Kurze Zusammenfassung
Am 26. August 2026 kündigten DOJ und FBI die gerichtlich autorisierte Beschlagnahme von drei Domänen an, über die QScan und QTRouter betrieben wurden — zwei Hacking-Plattformen der chinesischen staatlichen Gruppe QTFY (Nanjing Xinjiuwei Network Technology), die im Auftrag von Chinas Ministerium für Staatssicherheit und der Volksbefreiungsarmee arbeiteten. QScan kompromittierte automatisch Tausende IoT-Geräte weltweit; QTRouter leitete Angriffsverkehr durch diese Geräte, um den Ursprung zu verschleiern. Bestätigte Opfer sind NASA, die Federal Reserve, die Ministerien für Energie und Justiz, HHS, NIH, der US-Senat, Krankenhäuser und Finanzinstitutionen. Die Operation lief ununterbrochen von 2018 bis 2026. Die ausgenutzten CVEs umfassen Fortinet, Citrix, Exchange, F5, Log4j, Confluence, Ivanti und BeyondTrust — Standard-Enterprise-Perimeter-Produkte.
Wie QScan und QTRouter funktionierten
QScan war ein automatisierter Scanner, der das Internet kontinuierlich nach anfälligen IoT-Geräten absuchte — Router, Kameras, Netzwerk-Appliances und kommerzielle Server. Fand er ein exponiertes Gerät, das einer bekannten CVE entsprach, infizierte er es automatisch ohne menschliches Eingreifen. Die kompromittierten Geräte wurden anschließend in QTRouter aufgenommen, ein Proxy-Botnet, das den Angriffsverkehr von QTFY über Systeme leitete, die sich physisch außerhalb Chinas befanden.
Die Zwei-Plattformen-Architektur löste ein anhaltendes operatives Problem für staatlich geförderte Angreifer: die Attribution. Wenn der eigentliche Einbruch-Verkehr über einen Heim-Router in Ohio oder einen Cloud-VPS in Deutschland austritt, sieht die angegriffene Organisation eine lokal wirkende Quell-IP, keine chinesische. Standardmäßige IP-basierte Bedrohungsinformationen sind gegenüber diesem Muster blind. Das FBI beschrieb QTRouter als Mittel, das Angriffe „lokal erscheinen ließ statt aus China zu stammen.“
Beide Plattformen stützten sich auf drei fest einprogrammierte Domänen — qtproxy.xyz, qt-proxy.org und qt-team.com — für Authentifizierung und Command-and-Control. Diese architektonische Entscheidung wurde ihr Verhängnis: Die Beschlagnahme der Domänen machte beide Plattformen gleichzeitig unbrauchbar, ohne dass Verhaftungen oder physischer Zugang zur Infrastruktur erforderlich waren.
Wer angegriffen wurde — und wie lange
Die Operation lief von 2018 bis 2026 — acht Jahre kontinuierlichen Zugangs zur kritischen US-Infrastruktur. Laut Gerichtsdokumenten bestätigte Ziele sind NASA, die Federal Reserve, die Ministerien für Energie, Justiz und Gesundheitspflege (HHS), die National Institutes of Health und der US-Senat. Jenseits der Bundesbehörden gehörten Krankenhäuser, Finanzinstitutionen, Telekommunikationsanbieter und Rüstungsunternehmen zu den Opfern.
Die Breite ist kalkuliert. QTFYs Auftraggeber — das Ministerium für Staatssicherheit und die PLA — nutzen dauerhaften Zugang zu mehreren Sektoren gleichzeitig. Ein Krankenhaus liefert Patientendaten und Forschungspipelines. Eine Finanzinstitution liefert Transaktionsflüsse und regulatorische Berichterstattung. Ein Telekommunikationsanbieter liefert Kommunikationsabhörfähigkeiten. Dies sind keine opportunistischen Einbrüche; es sind langfristige Sammeloperationen.
Die CVE-Liste: Ihre Enterprise-Software steht drauf
Die Penetrationstest-Community hat QTFYs Angriffsziele in Gerichtsunterlagen dokumentiert. Die CVEs umfassen Produkte, die in nahezu jedem Enterprise-Perimeter-Inventar vorkommen:
- Fortinet SSL-VPN — das VPN-Gateway, das Zehntausende von Organisationen für den Fernzugriff nutzen
- Citrix ADC — Application Delivery und Load Balancing, oft mit Internetzugang
- Microsoft Exchange — On-Premises-E-Mail-Server, ein perennielles Ziel wegen Komplexität und langsamen Patch-Zyklen
- F5 BIG-IP — Load Balancer und Traffic-Management-Systeme in Finanz- und Gesundheitsumgebungen
- Apache Log4j — die Bibliotheks-Schwachstelle, die 2021 die Disclosure-Fenster dominierte und anscheinend in einigen Umgebungen bis 2026 ungepacht blieb
- Atlassian Confluence — interne Dokumentation und Projekt-Wikis, verbreitet in Softwareentwicklungsorganisationen
- Check Point Gateways — Firewall- und Netzwerksicherheits-Appliances
- CrushFTP — Dateiübertragungs-Server, verbreitet in regulierten Branchen, die große Datensätze verarbeiten
- Ivanti Appliances — VPN- und Endpunkt-Management-Systeme mit einer Geschichte von Zero-Day-Ausnutzung in 2024–2026
- BeyondTrust Remote Support — Privileged Access Management für Remote-IT-Operationen
Das Muster in dieser Liste ist konsistent: internetexponierte Appliances mit verzögerten Patch-Zyklen. Keine dieser Schwachstellen erforderte ausgefeilte Zero-Day-Forschung. Es waren bekannte, CVE-zugewiesene, vom Hersteller gepatchte Schwachstellen, bei denen die Lücke zwischen Patch-Verfügbarkeit und Patch-Deployment die Tür öffnete.
So legte das FBI die Plattformen lahm
Das FBI erwirkte Durchsuchungsbefehle beim Southern District of California, um die drei fest einprogrammierten C2-Domänen zu beschlagnahmen. Nach der Beschlagnahme konnte QScan keine infizierten Geräte mehr authentifizieren, und QTRouter verlor seine Command-Infrastruktur. Beide Plattformen wurden gleichzeitig abgeschaltet. Es gab keine Verhaftungen; die Attribution wurde über MSS-Zahlungsunterlagen an Nanjing Xinjiuwei bestätigt, die ehemalige PLA-Mitglieder als Mitarbeiter aufweisen.
Der Beschlagnahme-Ansatz — gemeinsame Infrastruktur statt einzelner infizierter Maschinen zu targetieren — wird zur Standardpraxis für US-Strafverfolgungsbehörden bei der Bekämpfung staatlich gesteuerter Botnets. Es ist operativ schneller als der Versuch, Tausende individuell kompromittierter IoT-Geräte in mehreren Rechtsgebieten zu bereinigen, und zwingt Angreifer, von Grund auf neu aufzubauen, statt einfach eine Domäne neu zu registrieren.
Was das für US- und EU-Software-Teams bedeutet
Ungepatchte Perimeter-Appliances sind der dokumentierte Eintrittspunkt für staatliche Angreifer. Die QTFY-CVE-Liste sollte als Prioritäts-Patch-Inventar behandelt werden, nicht als historische Kuriosität. Log4j erschien darauf im Jahr 2026 — fast fünf Jahre nach der ursprünglichen Offenlegung. Organisationen, die sagen „wir sind kein Regierungsziel“, sollten überdenken: Die Federal Reserve und NIH standen auf dieser Liste neben Krankenhäusern und Rüstungsunternehmen. Lieferketten- und Finanzdaten in jeder Organisation, die einen regulierten Sektor berührt, sind attraktive Sammelziele.
IoT-Geräte in Ihrer Umgebung sind Botnet-Material. QTRouter wurde aus kompromittierten Kameras, Routern und Appliances aufgebaut — derselben Gerätekategorie, die in Entwicklungslabors, Büronetzwerken und Staging-Umgebungen zu finden ist. Eine nicht verwaltete IP-Kamera in einem Serverraum ist kein theoretisches Risiko; sie ist die Infrastruktur, die Angriffe wie QTFYs Proxy-Routing ermöglicht. Netzwerksegmentierung, die IoT-Geräte von Systemen mit sensiblen Daten isoliert, reduziert den Explosionsradius bei einem kompromittierten Gerät.
IP-basierte Attribution ist für staatlichen Verkehr unzuverlässig. QTRouter umging gezielt IP-Allowlists und länderbasierende Blockierungen, indem Verkehr über inländische IPs geleitet wurde. Für Cloud- und DevOps-Teams, die Security-Group-Regeln und WAF-Richtlinien pflegen: Verkehr aus erwarteten geografischen Regionen ist nicht dasselbe wie vertrauenswürdiger Verkehr. Verhaltensanomalien-Erkennung, Endpunkt-Telemetrie und Zero-Trust-Netzwerkrichtlinien bieten die Schichten, die rohe IP-Regeln nicht bieten.
FinTech- und HealthTech-Teams stehen vor demselben Bedrohungsprofil wie die Federal Reserve und NIH. Die Ziele dieser Operation sind genau die Branchen, in denen YuSMPs Kunden tätig sind. DSGVO- und HIPAA-Breach-Benachrichtigungsfristen gehen davon aus, dass Vorfälle innerhalb von Tagen oder Wochen erkannt werden; QTFY operierte acht Jahre lang vor der Beschlagnahme. Langandauernde, unauffällige Einbrüche lösen nicht die schwellenwertbasierten Alarme aus, auf die die meisten SIEM-Konfigurationen ausgerichtet sind.
Was das für den DACH-Raum bedeutet: Das BSI (Bundesamt für Sicherheit in der Informationstechnik) stuft chinesische APT-Gruppen seit 2023 als eine der prioritären Bedrohungen für deutsche Unternehmen ein — insbesondere im Bereich Industriespionage gegen Maschinenbau, Automobil und Energie. Die im Gerichtsverfahren genannte CVE-Liste für QScan und QTRouter deckt sich weitgehend mit den vom BSI im Lagebericht 2025 als kritisch eingestuften Perimeter-Schwachstellen (Fortinet, Citrix, Ivanti). Für KRITIS-Betreiber in Deutschland gilt: Nach dem IT-Sicherheitsgesetz 2.0 und der NIS2-Umsetzung (IT-SiG-2.0-Novelle 2025) sind Meldepflichten bei erheblichen Sicherheitsvorfällen innerhalb von 24 Stunden gegenüber dem BSI zwingend. Ein kompromittiertes IoT-Gerät im Produktionsnetz, das als QTRouter-Knoten genutzt wird, qualifiziert als meldepflichtiger Vorfall. Die DSGVO-Meldepflicht (72 Stunden an die zuständige Datenschutzbehoerde) gilt zusätzlich, sobald personenbezogene Daten betroffen sind.
Ist Ihre Perimeter-Software auf der QTFY-CVE-Liste?
Unsere Ingenieure führen Sicherheitsaudits und Penetrationstests durch, die Ihre internetexponierte Angriffsfläche gegen bekannte Exploitationsmuster kartieren — einschließlich der in staatlich geförderten Operationen verwendeten CVEs. Wir liefern eine priorisierte Remediation-Roadmap mit Patch-Zeitplänen, die auf Ihren Deployment-Zyklus abgestimmt sind. Engagements dauern in der Regel zwei bis vier Wochen.
Sicherheitsaudit anfragenWas Dev-Teams jetzt tun sollten
| Maßnahme | Zeitplan | Hinweise |
|---|---|---|
| Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP, Ivanti, BeyondTrust Remote Support auf aktuelle Versionen patchen | Diese Woche | Alle fünf stehen auf der QTFY-Ausnutzungsliste und haben aktuelle Hersteller-Patches; eine Verzögerung nach einer veröffentlichten Breach-Operation ist in jedem Compliance-Audit nicht vertretbar |
| Alle Exchange On-Premises-Installationen auf angewendete Cumulative Updates prüfen | Diese Woche | On-Premises-Exchange bleibt ein hochattraktives Ziel; wenn Ihre Organisation keinen monatlichen CU-Rhythmus aufrechterhalten kann, ist eine Cloud-Migration ein risikoarmer als kontinuierliches Self-Hosting |
| Log4j-Abhängigkeiten in allen Diensten suchen, einschließlich transitiver Abhängigkeiten | Dieser Sprint | Das Auftauchen von Log4j in einer 2026er-Operation bedeutet, dass Organisationen es noch betreiben; ein Abhängigkeitsgraph-Scan kostet weniger als ein Incident-Response-Engagement |
| IoT-Geräte in allen Netzwerken inventarisieren und segmentieren | Dieser Sprint | Netzwerksegmentierung, die Kameras, Zutrittskontroll-Hardware und nicht verwaltete Appliances von internen Systemen isoliert, begrenzt das Pivot-Potenzial jedes kompromittierten Geräts |
| SIEM-Alarmschwellen für langandauernde, niedrigvolumige Anomalien überprüfen | Nächster Sprint | Standardmäßige schwellenwertbasierte Alarme verpassen acht Jahre Persistenz; verhaltensbasierte Baselines und Benutzerentitätsanalysen (UEBA) erkennen Anomalien, die Volumenregeln nicht erfassen |
| Zero-Trust-Netzwerkrichtlinien auf cloud-verbundene Workloads anwenden | Nächstes Quartal | Zero Trust entfernt implizites Vertrauen in den Netzwerkstandort und neutralisiert den IP-Spoofing-Vorteil von QTRouter-artiger Proxy-Infrastruktur |
Quellen: US Department of Justice — Justice Department and FBI Seize Platforms Operated and Used by China State-Sponsored Hackers to Target U.S. Critical Infrastructure (DOJ Office of Public Affairs, 26. August 2026); Security Affairs — FBI Seizes China-Linked Hacking Platforms QScan and QTRouter (Security Affairs, 27. August 2026); UPI — DOJ seizes 2 platforms used by China-supported hackers (UPI, 26. August 2026).
FAQ
Was sind QScan und QTRouter?
QScan ist ein automatisierter IoT-Schwachstellen-Scanner und -Infizier, der von der chinesischen staatlichen Gruppe QTFY betrieben wird. Er scannte das Internet nach exponierten IoT-Geräten und kompromittierte automatisch Tausende von ihnen. Die kompromittierten Geräte wurden in QTRouter aufgenommen, ein Proxy-Botnet, das bösartigen Angriffsverkehr über Systeme außerhalb Chinas leitete und so den tatsächlichen Ursprung der Angriffe auf kritische US-Infrastruktur verschleierte.
Welche US-Behörden und Organisationen wurden angegriffen?
Bestätigte Ziele sind NASA, die Federal Reserve, die Ministerien für Energie, Justiz und Gesundheitspflege (HHS), die National Institutes of Health und der US-Senat, sowie Krankenhäuser, Finanzinstitutionen, Telekommunikationsanbieter und Rüstungsunternehmen. Die Operation lief von 2018 bis 2026.
Welche CVEs nutzte QTFY aus, um diese Organisationen zu kompromittieren?
Die Gruppe nutzte bekannte Schwachstellen in gängigen Enterprise-Perimeter-Produkten: Fortinet SSL-VPN, Citrix ADC, Microsoft Exchange, F5 BIG-IP, Apache Log4j, Atlassian Confluence, Check Point Gateways, CrushFTP, Ivanti Appliances und BeyondTrust Remote Support. Sowohl gepatchte als auch neu bekannt gewordene Schwachstellen wurden ausgenutzt, was darauf hindeutet, dass Organisationen regelmäßig versäumten, zeitnahe Updates einzuspielen.
Wie haben FBI und DOJ die Plattformen demontiert?
Das FBI erwirkte gerichtlich autorisierte Beschlagnahmebefehle für drei Domänen, die in beiden Malware-Varianten fest einprogrammiert waren: qtproxy.xyz, qt-proxy.org und qt-team.com. Diese Domänen dienten der Authentifizierung und Command-and-Control. Die Beschlagnahme machte sowohl QScan als auch QTRouter gleichzeitig unbrauchbar, ohne dass Verhaftungen oder physischer Zugang zu überseeischer Infrastruktur erforderlich waren.
Was sollten Enterprise-Softwareteams als Reaktion unternehmen?
Drei sofortige Prioritäten: (1) Alle internetexponierten Appliances auf der CVE-Liste auditieren und patchen — insbesondere Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP, Ivanti und BeyondTrust Remote Support. (2) IoT-Geräte in Entwicklungs-, Staging- und Büronetzwerken inventarisieren und segmentieren — kompromittierte Kameras und Router sind die Bausteine von Proxy-Botnets wie QTRouter. (3) Ausgehende Proxy-Verkehrsmuster auf Verhaltensanomalien prüfen; QTRouter leitet Verkehr über legitim wirkende externe IPs, reine IP-basierte Attribution reicht allein nicht aus.