Laut der eidesstattlichen Erklärung, die die Maßnahme stützt, betrieb QTFY über die Domains qtproxy[.]xyz, qt-proxy[.]org und qt-team[.]com die beiden Plattformen: QScan wird als „Scan- und Exploitation-Plattform" beschrieben, QTRouter als „Verschleierungsnetzwerk". Alle drei Domains sind beschlagnahmt und zeigen inzwischen einen Hinweis der Strafverfolgungsbehörden.
Black Lotus Labs stieß bei der Verfolgung der Infrastruktur auf die Komponenten des Frameworks, die gegen US-amerikanische kritische Infrastruktur eingesetzt wurden. Nach Darstellung der Forscher bot der Anbieter einen wiederverwendbaren Dienst aus vier unterschiedlichen operativen Elementen an. Damit seien Militär- und Verteidigungsorganisationen, Regierungsnetzwerke, Universitäten und Forschungseinrichtungen, Luft- und Raumfahrt- sowie Bioinformatik-Organisationen, Gesundheitseinrichtungen, Finanzunternehmen, kritische Infrastruktur, Energieversorger und Anbieter von Unternehmenssoftware profiliert und Daten aus ihnen entwendet worden.
„Lumen Technologies möchte das FBI und das Justizministerium für ihre Anstrengungen loben, chinesische Cyberaktivitäten gegen US-amerikanische kritische Infrastruktur zu bekämpfen", heißt es im Bericht. Während der Untersuchung habe Black Lotus Labs Erkenntnisse geteilt, um Behörden in der gesamten US-Regierung vor Risiken für strategische Ressourcen zu warnen. Zusätzlich hat das Team den Verkehr zu bekannten Infrastrukturpunkten der Betreiber per Null-Routing unterbrochen.
Nach Einschätzung von Lumen industrialisierte der „Quartiermeister" den Aufbau von Operational-Relay-Box-Netzwerken (ORB) für China-nahe Spionageakteure. ORBs sind dezentrale Netzwerke aus kompromittierter Infrastruktur — etwa SOHO-Router, IoT-Geräte, VPS-Server und kommerzielle Proxy-Knoten —, über die bösartiger Verkehr weitergeleitet und seine tatsächliche Herkunft verschleiert wird. QTFY verkaufte den Zugang zu QScan und QTRouter zudem an andere Akteure, die damit angreifbare IoT-Geräte scannen und ausnutzen konnten; diese Geräte ließen sich anschließend als Botnet-Knoten einbinden, sodass der Verkehr über Geräte legitimer Nutzer lief.
Chinesische Akteure setzen ORBs seit 2024 verstärkt ein und haben diese Aktivität im laufenden Jahr weiter intensiviert. Im Fall des „Quartiermeisters" wurde jedoch kein herkömmliches ORB-Netz aus tausenden kompromittierten Geräten aufgebaut: Die Plattform kaufte stattdessen Premium-Zugang zu ausgewählten Knoten des chinesischen kommerziellen Proxy-Dienstes fastlink.ws. Diese Knoten bildeten Fast Labyrinth, ein ORB-artiges Relay-Netzwerk, das Spionageverkehr mit legitimem Consumer-Proxy-Verkehr mischte und seine Ausgangsinfrastruktur automatisch rotierte.
Als stärksten Beleg für die Verbindung zwischen Aufklärung und Folgeoperationen führen die Forscher die Überschneidung zwischen QScan-Zielen und Organisationen an, die später über Fast Labyrinth kontaktiert wurden. Die beobachteten bidirektionalen Verbindungen aus dem Proxy-Netzwerk stünden wahrscheinlich für versuchte Ausnutzung, Lateral Movement, dauerhaften Zugang oder Datensammlung.
So bedeutsam die Abschaltung sei — statisches Blockieren allein dürfte laut Lumen wenig helfen, da der Verkehr des Quartiermeisters durch dynamisch rotierende kommerzielle Proxy-Dienste läuft. Verteidigern empfehlen die Forscher, den Leitlinien von CISA und NCSC zur Abwehr China-naher Bedrohungen zu folgen sowie Router, Firewalls und IoT-Geräte aktuell und sicher konfiguriert zu halten.