkten, die außerhalb Chinas verortet sind – selbst dann, wenn die eigentliche Steuerung anderswo erfolgt. Das erschwert Zuordnung, Untersuchung und Verfolgung.
Wie die Verschleierung konkret funktioniert
QTRouter wird als Netzwerkdienst beschrieben, der auf Routern mit custom OpenWrt-Software läuft. Die Plattform authentifiziert sich gegenüber Verwaltungsschnittstellen unter anderem unter den Adressen www.qtproxy[.]xyz und securelink.qtproxy[.]xyz.
Für den Betrieb nennt das FBI außerdem, dass QTRouter Clash nutzt, um Proxy-Verbindungen aufzubauen. Dazu gehören Funktionen wie das Anzeigen verfügbarer Knoten sowie das Ketten verschiedener Knoten, um die Identität hinter den Aktionen zu verschleiern. Zusätzlich sollen der bösartige Datenverkehr und legitim wirkender Proxy-Datenverkehr gemischt werden.
Ergänzend sollen kompromittierte IoT-Geräte dazu beitragen, geografische Signale von legitimen Nutzern bzw. Standorten der Proxy-Dienste mitzuverwenden. So wird das Gesamtverhalten schwerer greifbar als bei einem Angriff, der dauerhaft über klar identifizierbare IP-Adressen läuft.
Botnetz-Architektur und Steuerung
Die Behörden beschreiben die Botnetz-Struktur als verteiltes System mit mehreren Plattformen für das Management. Dazu gehören laut den Angaben:
- Proxy Platform Management
- Proxy Pool Management System
- QTBotnet (mit Controller-Server, weiteren Steuerungsinstanzen und kompromittierten Geräten)
Der Controller-Server soll zudem in der Lage sein, DDoS-Angriffe zu starten und Kommandos an infizierte Knoten zu übermitteln. Damit ist die Infrastruktur nicht nur für Spionage- oder Zugriffsziele ausgelegt, sondern kann auch für Störangriffe genutzt werden.
Ein typischer Angriffablauf: von der Erkundung bis zur Persistenz
Der in der Veröffentlichung beschriebene Zyklus lässt sich in mehrere Schritte gliedern:
- Reconnaissance mit QScan gegen Zielnetze.
- Ausnutzung von Zero-Day-Schwachstellen und weiteren bekannten Schwachstellen, um den ersten Zugriff zu erreichen. Genannt werden unter anderem bekannte CVE-Nummern aus Produkten wie Ivanti CSA, Fortinet SSL-VPN, Citrix ADC, Microsoft Exchange Server, F5 BIG-IP, Kentico CMS, Apache Log4j, Atlassian Confluence, Check Point Quantum Gateway, CrushFTP und BeyondTrust Remote Support.
- Persistenz über Wege wie Remote-Access-Trojaner (RAT), Webshells und legitime Zugangsdaten.
- Schließlich die Nutzung von QTRouter, um den Zugriff auf Zielnetze über kompromittierte IoT-Geräte zu „tarnen“ und weniger aufzufallen.
Dieser Ablauf zeigt, warum die Störung nicht nur auf das „Eindringen“ abzielt, sondern auf die Fähigkeit, Befehle zu verbergen und Angriffsverkehr umzuleiten.
Welche Bereiche wurden ebenfalls in die Infrastruktur eingebunden?
Neben QScan und QTRouter werden zwei weitere Komponenten genannt, die als Teil eines größeren Betriebsrahmens wirken:
- Fast Labyrinth: Diese Schicht liefert laut den Angaben die operative Grundlage, indem sie kommerzielle Proxy-Infrastruktur wie Fastlink (fastlink.ws) in ein verschlüsseltes Relaienetz integriert. Zusammen mit QTRouter soll das den Verkehr zu und von Zielorganisationen verschleiern.
- QTProxy: Dieses System verwaltet die operativen Knoten von Fast Labyrinth. Betreiber sollen damit entweder vordefinierte Relays nutzen oder eigene Pfade für Ziele konfigurieren können.
Zusammen ergeben die Komponenten eine Art dezentrale Weiterleitungs- und Obfuscationsstruktur. Lumen beschreibt das Ganze sinngemäß als „operational relay box“ (ORB): ein verteiltes Mesh, das kompromittierte IoT-Geräte und geleaste VPS-Instanzen nutzt, um IP-Wechsel zu ermöglichen und klassische Verteidigungsmechanismen wie IP-Blocklisten oder standortbasierte Richtlinien auszutricksen.
Warum die Störung technisch mehr als nur „Domains abschalten“ ist
Nach Angaben der Behörden wurden die beschlagnahmten bzw. durch gerichtliche Schritte betroffenen Domains so in die Produkte hard-coded eingearbeitet, dass die Plattformen nach der autorisierten Maßnahme den Betrieb einstellen mussten. Auch wenn das Ziel damit vor allem über Infrastrukturzugang erfolgt, wirkt sich das direkt auf den Betrieb von QScan und QTRouter aus, etwa weil zentrale Komponenten nicht mehr erreichbar sind.
Das FBI verweist zudem auf ein strukturelles Problem: Da die Umleitungswege über legitim bezahlte Abonnements kommerzieller Proxy-Dienste beschafft werden, reichen statische Sperrlisten allein nicht aus, um solche Angriffe zu stoppen. Verteidiger müssen deshalb stärker auf Muster, Korrelationen und Verhalten achten.
Ein langjähriger Betrieb und ein industrielles Vorgehen
Ein Sicherheitsforscher von Lumen Black Lotus Labs, der die Aktivität seit rund 18 Monaten verfolgt, ordnet die Entwicklung der Plattform als seit Mai 2018 aktiv ein. Laut den Angaben soll QTFY außerdem Kundenbeziehungen innerhalb chinesischer Strukturen haben – unter anderem werden das Ministry of State Security (MSS) und die People’s Liberation Army (PLA) als mögliche Abnehmer genannt.
Lumen schildert außerdem, dass die Zusammenarbeit mit dem FBI bereits seit etwa einem Jahr besteht. Die beobachteten Zielrichtungen sollen sich nicht nur auf klassische Unternehmensnetze erstrecken, sondern auch stark akademische Umfelder betreffen, weil Forschungsgemeinschaften durch Kollaborationsmodelle häufiger als Eintrittsfläche dienen.
Darüber hinaus wird in der Veröffentlichung ein breiterer Kontext beschrieben: Die Gruppe soll bösartige Werkzeuge entwickelt, Malware und Exploits in Freelance-Netzwerken gehandelt und ein Obfuscation-Botnetz aufgebaut haben. Als besonders kritisch wird dabei hervorgehoben, dass sich die Aktivitäten am Ende auf „kritische Systeme“ in den USA ausrichten.
Fazit: Was Organisationen aus der QTFY-Infrastruktur lernen sollten
Die QTFY-Infrastruktur zeigt, wie moderne Angreifer mehrere Schritte verbinden: automatisierte Suche nach Schwachstellen, Ausnutzung verschiedener Lücken in unterschiedlichen Produkten, Aufbau von Persistenz und schließlich eine verteilte Verschleierungslogik mit Proxys und kompromittierten IoT-Geräten.
Auch wenn die Behörden die Plattformen durch gerichtliche Maßnahmen stören konnten, bleibt die Kernaussage für die Praxis: Statische Blocklisten reichen nicht. Effektiver ist eine Kombination aus konsequenter Patch-Strategie, Erkennung anomaler Verhaltensmuster, Analyse von Proxy- und Relaieigenschaften sowie kontinuierlichem Monitoring besonders für externe und internetnahe Systeme.
Quelle: https://thehackernews.com/2026/08/fbi-disrupts-china-linked-qtfy.html
