FBI unterbricht QScan und QTRouter, das chinesische Netzwerk, das Angriffe auf US-Infrastrukturen verschleierte

Das US-Justizministerium hat am Mittwoch die Unterbrechung zweier Hacking-Plattformen bekannt gegeben, die von chinesischen Bedrohungsakteuren betrieben wurden. Die Plattformen QScan und QTRouter wurden genutzt, um kritische Infrastrukturen und sensible Netzwerke in den USA anzugreifen. Die Justizbehörden beschlagnahmten die in beiden Produkten eingebetteten Domains und legten damit den Betrieb still.

Wer steckt dahinter: QTFY und die Tarnfirma aus Nanjing

Die Aktivität wird QTFY zugeschrieben, einer staatlichen chinesischen Gruppe, die bei der Nanjing Xinjiuwei Network Technology Company angestellt ist. Laut Damon Rouse, Forscher bei Lumen Black Lotus Labs, ist QTFY seit Mai 2018 aktiv. Lumen beobachtet die Gruppe seit über 18 Monaten und begann vor etwa einem Jahr, mit dem FBI zusammenzuarbeiten.

Das Unternehmen aus Nanjing zählt zu seinen Kunden das chinesische Ministerium für Staatssicherheit und die Volksbefreiungsarmee. Es beschäftigt ehemalige PLA-Mitglieder und nutzt deren Kontakte, um Aufträge im Zusammenhang mit der Zielerfassung kritischer Infrastrukturen zu erhalten. QTFY war außerdem an chinesischen freiberuflichen Vermittlungsnetzwerken beteiligt, um Exploits und Zugänge zu Opfernetzwerken zu erwerben und zu verkaufen.

FBI-Direktor Kash Patel erklärte, die Werkzeuge seien von Cyberakteuren der Volksrepublik China genutzt worden, um den Ursprung der Angriffe zu verschleiern. Lumen berichtet, dass sich das Targeting auf die westliche Welt und darüber hinaus richtete, mit besonderem Interesse an akademischen Einrichtungen und der Forschung.

Die Opfer: NASA, Federal Reserve, Senat und ein Wahlsystem

Zu den Opfern der Eindringaktivitäten zählen NASA, Federal Reserve, das Energieministerium, das Justizministerium, das Gesundheitsministerium, die National Institutes of Health und der US-Senat. Jüngste Angriffe bis Juni 2026 zielten auch auf ein US-Wahlsystem.

Die Infrastruktur ermöglichte es den Betreibern, den Ursprung der Eindringversuche zu verschleiern, indem sie bösartigen Datenverkehr mit legitimem Verkehr von kommerziellen Proxys und kompromittierten IoT-Geräten vermischten. Dies erschwerte es den Verteidigern, die Aktivitäten zu erkennen und zurückzuverfolgen.

Die technische Architektur: QScan, QTRouter und die „Operational Relay Box“

QScan führt automatische Scans und Infektionen von IoT-Geräten weltweit durch und fügt sie dem QTRouter-Netzwerk hinzu. Die beschlagnahmten Domains waren fest in beiden Produkten verdrahtet. Dazu gehören qt-proxy[.]org, mq-task.qt-proxy[.]org und mq-result.qt-proxy[.]org. Die ersten beiden lieferten Scan-Aufgaben an Worker-Knoten, die auf angemieteten Servern außerhalb Chinas gehostet wurden; der dritte empfing die abgeschlossenen Aufgaben.

QTRouter ist ein Netzwerk zur Verkehrsverschleierung, das auf Routern mit angepasster OpenWrt-Software läuft. Es authentifiziert sich bei den Verwaltungsservern www.qtproxy[.]xyz und securelink.qtproxy[.]xyz und nutzt Clash, um Proxy-Verbindungen aufzubauen. Das Netzwerk umfasst kompromittierte Geräte, kommerzielle Proxy-Dienste und angemietete virtuelle Privatserver. Es ermöglicht die Verkettung von Knoten und die Vermischung von bösartigem mit legitimem Verkehr.

Die Botnetze aus kompromittierten Geräten werden über drei Plattformen gesteuert: Proxy Platform Management, Proxy Pool Management System und QTBotnet. QTBotnet umfasst einen Kontrollserver, Kontrollserver der zweiten Ebene und kompromittierte Geräte. Der Kontrollserver kann DDoS-Angriffe starten und Befehle auf infizierten Knoten ausführen.

Die verteilte Architektur umfasst auch Fast Labyrinth, eine Betriebsebene, die kommerzielle Proxy-Infrastruktur wie Fastlink (fastlink.ws) zusammen mit QTRouter in ein verschlüsseltes Relay-Netzwerk einbindet. QTProxy verwaltet die operativen Knoten von Fast Labyrinth und ermöglicht es den Betreibern, vorkonfigurierte Relays oder eindeutige Pfade zu den Zielsystemen zu verwenden.

Lumen vergleicht das Gesamtsystem mit einer „Operational Relay Box“: ein dezentrales Geflecht aus infizierten IoT-Geräten und angemieteten VPS, das bösartigen Verkehr über rotierende IPs leitet. Dadurch werden Blocklisten und Geolokalisierungsrichtlinien umgangen. Da die Transitstrecken über legitime Abonnements kommerzieller Proxy-Dienste bezogen werden, reichen traditionelle statische Sperren nicht mehr aus.

Der Angriffszyklus und die ausgenutzten Schwachstellen

Laut FBI verläuft der Angriffszyklus in vier Phasen. Zuerst führt QScan die Aufklärung gegen die Zielnetzwerke durch. Dann werden Zero-Day- und N-Day-Schwachstellen ausgenutzt, um initialen Zugriff zu erlangen. Anschließend erfolgt die Persistenz über Remote-Access-Trojaner, Webshells und legitime Zugangsdaten. Schließlich ermöglicht QTRouter den Zugriff auf das Zielnetzwerk über nahegelegene kompromittierte IoT-Geräte und bleibt so unter dem Radar.

Bei den genannten Zero-Day-Schwachstellen handelt es sich um drei, alle in Ivanti-CSA-Appliances:

• CVE-2024-8190 – OS Command Injection in Ivanti Cloud Services Appliance 4.6 Patch 518 und früheren Versionen. CVSS 7,2. Erfordert Administratorrechte für die Remote-Code-Ausführung.
• CVE-2024-8963 – Path Traversal in Ivanti CSA vor Patch 519 der Version 4.6. CVSS 9,4. Ein nicht authentifizierter Remote-Angreifer kann auf eingeschränkte Funktionen zugreifen.
• CVE-2024-9380 – OS Command Injection in der Admin-Webkonsole von Ivanti CSA vor Version 5.0.2. CVSS 7,2. Erfordert Administratorrechte für die Remote-Code-Ausführung.

Zu den ausgenutzten N-Day-Schwachstellen gehören:

• CVE-2018-13379 in Fortinet SSL-VPN (FortiOS 6.0.0–6.0.4, 5.6.3–5.6.7, 5.4.6–5.4.12 und FortiProxy 2.0.0, 1.2.0–1.2.8, 1.1.0–1.1.6, 1.0.0–1.0.7). Ein nicht authentifizierter Angreifer kann Systemdateien über HTTP-Anfragen an das SSL-VPN-Portal herunterladen.
• CVE-2019-19781 in Citrix ADC und Gateway 10.5, 11.1, 12.0, 12.1 und 13.0. Directory Traversal.
• CVE-2021-26855 in Microsoft Exchange Server 2013. Remote-Code-Ausführung.
• CVE-2020-5902 in F5 BIG-IP, CVE-2019-10068 in Kentico CMS, CVE-2021-44228 in Apache Log4j, CVE-2023-22515 in Atlassian Confluence, CVE-2024-24919 in Check Point Quantum Gateway, CVE-2025-31161 in CrushFTP und CVE-2026-1731 in BeyondTrust Remote Support.

Für die über die ersten drei hinaus aufgeführten CVEs wurden vom FBI keine genauen Versionen mitgeteilt. Alle detailliert genannten CVEs haben CVSS-v3-Werte zwischen 7,2 und 9,8; mehrere sind kritisch und ermöglichen Remote-Code-Ausführung, Path Traversal oder unbefugten Zugriff.

Schwachstellen im KEV-Katalog: Fristen und Maßnahmen

Viele der genannten CVEs stehen im Known Exploited Vulnerabilities-Katalog der CISA. Die Aufnahmedaten und Behebungsfristen für US-Bundesbehörden sind:

• CVE-2018-13379, CVE-2019-19781 und CVE-2021-26855: seit dem 3. November 2021 im KEV, Frist bis 3. Mai 2022. Alle werden in Ransomware-Kampagnen genutzt.
• CVE-2019-10068: seit dem 25. März 2022 im KEV, Frist bis 15. April 2022.
• CVE-2020-5902: seit dem 3. November 2021 im KEV, Frist bis 3. Mai 2022. Wird in Ransomware-Kampagnen genutzt.
• CVE-2024-8190: seit dem 13. September 2024 im KEV, Frist bis 4. Oktober 2024.
• CVE-2024-8963: seit dem 19. September 2024 im KEV, Frist bis 10. Oktober 2024.
• CVE-2024-9380: seit dem 9. Oktober 2024 im KEV, Frist bis 30. Oktober 2024.

Für die drei Ivanti-CSA-Schwachstellen weist die CISA auf eine spezifische Maßnahme hin: Da Ivanti CSA 4.6.x den End-of-Life-Status erreicht hat, müssen Anwender CSA 4.6.x außer Betrieb nehmen oder auf die unterstützte Linie 5.0.x umsteigen. Künftige Schwachstellen in 4.6.x werden voraussichtlich keine Sicherheitsupdates mehr erhalten.

Die ersten drei CVEs werden nachweislich in Ransomware-Kampagnen genutzt. Ihre Behebung hat daher auch außerhalb des föderalen Bereichs Priorität.

Was Organisationen tun müssen

Die unmittelbaren Maßnahmen hängen von den exponierten Produkten ab. Für CVEs im KEV-Katalog gilt allgemein, die Updates des Herstellers einzuspielen. Für Ivanti CSA 4.6.x besteht die geforderte Minderung darin, die Systeme außer Betrieb zu nehmen oder auf die Linie 5.0.x zu aktualisieren. Die Bundesfristen sind bereits abgelaufen, aber private Organisationen sollten sie als Referenz für die Priorisierung behandeln.

Das FBI hat die Hauptdomains abgeschaltet, aber die Verteidiger dürfen nicht nachlassen. Die verteilte Infrastruktur von QTFY kann auf neuen Domains wieder aufgebaut werden. Lumen betont die starke Industrialisierung chinesischer Cyberoperationen: Der Übergang von fragmentierten Konfigurationen zu gemeinsam genutzten Multi-Tenant-Netzwerken ermöglicht komplexe Kampagnen mit hoher Anonymität, Geschwindigkeit und globaler Skalierung.

Es handelt sich nicht um einen Einzelfall. In den letzten 90 Tagen wurde auch CVE-2026-10520 in den KEV-Katalog aufgenommen; sie betrifft dieselben Hersteller wie in dieser Kampagne: Ivanti, Kentico und Citrix. Diese Abfolge deutet auf anhaltenden Druck auf Edge-Appliances und Remote-Access-Lösungen hin. Wer solche Produkte verwaltet, muss die Versionen überprüfen, Patches einspielen und Systeme außerhalb des Supports entfernen.