QScan und QTRouter abgeschaltet: Die Einbrüche reichen bis NASA und Fed
Das US-Justizministerium und das FBI haben am 26. August 2026 gerichtlich genehmigte Beschlagnahmen von Domains bekannt gegeben, die für QScan und QTRouter benötigt wurden. Laut der am 28. August präzisierten Mitteilung des Justizministeriums machte die Übernahme der fest einprogrammierten Adressen beide Plattformen funktionsunfähig.
Die damit verbundene Angriffskampagne reichte bis zu NASA und Federal Reserve. Diese Behörden waren jedoch Ziele, nicht nachweislich erfolgreiche Einbruchsopfer: Die aktualisierte Reuters-Darstellung dokumentiert, dass das Justizministerium seine erste, zu pauschale Opferzuordnung nachträglich korrigierte.
Wer hinter QScan und QTRouter stehen soll
Nach den in Kalifornien entsiegelten Gerichtsunterlagen entwickelte und betrieb die Gruppe QTFY die miteinander verbundenen Dienste. Die US-Behörden ordnen QTFY der in Nanjing ansässigen Nanjing Xinjiuwei Network Technology Company zu und werfen dem Unternehmen vor, Hacking-Dienste an zahlende Kunden verkauft zu haben. Zu diesen sollen das chinesische Ministerium für Staatssicherheit und die Volksbefreiungsarmee gehören.
Das sind Anschuldigungen der US-Regierung aus einem Verfahren zur Beschlagnahme technischer Infrastruktur, kein rechtskräftiges Urteil gegen die genannten Akteure. China wies den Vorwurf staatlich gesteuerter Cyberangriffe zurück und erklärte, es bekämpfe solche Aktivitäten nach seinen Gesetzen.
QTFY soll spätestens seit 2018 Infrastruktur für Angriffe auf Behörden, Unternehmen und andere sensible Netze bereitgestellt haben. Ein Bericht von The Record beschreibt die Gruppe als technischen Dienstleister, der verwundbare Geräte erschloss und den daraus entstehenden Zugang für verschleierte Verbindungen nutzbar machte.
Vom Scan bis zur getarnten Verbindung
QScan und QTRouter erfüllten unterschiedliche Aufgaben innerhalb derselben Infrastruktur. QScan suchte automatisiert nach erreichbaren und verwundbaren Geräten des Internets der Dinge. Nach Darstellung des Justizministeriums konnte die Plattform solche Geräte kompromittieren und anschließend in das von QTFY kontrollierte Netzwerk einbinden.
QTRouter bildete die Tarn- und Transportschicht. Dazu wurden kompromittierte IoT-Geräte mit kommerziellen Proxy-Diensten und gemieteten virtuellen Servern kombiniert. Angriffsverkehr konnte dadurch aus einem anderen Land oder sogar aus der Umgebung des Zielnetzes zu kommen scheinen, statt unmittelbar auf chinesische Infrastruktur zurückzuweisen.
Der Ablauf lässt sich auf vier Funktionen reduzieren:
- QScan erfasst erreichbare Systeme und sucht nach verwertbaren Schwachstellen.
- Verwundbare IoT-Geräte werden kompromittiert und als mögliche Zwischenstationen verfügbar gemacht.
- QTRouter verbindet diese Geräte mit weiteren Proxy- und Serverkapazitäten.
- Kunden leiten ihre Zugriffe über diese Tarnschicht zum eigentlichen Ziel.
Damit war QTRouter mehr als ein einzelnes Botnetz. Das System verband fremde, kompromittierte Geräte mit rechtmäßig gemieteter Infrastruktur und kommerziellen Diensten. Diese Mischung erschwerte die Zuordnung, weil nicht jede beteiligte IP-Adresse unmittelbar von QTFY kontrolliert werden musste.
NASA und Fed waren Ziele – aber nicht bestätigte Opfer
Die Gerichtsunterlagen unterscheiden zwischen Zielauswahl, Angriffsversuch und erfolgreicher Kompromittierung. Beim NASA-Vorgang vom August 2019 versuchten die Angreifer demnach, eine Schwachstelle in einer VPN-Software auszunutzen. Der Zugriff scheiterte, weil die betroffene Software bereits aktualisiert worden war.
Auch für die Federal Reserve belegen die veröffentlichten Unterlagen eine Zielauswahl, aber keinen erfolgreichen Einbruch. Ein Zugriffsversuch gegen den US-Senat im März 2026 blieb ebenfalls erfolglos. Die Korrektur des Justizministeriums war deshalb materiell: Die erste Fassung hatte alle genannten Behörden als Opfer erscheinen lassen, obwohl die zugrunde liegende eidesstattliche Erklärung nur für einen Teil von ihnen erfolgreiche Kompromittierungen beschreibt.
Bestätigte Einbrüche führt die Erklärung für September 2024 bei drei nicht namentlich genannten Laboren des Energieministeriums, den National Institutes of Health, einer Behörde des Gesundheitsministeriums und einem US-Hersteller von Sicherheitsgeräten an. Eine gemeinsame Behördenwarnung nennt außerdem erfolgreiche Datendiebstähle bei nicht genannten Rüstungsunternehmen, Finanzinstituten und Universitäten im Mai 2024.
Die Reichweite der Kampagne ist damit erheblich, doch die genaue Opferliste bleibt enger als zunächst gemeldet. Für NASA und Federal Reserve ist nach dem öffentlich zugänglichen Stand nur das Targeting belegt. Welche Systeme der Fed untersucht wurden und wie weit einzelne Versuche gelangten, geht aus den Veröffentlichungen nicht hervor.
Was die Domainbeschlagnahme bewirkt – und was nicht
Beschlagnahmt wurden qtproxy.xyz, qt-proxy.org und qt-team.com. Diese Domains waren nach Behördenangaben fest in QScan und QTRouter hinterlegt und wurden für wesentliche Kommunikations- und Authentifizierungsaufgaben gebraucht. Durch die Übernahme können vorhandene Installationen ihre vorgesehenen Gegenstellen nicht mehr auf dem bisherigen Weg erreichen.
Die Maßnahme trennt die konkrete Steuerungsinfrastruktur ab, bereinigt aber nicht automatisch jedes zuvor kompromittierte Gerät. Sie löscht weder Schadsoftware von Routern und anderen IoT-Systemen noch macht sie frühere Zugriffe, entwendete Daten oder Änderungen in betroffenen Netzen rückgängig. Anders als bei manchen früheren FBI-Aktionen ist in der Bekanntmachung keine flächendeckende Entfernung von Schadcode aus fremden Geräten beschrieben.
Auch ein Wiederaufbau mit neuen Domains, Servern oder veränderter Software ist technisch grundsätzlich möglich. Belegt ist daher die Abschaltung der beschriebenen QScan- und QTRouter-Infrastruktur zum Zeitpunkt der Beschlagnahme, nicht das endgültige Ende von QTFY oder aller den Akteuren zugeschriebenen Operationen.
Offen bleibt zudem, wie viele Geräte zum Zeitpunkt des Zugriffs noch aktiv eingebunden waren und welche Organisationen über die namentlich genannten Fälle hinaus tatsächlich kompromittiert wurden. Die beschlagnahmten Domains liefern den Ermittlern zwar Kontrolle über einen zentralen Engpass; für betroffene Netze entscheidet jedoch die nachträgliche Untersuchung, ob von früheren Zugriffen noch Konten, Hintertüren oder andere Spuren bestehen.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.