Das US-Justizministerium hat eine zentrale Aussage über chinesische Cyberangriffe korrigiert. NASA, Federal Reserve, Energie- und Justizministerium, Gesundheitsministerium, National Institutes of Health sowie der US-Senat seien nicht pauschal Opfer der Gruppe QTFY gewesen. Sie gehörten zu deren Zielen. Die am 28. August 2026 veröffentlichte Änderung präzisiert eine Pressemitteilung vom 26. August.
Der Unterschied ist mehr als eine sprachliche Feinheit. Ein Ziel wurde gescannt oder angegriffen; ein Opfer wurde tatsächlich kompromittiert. Nach der ursprünglichen Formulierung ließ sich annehmen, dass QTFY in alle genannten Behörden eingedrungen war. Das geht aus den zugrunde liegenden Vorwürfen nicht hervor. Das Justizministerium erklärte, die Pressemitteilung sei überarbeitet worden, damit sie die Angaben aus der eidesstattlichen Erklärung zu den Domain-Beschlagnahmungen korrekt wiedergebe.
Die Korrektur bedeutet allerdings nicht, dass die Kampagne folgenlos blieb. Für September 2024 sind erfolgreiche Eindringvorgänge bei drei nationalen Laboren des Energieministeriums, einer Einrichtung der NIH, einer Behörde des Gesundheitsministeriums und einem US-Hersteller von Sicherheitsgeräten dokumentiert. Im Mai 2024 wurden zudem Daten von nicht genannten Rüstungsunternehmen, Finanzinstituten und Universitäten gestohlen.
Ein Patch trennte bei der NASA Ziel und Opfer
Wie praktisch der Unterschied ausfällt, zeigt ein Angriff auf die NASA aus dem Jahr 2019. QTFY versuchte, eine kritische Schwachstelle in Pulse Secure VPN auszunutzen. Die Behörde hatte die betroffene Software jedoch bereits aktualisiert, sodass der Versuch erfolglos blieb.
Bei der verwendeten Lücke handelte es sich um CVE-2019-11510 mit einem CVSS-Wert von 10,0. Die Schwachstelle erlaubte nicht authentifizierten Angreifern, aus der Ferne beliebige Dateien aus Pulse Connect Secure auszulesen. Betroffen waren die Versionszweige 8.2 vor 8.2R12.1, 8.3 vor 8.3R7.1 und 9.0 vor 9.0R3.4. Pulse Secure stellte bereits im April 2019 Sicherheitsupdates bereit; für verbliebene Altinstallationen ist ein Wechsel auf eine entsprechend korrigierte und unterstützte Version erforderlich.
Für diesen Fall ist damit nicht nur eine theoretische Ausnutzbarkeit belegt: QTFY setzte die Schwachstelle bei einem konkreten Einbruchsversuch ein. Zugleich ist keine erfolgreiche Kompromittierung der NASA nachgewiesen. Genau diese Trennung war in der ersten Mitteilung des Justizministeriums verloren gegangen.
QTFY lieferte Infrastruktur für andere Spionageakteure
QTFY, auch als QT oder QTCYBER bezeichnet, ist nach Angaben der US-Behörden seit mindestens Mai 2018 aktiv. Die Gruppe arbeitet demnach für die chinesische Privatfirma Nanjing Xinjiuwei Network Technology Co. Zahlungen des chinesischen Ministeriums für Staatssicherheit sprechen laut Ermittlern dafür, dass das Unternehmen Cyberoperationen im Auftrag Pekings unterstützt.
Wie QTFY Angriffsverkehr verschleierte
Die Grafik zeigt den Weg von QTFY über QScan, kompromittierte IoT-Geräte und QTRouter bis zu den Zielnetzen sowie den Eingriff des FBI an den fest eingebauten Domains.
Die Ermittler beschreiben QTFY als eine Art technischen Quartiermeister. Die Gruppe stellte Aufklärung, Proxy-Verwaltung und das Routing operativer Verbindungen bereit. Ihre Infrastruktur wurde gegen Regierungsnetze, Krankenhäuser, Telekommunikationsanbieter, Energieversorger, Finanzinstitute und Rüstungsunternehmen in mehr als 130 Ländern eingesetzt.
Zwei Komponenten bildeten den Kern des Angebots. QScan suchte nach verwundbaren Systemen und unterstützte deren Ausnutzung. QTRouter diente als Verschleierungsnetzwerk. QTFY verkaufte den Zugang zu diesen Werkzeugen auch an andere Akteure, die damit anfällige IoT-Geräte identifizieren und als Relay-Knoten einbinden konnten.
Lokale IoT-Geräte machten die Herkunft schwerer erkennbar
Lumen Black Lotus Labs zufolge industrialisierte QTFY sogenannte Operational Relay Box Networks. Diese bestanden aus kompromittierten IoT-Geräten, gemieteten virtuellen Servern und Knoten des chinesischen Proxy-Dienstes fastlink.ws. Zusammen bildeten sie das verschlüsselte Relay-Netzwerk Fast Labyrinth.
Der operative Vorteil lag nicht allein in der Menge der Zwischenstationen. Angriffsverkehr konnte über ein infiziertes Gerät in geografischer Nähe des eigentlichen Ziels geleitet werden. Für Verteidiger sah die Verbindung dadurch eher wie regionaler oder gewöhnlicher Internetverkehr aus. Die Reputation einer einzelnen IP-Adresse verliert in einem solchen Modell an Aussagekraft: Der sichtbare Absender kann ein fremder Router oder ein anderes kompromittiertes IoT-Gerät sein, nicht die Infrastruktur des Auftraggebers.
Das FBI beschlagnahmte am 26. August die fest in QScan und QTRouter hinterlegten Domains qtproxy[.]xyz, qt-proxy[.]org und qt-team[.]com. Dadurch wurden zentrale Funktionen der Plattformen neutralisiert. Die Maßnahme trifft eine konkrete Abhängigkeit der Werkzeuge, beseitigt aber nicht automatisch das grundsätzliche Modell aus gemieteten Servern und fremden Endgeräten.
Was Betreiber aus der Korrektur ableiten sollten
Für Betreiber internetfähiger Infrastruktur stehen zwei Prüfungen im Vordergrund. Noch vorhandene Installationen von Pulse Connect Secure und Pulse Policy Secure müssen auf ihren tatsächlichen Versionsstand und ihre Erreichbarkeit aus dem Internet kontrolliert werden. Bei früher exponierten, ungepatchten Systemen reicht ein heutiges Update allein nicht aus: Historische Protokolle und Auffälligkeiten aus dem Zeitraum vor der Aktualisierung sollten auf Ausnutzungsversuche untersucht werden.
Die drei beschlagnahmten QTFY-Domains sind außerdem als Indikatoren für die rückblickende Suche relevant. Weil die Domains inzwischen unter Kontrolle des FBI stehen, ist ein aktueller Treffer anders zu bewerten als eine historische Verbindung vor der Beschlagnahmung. Ergänzend sollten Betreiber ungewöhnliche Verbindungen aus lokalen Zugangsnetzen nicht allein deshalb als harmlos einstufen, weil die Quelladresse geografisch plausibel erscheint.
Die DoJ-Korrektur macht damit zwei unterschiedliche Ebenen sichtbar: QTFY verfügte über eine breit einsetzbare, professionell organisierte Spionage-Infrastruktur, doch ein Angriffsziel war nicht zwangsläufig kompromittiert. Im Fall der NASA entschied ein bereits installierter Patch über genau diesen Unterschied. Für eine belastbare Lagebewertung zählen deshalb nicht die Länge einer Zielliste, sondern nachgewiesene Zugriffe, der Patchstand zum Angriffszeitpunkt und die Spuren, die eine konkrete Ausnutzung hinterlassen hat.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
