QScan und QTRouter: Wie ein China-Botnet US-Infrastruktur angriff

Das US-Justizministerium gab die Zerschlagung zweier Hacker-Plattformen – QScan und QTRouter – bekannt, die nach Angaben der Behörde von der chinesischen staatlichen Gruppe QTFY für Angriffe auf die kritische Infrastruktur der USA genutzt wurden. Zu den genannten Opfern gehören die NASA, das Federal Reserve System, das Energieministerium, das Justizministerium, das Gesundheitsministerium, die National Institutes of Health und der US-Senat. Die in den Code beider Plattformen fest eincodierten Domains wurden per Gerichtsbeschluss beschlagnahmt, was nach Angaben der Behörden zur Einstellung ihres Betriebs führte. Organisationen, die die in den Empfehlungen des FBI aufgeführten Produkte einsetzen, sollten ihre Netzwerke umgehend auf Indicators of Compromise prüfen und sicherstellen, dass Patches für die ausgenutzten Schwachstellen aktuell eingespielt sind.

Architektur der Infrastruktur: von Scanning bis Obfuskation

Laut den Empfehlungen des FBI wird die Aktivität von QTFY der Firma Nanjing Xinjiuwei Network Technology Company zugeschrieben. Nach Erkenntnissen der Forscher von Lumen Black Lotus Labs ist die Infrastruktur vermutlich seit Mai 2018 aktiv, und die Zusammenarbeit mit dem FBI in diesem Fall dauerte rund ein Jahr.

Die Plattform QScan übernimmt automatisierte Scans und die Infektion verwundbarer IoT-Geräte weltweit und baut daraus ein Botnet auf. Die infizierten Geräte werden in das Netzwerk QTRouter eingebunden – ein obfuskierendes Proxy-Netz, das kompromittierte IoT-Geräte, kommerzielle Proxy-Services und gemietete VPS-Server zusammenführt. Der Hauptzweck von QTRouter ist die Verschleierung der tatsächlichen Angriffsquelle: Der Traffic wirkt so, als stamme er aus Standorten außerhalb Chinas, oft geografisch nahe an den Zielnetzen.

QTRouter läuft auf Routern mit angepasster OpenWrt-Firmware und nutzt das Tool Clash zur Einrichtung von Proxy-Verbindungen. Das System erlaubt es den Operatoren, verfügbare Knoten einzusehen und Ketten für mehrstufige Obfuskation zu bilden, wobei bösartiger Traffic mit legitimen vermischt wird.

Die Steuerung des Botnets erfolgt über drei Plattformen: Proxy Platform Management, Proxy Pool Management System und QTBotnet – letztere umfasst den Kontrollserver, sekundäre Management-Server und die kompromittierten Geräte. Der Kontrollserver kann außerdem DDoS-Angriffe starten und Befehle auf den infizierten Knoten ausführen.

Nach Angaben von Lumen umfasst die verteilte Architektur zusätzlich die Komponenten Fast Labyrinth (eine operative Schicht mit kommerzieller Proxy-Infrastruktur, einschließlich des Dienstes Fastlink) und QTProxy (Verwaltung der operativen Fast-Labyrinth-Knoten). Das Gesamtkonstrukt wird als operative Relay-Netzwerk (ORB) beschrieben – ein dezentrales Mesh-Netzwerk, das Traffic über rotierende IP-Adressen routet.

Angriffszyklus und ausgenutzte Schwachstellen

Den Unterlagen des FBI zufolge umfasst ein typischer Angriffszyklus von QTFY vier Phasen: Reconnaissance mit QScan, Erlangung des Erstzugangs durch Ausnutzung von Schwachstellen, Etablierung von Persistenz mittels Trojanern für Fernzugriff, Web-Shells und legitimer Zugangsdaten sowie anschließenden Zugriff auf das Zielnetz über nahe gelegene kompromittierte IoT-Geräte mittels QTRouter.

Die Liste der ausgenutzten Schwachstellen umfasst sowohl Zero-Days als auch seit Langem bekannte Lücken. Alle aufgeführten CVEs sind in der NVD bestätigt, die meisten zudem im CISA-KEV-Katalog geführt:

• Ivanti CSA: CVE-2024-8190 (CVSS 7.2), CVE-2024-8963 (CVSS 9.1), CVE-2024-9380 (CVSS 7.2) – OS command injection und Path Traversal; Ivanti bestätigte eine verkettete Ausnutzung dieser Schwachstellen
• Fortinet SSL-VPN: CVE-2018-13379 – Path Traversal in FortiOS/FortiProxy
• Citrix ADC/Gateway: CVE-2019-19781 (CVSS 9.8) – Directory Traversal
• Microsoft Exchange Server: CVE-2021-26855 (CVSS 9.8) – Remote Code Execution
• Apache Log4j: CVE-2021-44228 – JNDI injection in Log4j2 Versionen 2.0-beta9 bis 2.15.0
• Atlassian Confluence: CVE-2023-22515 (CVSS 10.0 laut Atlassian) – Broken Access Control
• Check Point Quantum Gateway: CVE-2024-24919 (CVSS 8.6) – Information Disclosure
• CrushFTP: CVE-2025-31161 – Authentication Bypass in Versionen 10 bis 10.8.4 und 11 bis 11.3.1
• BeyondTrust Remote Support: CVE-2026-1731 (CVSS 9.8) – pre-auth Remote Code Execution
• Außerdem werden F5 BIG-IP (CVE-2020-5902) und Kentico CMS (CVE-2019-10068) erwähnt

Ausmaß und Kontext der Bedrohung

Nach Angaben von Lumen richtete sich das Targeting von QTFY gegen die gesamte westliche Welt, mit besonderem Fokus auf akademische und Forschungsumgebungen. Den Berichten zufolge waren die Angriffe bis Juni 2026 unter anderem auf das US-Wahlsystem gerichtet. Die Gruppe war mutmaßlich in chinesische Freelance-Broker-Netzwerke eingebunden, um Exploits und Zugänge zu kompromittierten Netzen zu kaufen und zu verkaufen.

Lumen beschreibt dies als einen hohen Grad an Industrialisierung chinesischer Cyber-Operationen: den Übergang von fragmentierten, situativen Konfigurationen hin zu gemeinsamen, multi-tenant-fähigen Utility-Netzen, die komplexe Kampagnen mit hoher Anonymität, Geschwindigkeit und globaler Reichweite ermöglichen. Der Einsatz legitimer, kostenpflichtiger Abonnements für kommerzielle Proxy-Services macht klassische statische IP-Blocklisten unzureichend.

Indikatoren einer Kompromittierung

Mit der Infrastruktur von QTFY verbundene Domains:

• qt-proxy[.]org
• mq-task.qt-proxy[.]org (zuvor mq-task.qt-team[.]com)
• mq-result.qt-proxy[.]org (zuvor mq-result.qt-team[.]com)
• www.qtproxy[.]xyz
• securelink.qtproxy[.]xyz
• fastlink.ws

Empfehlungen

1. Netzwerk-Logs prüfen auf Verbindungen zu den genannten Domains und IP-Adressen, die mit der QTRouter/QTProxy-Infrastruktur in Verbindung stehen
2. Patches umgehend einspielen für alle aufgeführten CVEs – die meisten sind im CISA-KEV-Katalog gelistet und werden aktiv ausgenutzt. Priorität: CVE-2026-1731 (BeyondTrust), CVE-2025-31161 (CrushFTP), CVE-2024-24919 (Check Point), CVE-2023-22515 (Confluence)
3. Audit der IoT-Geräte durchführen im Netzwerk: Router mit nicht standardisierter OpenWrt-Firmware, Geräte mit anomalem ausgehendem Traffic zu Proxy-Services
4. Monitoring etablieren für anomale Nutzung kommerzieller Proxy-Services aus dem Unternehmensnetz – statische IP-Sperren sind gegen die rotierende ORB-Infrastruktur nicht wirksam
5. Prüfen auf Web-Shells, RAT und unautorisierte Accounts, insbesondere auf Perimeter-Geräten von Ivanti CSA, Fortinet, Citrix und Exchange

Die Beschlagnahmung der in den Code von QScan und QTRouter fest eincodierten Domains neutralisiert diese spezifische Infrastruktur nur vorübergehend, doch die verteilte ORB-Architektur ermöglicht einen Wiederaufbau unter neuen Domains. Organisationen sollten sich daher nicht nur auf die Blockierung bekannter Indikatoren konzentrieren, sondern auch auf die Erkennung von Verhaltensmustern – anomalem Proxy-Traffic von IoT-Geräten, kaskadierender Ausnutzung von Perimeter-Schwachstellen und Anzeichen lateraler Bewegung über kompromittierte Router in unmittelbarer Nähe zum Zielnetz.