Das US-Justizministerium und das FBI haben am 26. August 2026 gerichtlich genehmigte Domainbeschlagnahmen gegen die Plattformen QScan und QTRouter bekanntgegeben. Die Werkzeuge sollen von der als QTFY bezeichneten Hackergruppe geschaffen und betrieben worden sein. Nach den im Southern District of California öffentlich gemachten Gerichtsunterlagen arbeitete die Gruppe für die chinesische Firma Nanjing Xinjiuwei Network Technology und bot unter anderem staatlichen Auftraggebern Hackerdienstleistungen an. Die Bekanntgabe beschreibt eine technische Unterbrechung, keine in dieser Mitteilung gemeldete Festnahme oder strafrechtliche Verurteilung bestimmter Personen.
Zwei Plattformen mit ergänzenden Aufgaben
Nach Darstellung der Behörden hatten QScan und QTRouter unterschiedliche, aber aufeinander abgestimmte Aufgaben. QScan suchte weltweit nach vernetzten Geräten und infizierte Tausende davon automatisch. Die betroffenen Internet-of-Things-Geräte wurden in das von QTFY kontrollierte Netz eingebunden. QTRouter nutzte solche kompromittierten Geräte gemeinsam mit kommerziellen Proxydiensten und gemieteten virtuellen Servern. Der Bericht erläutert diese Arbeitsteilung auf allgemeiner Ebene und enthält keine Schwachstellenanleitungen, Angriffsbefehle oder Schadsoftwarebestandteile.
Ein Netz zur Verschleierung von Angriffsursprüngen
Das kombinierte Netz diente nach den Gerichtsunterlagen vor allem der Verschleierung. Angriffe sollten für Zielsysteme nicht wie unmittelbar aus China kommende Verbindungen aussehen, sondern wie Datenverkehr von anderen, teilweise örtlich näheren Rechnern. Die geografische Erscheinung einer Verbindung wäre damit von ihrem tatsächlichen steuernden Ursprung getrennt worden. Das erklärt, weshalb ein aus vielen fremden Geräten zusammengesetztes Netz für die Ermittlungen relevant war. Nicht jeder Eigentümer eines missbrauchten Geräts war deshalb selbst ein bewusster Angreifer.
Behauptete Auftraggeber und staatliche Zuordnung
Zu den zahlenden Kunden von QTFY zählen die Unterlagen nach Darstellung des Justizministeriums das chinesische Ministerium für Staatssicherheit und die Volksbefreiungsarmee. Diese Zuordnung bezieht sich auf die konkret untersuchte Gruppe und ihre behaupteten Auftraggeber. Sie ist keine pauschale Aussage über chinesische IT-Unternehmen oder Nutzer. Die Behördenmitteilung wurde nachträglich so bearbeitet, dass sie den Charakter als staatliche Behauptungen in der Beschlagnahmebegründung zutreffend wiedergibt. Eine technische Maßnahme ist nicht mit einem abgeschlossenen Strafprozess gleichzusetzen.
Ziel ist nicht automatisch bestätigtes Opfer
Als Ziele der Aktivitäten werden unter anderem NASA, die Federal Reserve, das Energieministerium, das Justizministerium, das Gesundheitsministerium, die National Institutes of Health und der US-Senat genannt. Die Bezeichnung als Ziel bedeutet nicht automatisch, dass bei jeder dieser Einrichtungen erfolgreich Daten gestohlen oder alle Netze vollständig kompromittiert wurden. Die Mitteilung veröffentlicht keine abschließende organisationsbezogene Schadensbilanz. Deshalb wird die Zielliste nicht als Liste bestätigter Datenabflüsse mit erfundenen Mengen ausgegeben.
Warum die Domainübernahme die Plattformen traf
Die beschlagnahmten Domains waren nach den Unterlagen fest in den beiden Plattformen hinterlegt und für Kommunikation sowie Authentifizierung wesentlich. Ihre Übernahme machte QScan und QTRouter nach Behördenangaben funktionsunfähig. Das ist das konkret berichtete technische Ergebnis. Daraus folgt nicht, sämtliche anderen Werkzeuge der Gruppe oder alle chinesisch zugeordneten Cyberaktivitäten seien beendet. Auch eine Aussage über den dauerhaft vollständigen Schutz sämtlicher früherer Zielsysteme wäre weitergehend als die veröffentlichte Feststellung.
Sicherheitshinweise und frühere Operationen
Zeitgleich veröffentlichten FBI und NSA einen Sicherheitshinweis mit Erkennungsmerkmalen aus der Analyse von Aktivitäten, die nach ihrer Bewertung mindestens bis 2018 zurückreichen. Daneben erschien eine Untersuchung von Black Lotus Labs, der Bedrohungsanalysegruppe von Lumen Technologies. Der Hinweis auf die länger beobachteten Aktivitäten ist von dem Datum der jetzt genehmigten Domainmaßnahme zu unterscheiden. Eine rückwirkende exakte Zahl aller Angriffe seit 2018 oder sämtlicher infizierter Geräte lässt sich aus der Mitteilung nicht gewinnen.
Das Justizministerium ordnete die Aktion einer Reihe früherer technischer Maßnahmen zu. Es verwies auf die Entfernung von PlugX von mehr als 4.000 US-Rechnern im Jahr 2025 sowie auf separate Botnetzmaßnahmen gegen Flax Typhoon 2024 und Volt Typhoon 2023. Diese Vorgänge gehören zu anderen beschriebenen Operationen und werden nicht als zusätzliche QTFY-Infektionen gezählt. Sie liefern einen zeitlichen Kontext der US-Cyberabwehr, ersetzen aber keine eigenständige Prüfung jeder historischen Maßnahme.
Zuständige Stellen und dokumentiertes Ergebnis
Die Untersuchung und Unterbrechung führten das FBI-Büro in San Diego, die Cyber Division, die Bundesstaatsanwaltschaft für den Southern District of California und die National Security Cyber Section des Justizministeriums. Zum veröffentlichten Stand liegen die gerichtlich autorisierten Beschlagnahmen und die behördliche Bewertung ihrer Wirkung vor. Eine konkrete Anklage gegen namentlich bezeichnete Einzelpersonen wird nicht berichtet. Für die weitere Recherche sind deshalb die veröffentlichten Gerichtsunterlagen, der Sicherheitsbericht und die klar voneinander getrennten technischen Ergebnisse entscheidend.
