Belege legen nahe, dass chinesische IT-Sicherheitsunternehmen die Botnetze systematisch erstellen und pflegen. Nach Angaben des NCSC-UK halten die Akteure zahlreiche Netzwerke dauerhaft in einsatzbereitem Zustand für die staatlich gestützten Bedrohungsgruppen des Landes vor. Neben dem fortlaufenden Hinzufügen neuer verdeckter Netzwerke verändern die Betreiber diese auch ständig — als Reaktion auf Abwehr- oder rechtliche Schritte. Erschwerend kommt hinzu, dass mehrere China-nahe Gruppen dasselbe Botnetz zeitgleich nutzen können, was die Identifizierung und Blockierung durch Verteidiger zusätzlich behindert.
Laut der Warnung greifen klassische Abwehransätze wie das statische Blockieren bösartiger IP-Adressen ins Leere, wenn ein Akteur aus einem von vielen verdeckten Netzwerken agieren kann — „jedes mit potenziell Hunderttausenden Endpunkten und jedes von mehreren Bedrohungsakteuren genutzt". Verschärft werde dies durch die dynamische Natur der Netzwerke, in die laufend neue Knoten aufgenommen würden, sobald alte Geräte gepatcht oder ausgemustert seien.
Die meisten dieser Botnetze bestehen aus kompromittierten SOHO-Routern, können aber auch andere verwundbare Edge-Technologien umfassen: IoT-Geräte, Webcams, Videorekorder, Router ohne Herstellerunterstützung, Firewalls und netzgebundene Speicher (NAS).
Matthew Hartman, Chief Strategy Officer bei Merlin Group, spricht von der „Industrialisierung von Botnetzen". Chinesische Akteure setzten wahrscheinlich auf Arbeitsteilung: Manche Gruppen kompromittierten und pflegten große Bestände an SOHO-Routern und IoT-Geräten und gäben den Zugang dann für Operationen weiter oder vermieteten ihn. Dieses Modell erhöhe Skalierbarkeit und Abstreitbarkeit zugleich. Den Zeitpunkt der Warnung führt Hartman eher auf Umfang und Reife der chinesischen Botnetz-Nutzung zurück als auf etwas grundlegend Neues; russische und iranische Gruppen hätten ähnliche Taktiken eingesetzt, doch Maßstab und Tempo der chinesischen Operationen hoben sich davon ab.
Bradley Smith, Senior Vice President und stellvertretender CISO bei BeyondTrust, sieht Parallelen zum Geschäftsmodell der Initial Access Broker in der Cyberkriminalität — mit dem Unterschied, dass die Aktivität hier staatlich gestützt sei. Chinesische Operationen hätten ein Lieferketten-Modell für offensive Infrastruktur übernommen: spezialisierte oder beauftragte Teams kompromittierten und pflegten große Gerätebestände und stellten den Zugang dann je nach Auftrag einzelnen Einheiten bereit. Die Spezialisierung auf jeder Stufe erschwere die Zuordnung und mindere die Wirkung von Abschaltungen: „Das Entfernen eines einzelnen operativen Nutzers berührt den zugrundeliegenden Infrastruktur-Pool nicht."
Der Ansatz funktioniere, so Smith, weil die betroffenen Consumer-Geräte dieselben strukturellen Schwächen teilten: voreingestellte Zugangsdaten, seltene Updates, keine zentrale Verwaltung und Besitzer, die nicht wissen, dass ihre Geräte aus dem Internet erreichbar sind. Sorgen über absichtlich eingebaute Schwächen in im Ausland gefertigten Routern hätten die US-Regierung jüngst dazu bewogen, den Import neuer, außerhalb der USA gefertigter Router-Modelle zu verbieten.
Die beteiligten Behörden empfehlen Organisationen, sich ein klares Bild ihrer Edge-Geräte und der damit verbundenen Systeme zu verschaffen und normale Verbindungen — etwa aus Firmen-VPNs — als Referenz zu erfassen, um Auffälligkeiten wie Verbindungen aus einem privaten Breitbandbereich zu erkennen. Größere Organisationen sollten geografische IP-Freigabelisten aufbauen, eingehende Verbindungen anhand von Betriebssystem, Zeitzone und Konfiguration profilieren und Zero-Trust-Richtlinien umsetzen.
John Gallagher, Vice President von Viakoo Labs bei Viakoo, mahnt, die Bedrohung nicht ausschließlich staatlichen Gruppen zuzuschreiben: Cyberkriminelle betrieben seit Jahren „Botnetz-Armeen zur Miete", was sich am Wachstum von DDoS-Angriffen zeige. Organisationen sollten sich weniger auf das „Wer" konzentrieren als auf das „Was" und das „Was tun".