Die US-Regierung hat nach Angaben der zuständigen Stellen eine chinesische Hacking-Plattform gestört, die für Angriffe auf militärische Systeme und kritische Infrastruktur genutzt wurde. Im Fokus stand dabei ein Netzwerk, das im Umfeld einer staatlich unterstützten Akteursgruppe aktiv gewesen sein soll. Ziel der Maßnahme war, sowohl die eingesetzten Schadwerkzeuge als auch die dahinterliegenden Kommunikationswege auszuschalten.
Laut US-Justizministerium richteten sich die Schritte gegen einen Verbund, der unter dem Namen QTFY aufgetreten sein soll. Die Gruppe habe seit ihrer Gründung im Jahr 2018 ihre Dienste angeboten und damit Angriffe ermöglicht, bei denen in den Vereinigten Staaten zahlreiche kritische Systeme betroffen gewesen sein könnten.
Welche Rolle spielt die chinesische Hacking-Plattform QTFY?
Nach den vorliegenden Informationen wurde QTFY als eine Plattform beschrieben, die Angreifern Zugriff auf bestimmte Schadmechanismen bereitstellt. Das umfasst nicht nur das Auffinden verwundbarer Systeme, sondern auch das nachgelagerte Ausnutzen sowie das gezielte Verschleiern von Aktivitäten. Für die Betreiber ist vor allem entscheidend, dass kompromittierte Geräte als Grundlage dienen, um bösartige Handlungen schwerer nachzuverfolgen.
Die Behörden ordneten QTFY einem Umfeld zu, das Verbindungen zu öffentlichen und privaten Cyber-Aktivitäten hatte. Zudem soll die Gruppe ihre Fähigkeiten nicht allein selbst genutzt, sondern als Service bereitgestellt haben. Dadurch konnten laut Bericht auch andere Akteure die Infrastruktur verwenden, um Angriffe in verschiedenen Zielbereichen umzusetzen.
QScan und QTRouter: Zwei Bausteine des Angriffs
Die Störung konzentrierte sich auf zwei konkrete Dienste, die von QTFY angeboten wurden: QScan und QTRouter. Beide Komponenten greifen ineinander und bilden zusammen eine Pipeline vom ersten Scan bis zur verschleierten Nutzung kompromittierter Infrastruktur.
QScan wurde dabei als Werkzeug beschrieben, das das Internet nach verwundbaren IoT-Geräten durchsucht. Sobald solche Systeme gefunden werden, sollen sie in ein Botnetz überführt werden, das wiederum über QTRouter gesteuert wird. Auf diese Weise können spätere Angreifer die bereits übernommenen Geräte missbrauchen, um ihre Aktivitäten zu verbergen und zugleich die Erkennung zu erschweren.
Damit das funktioniert, sind die Kommunikations- und Authentifizierungsabläufe zentral. Genau hier setzten die US-Behörden an.
Wie die Behörden QScan und QTRouter lahmlegten
Im Zuge der Aktion wurden Domains beschlagnahmt, die für die beiden Dienste benötigt wurden. Die Begründung der US-Justiz lautete, dass die für den Betrieb essenziellen Domain-Adressen in die Schadsoftware fest eingebaut waren. Weil die Domains für Kommunikation und Authentifizierung erforderlich sind, machten die gerichtlichen Beschlagnahmen die Dienste unbrauchbar.
Mit anderen Worten: Selbst wenn die Software weiterhin existierte oder versucht wurde zu starten, fehlten die für den Betrieb vorgesehenen Ziele. Dadurch sollten QScan und QTRouter in der Praxis ausfallen.
Ermittlungen und technische Hinweise: Was die FBI-Übersicht beschreibt
Neben der Störung im rechtlichen und operativen Bereich veröffentlichte das FBI eine technische Cybersecurity-Einschätzung. Diese soll die Arbeitsweise der Gruppe sowie ihre Entwicklungstätigkeit verdeutlichen.
Dem Bericht zufolge entwickelte QTFY fortlaufend bösartige Werkzeuge, tauschte Schadcode und Exploits aus und unterhielt Botnetze für Angriffe. Das deutet darauf hin, dass die Plattform nicht nur „bestehenden“ Code nutzte, sondern auch Fähigkeiten weiter ausbaute und anpasste.
Als Zielsektoren wurden unter anderem genannt: Verteidigungsindustriebasis, lokale Regierungen, Telekommunikation und Hochschulen. Damit reicht das Spektrum von staatlichen Strukturen bis hin zu Einrichtungen, die häufig ein komplexes IT-Umfeld besitzen und deshalb attraktive Angriffsflächen bieten können.
Welche Ziele funktionierten – und welche Versuche scheiterten
Die FBI-Darstellung enthält auch Beispiele für Angriffe, bei denen manche Versuche erfolglos blieben. So wird berichtet, dass bestimmte Hackerbemühungen gescheitert seien oder zumindest nicht zum erwarteten Ergebnis führten. Genannt wurden unter anderem Ziele wie das Department of Energy, Wahlsysteme sowie Bereiche aus dem Umfeld Department of Health and Human Services und weitere Organisationen.
Zu den genannten Beispielen gehören zudem der US-Senat, ein Kinderkrankenhaus, ein Halbleiterunternehmen sowie ein Stromanbieter. Diese Auflistung zeigt, dass die Gruppe offenbar verschiedene Systeme mit unterschiedlichen Technologien und Sicherheitsniveaus ins Visier nahm.
Gleichzeitig gibt es Hinweise auf Angriffe, die zumindest teilweise erfolgreich waren. Dazu zählen unter anderem NASA, das Justizministerium, die Federal Reserve sowie das Department of Energy. Zusätzlich werden Bundesstaaten, ein großer Einzelhändler, ein Telekommunikationsanbieter, Verteidigungsdienstleister, Universitäten und Finanzinstitutionen erwähnt.
Wichtig ist dabei: „Erfolgreich“ bedeutet in der Regel, dass ein bestimmter Zugriff oder eine Phase der Kampagne erreicht wurde. Einzelheiten zu Umfang oder Dauer werden in der Zusammenfassung der Behörden nicht im Detail ausgeführt, aber die Beispiele unterstreichen die Breite der Aktivitäten.
Ausgenutzte Schwachstellen und betroffene Hersteller
Ein weiterer Punkt in der FBI-Einschätzung betrifft die Art der Schwachstellen, die QTFY laut Beobachtungen ausnutzte. Dabei werden Produkte verschiedener Anbieter genannt, darunter unter anderem BeyondTrust, CrushFTP, Ivanti, Check Point, Atlassian, Kentico, F5, Microsoft, Citrix, Fortinet und Pulse Secure.
Diese Auswahl ist besonders relevant, weil sie mehrere Systemtypen abdeckt: Verwaltungs- und Fernzugriff, Netzwerkkomponenten, Kollaborations- und Content-Plattformen sowie weitere zentrale IT-Bausteine. Für Unternehmen und Behörden bedeutet das vor allem: Sicherheitsrisiken entstehen selten nur in einer einzigen Softwarekategorie.
Zusammenspiel mit anderen Akteuren
Die Ermittler machten außerdem Aussagen zur Rolle des Unternehmens hinter QTFY sowie zu Verbindungen in der Szene. Laut FBI habe es geschäftliche Beziehungen zu verschiedenen Strukturen gegeben, die im Kontext anderer Cyberespionage- oder Intrusionsvorhaben stehen. Genannt werden dabei unter anderem Gruppen und Firmen wie „Salt Typhoon“ und „i-Soon“ sowie weitere.
Zusätzlich wird QTFY als aktiv im Bereich der Exploit-Entwicklung beschrieben. Ebenso wird erwähnt, dass die Akteure in Netzwerken agierten, die als freie oder ausgelagerte Strukturen beschrieben werden, sowie in Märkten, auf denen Cyber-Services eingekauft oder vergeben werden können. Damit wird das Bild eines Ökosystems gezeichnet, in dem Kompetenzen und Werkzeuge ausgetauscht werden.
Warum die Störung auch außerhalb von „Militär“ relevant ist
Auch wenn die Kampagnenrichtung auf militärische und kritische Infrastruktur abzielte, zeigen die Beispiele, dass viele Bereiche der Gesellschaft betroffen sein können. Kritische Infrastruktur umfasst in der Praxis nicht nur Energie oder Sicherheitstechnik, sondern auch Kommunikationsnetze, Verwaltungsstrukturen, Bildungseinrichtungen und Lieferketten.
Ein Botnetz, das IoT-Geräte einschließt, kann darüber hinaus verschiedene Zwecke erfüllen: vom Verschleiern eigener Aktivitäten bis hin zu späteren Angriffen, bei denen die übernommenen Systeme als Sprungbrett dienen. Genau deshalb ist die Störung der zentralen Kommunikationskomponenten ein Hebel, um die Wirksamkeit solcher Plattformen zu reduzieren.
Was Organisationen daraus ableiten können
Auch wenn der konkrete Fall staatliche Maßnahmen betrifft, ist der praktische Nutzen für Organisationen groß. Erstens: Verwundbare IoT-Geräte sind ein realer Einstiegspunkt. Zweitens: Fest codierte Infrastruktur in Schadsoftware kann ein Angriffsschema zwar „kaputtmachen“, aber nur, wenn Gegenmaßnahmen konsequent greifen. Drittens: Die Bandbreite der genannten Anbieter zeigt, wie wichtig regelmäßige Updates und Schwachstellen-Management sind.
Wer sich schützen möchte, sollte daher nicht nur auf einzelne Produkte schauen. Stattdessen ist ein strukturierter Blick auf Patch-Stand, Netzwerksegmentierung, Monitoring und die Absicherung von Authentifizierungs- und Kommunikationswegen entscheidend.
Fazit
Die US-Behörden haben eine chinesische Hacking-Plattform in der Praxis geschwächt, indem sie entscheidende Infrastrukturbausteine von QTFY identifizierten und gerichtlich beschlagnahmten. Dadurch wurden die Dienste QScan und QTRouter laut Justizministerium funktionsunfähig. Ergänzend liefert die technische FBI-Einschätzung Hinweise auf ein umfassendes Vorgehensmodell, das Scannen, Ausnutzung und Botnetzbetrieb verbindet und sich gegen mehrere sensible Zielbereiche richtet.
