Die beiden zentralen Werkzeuge greifen ineinander. QScan durchsucht weltweit IoT-Geräte, nutzt Schwachstellen aus und infiziert sie automatisch; die gekaperten Systeme werden anschließend dem QTRouter-Netz hinzugefügt. Laut FBI dient QScan zugleich dazu, Schwachstellen in Opfernetzwerken zu identifizieren. Mit Botnetz-Produkten kontrolliert QTFY die kompromittierten Geräte und bindet sie als Proxy-Knoten ein — was es den Akteuren erlaubt, sich beim Angriff auf Zielorganisationen unter legitime Nutzer zu mischen.
QTRouter selbst besteht aus den übernommenen Geräten sowie aus Geräten kommerzieller Proxy-Dienste und gemieteten virtuellen Servern (VPS). Es funktioniert als Verschleierungsnetz: Der Datenverkehr von QTFY und weiteren chinesischen Akteuren wirkt so, als käme er von Endpunkten außerhalb Chinas — möglicherweise sogar aus der Nähe des angegriffenen Netzwerks.
Technisch läuft QTRouter auf Routern mit angepasster OpenWrt-Software und authentifiziert sich gegenüber Administrationsservern unter “www.qtproxy[.]xyz” und “securelink.qtproxy[.]xyz”. Für die Proxy-Verbindungen kommt Clash zum Einsatz. Bedienern erlaubt das System, verfügbare Knoten einzusehen und mehrere Knoten hintereinanderzuschalten. Das FBI erklärt, durch die Vermischung des schädlichen mit legitimem Verkehr auf kommerziellen Proxy-Diensten und die Nutzung der Standorte echter Nutzer über kompromittierte IoT-Geräte werde die Aktivität schwer erkenn- und nachverfolgbar.
Gesteuert werden die Botnetze über drei größere Plattformen: Proxy Platform Management, Proxy Pool Management System und QTBotnet. Letzteres umfasst einen Controller-Server, Kontrollserver der zweiten Ebene zur Kommunikation zwischen Hauptserver und infizierten Geräten sowie die kompromittierten Geräte selbst. Der Kontrollserver kann zudem DDoS-Angriffe starten und Befehle auf infizierten Knoten ausführen.
Die beschlagnahmten Domains waren fest in beide Produkte einprogrammiert — mit der gerichtlich angeordneten Maßnahme stellten sie ihren Betrieb ein. Lumen beschreibt die verteilte Architektur als Verbund aus QScan, QTRouter und zwei weiteren Komponenten und vergleicht sie mit einer Operational Relay Box (ORB): einem dezentralen Netz aus infizierten IoT-Geräten und gemieteten VPS, über das Angriffsverkehr mit wechselnden IP-Adressen geleitet wird und klassische Abwehrmaßnahmen wie IP-Sperrlisten oder standortbasierte Regeln umgangen werden.
Seit der Gründung 2018 habe QTFY Schadwerkzeuge entwickelt, Malware und Exploits in freiberuflichen Hacker-Netzwerken gehandelt, ein Verschleierungs-Botnetz aufgebaut und betrieben und schließlich kritische Systeme in den USA angegriffen, so das FBI. Nanjing bezeichnet die Behörde als ermöglichendes Unternehmen mit Geschäftsbeziehungen zu größeren privaten chinesischen Cyberfirmen, das ehemalige PLA-Angehörige beschäftigt und deren Kontakte nutzt, um Aufträge im Bereich kritischer Infrastruktur zu erhalten. QTFY-Akteure sollen sich außerdem an chinesischen Vermittlungsnetzwerken beteiligt haben, um Exploits und Zugänge zu Opfernetzwerken zu kaufen und zu verkaufen. Angriffe bis Juni 2026 richteten sich demnach gegen ein US-Wahlsystem.
Lumen zufolge waren die Ziele über die gesamte westliche Welt und darüber hinaus verteilt, mit besonderem Fokus auf akademische Einrichtungen: “Sie lieben es, Forschungsgemeinschaften zu treffen, angesichts des kollaborativen Charakters fortgeschrittener Wissenschaft.” Die Operationen zeigten den hohen Industrialisierungsgrad chinesischer Cyberoperationen — weg von fragmentierten Ad-hoc-Aufbauten, hin zu gemeinsam genutzten Mehrmandanten-Netzen, die komplexe Kampagnen anonym, schnell und global ermöglichten. Da die Transitwege über legitime, bezahlte Abonnements kommerzieller Proxy-Dienste beschafft würden, reichten statische Sperren nicht mehr aus.