Nach Einschätzung des NCSC nutzt die Mehrheit der China-nahen Akteure solche Netzwerke. Es seien mehrere verdeckte Netze aufgebaut worden, die fortlaufend aktualisiert würden; ein einzelnes verdecktes Netz könne dabei von mehreren Akteuren gemeinsam genutzt werden. Diese Netze bestünden überwiegend aus kompromittierten SOHO-Routern sowie aus IoT- und Smart-Geräten.
Als Beispiel nennt die Mitteilung das Botnetz Raptor Train, das 2024 weltweit mehr als 260.000 Geräte infizierte. Die FBI brachte es mit Aktivitäten der staatlich gestützten chinesischen Gruppe Flax Typhoon sowie mit dem chinesischen Unternehmen Integrity Technology Group in Verbindung, das im Januar 2025 sanktioniert wurde. Mit Unterstützung von Forschern der Black Lotus Labs zerschlug die FBI Raptor Train im September 2024, nachdem es mit Kampagnen gegen Ziele in den Bereichen Militär, Regierung, Hochschulwesen, Telekommunikation, Rüstungsindustrie (DIB) und IT vorwiegend in den USA und Taiwan in Verbindung gebracht worden war.
Ein weiteres Netz, das KV-Botnet, wurde von der ebenfalls staatlich gestützten chinesischen Gruppe Volt Typhoon eingesetzt. Es bestand vor allem aus verwundbaren Cisco- und Netgear-Routern, die veraltet waren und keine Sicherheitsupdates mehr erhielten. Die FBI legte auch dieses Netz im Januar 2024 still, indem sie die Schadsoftware von den betroffenen Routern entfernte. Volt Typhoon begann das Netz nach einem zunächst gescheiterten Versuch im Februar ab November 2024 langsam wieder aufzubauen.
“Botnetz-Operationen stellen eine erhebliche Bedrohung für das Vereinigte Königreich dar, da sie Schwachstellen in alltäglichen internetfähigen Geräten ausnutzen und das Potenzial für groß angelegte Cyberangriffe bergen”, erklärte Paul Chichester, Operationsdirektor des NCSC-UK.
Die beteiligten westlichen Nachrichtendienste warnen, dass klassische Abwehrkonzepte, die auf dem Blockieren statischer Listen schädlicher IP-Adressen beruhen, zunehmend ins Leere laufen, weil die Botnetze laufend neue kompromittierte Knoten aufnehmen. Organisationen jeder Größe wird stattdessen geraten, Mehr-Faktor-Authentifizierung einzuführen, ihre Geräte am Netzwerkrand zu erfassen, dynamische Bedrohungsdaten mit bekannten Indikatoren verdeckter Netze einzubinden und nach Möglichkeit IP-Positivlisten, Zero-Trust-Kontrollen und die Prüfung von Maschinenzertifikaten umzusetzen.