Die eidesstattliche Erklärung des Justizministeriums nennt über die Bundesbehörden hinaus eine lange Opferliste: das Gesundheitsministerium (Department of Health and Human Services), die National Institutes of Health sowie mehrere Krankenhäuser, Telekommunikationsanbieter, Energieversorger, Finanzinstitute und Rüstungsunternehmen.
Brett Leatherman, Assistant Director beim FBI, erklärte, QTFY habe Geräte in mehr als 130 Ländern ausgenutzt und bewege sich „in einem komplexen Netzwerk aus Auftragshackern und staatlichen Kunden in China". Zu Nanjing Xinjiuwei sagte er, das Unternehmen „verkauft gestohlene Daten und Hacking-Dienstleistungen an chinesische Militär- und Geheimdienstbehörden". Zum Angebot gehöre „eine Scan-Plattform, die das Internet nach verwundbaren smarten Geräten wie Heimroutern und Überwachungskameras durchsucht, Tausende davon infiziert und in ein Botnetz einspeist – ein Netz von Maschinen, das der Gegner heimlich kontrolliert". Laut FBI hatte QTFY zudem nicht näher benannte Kunden außerhalb der chinesischen Regierung.
Die Ermittler verfolgen die Infrastruktur von QTFY nach eigenen Angaben seit 2018. Den vorläufigen Endpunkt bildete ein Angriff auf den US-Senat in diesem Jahr. Welche Senatoren oder Ausschüsse betroffen waren, geht aus der eidesstattlichen Erklärung nicht hervor; auf Anfragen reagierte das DOJ nicht.
Zu den ersten vom FBI untersuchten Fällen zählt ein Vorfall bei der NASA im Jahr 2019. Dabei versuchten Angreifer, eine Schwachstelle in Pulse Secure VPN auszunutzen. Die verwendeten IP-Adressen führten die Ermittler zu Standorten und E-Mail-Adressen in China zurück.
Technisch setzte die Aktion an den Domains an, die in beiden Plattformen fest kodiert waren und für Kommunikation und Authentifizierung gebraucht wurden. Mit deren Beschlagnahme seien QScan und QTRouter unbrauchbar geworden, teilten FBI und Justizministerium mit.
Justizministerium und FBI sind wiederholt gegen vergleichbare Plattformen vorgegangen, mit denen staatlich gestützte Akteure ihre Angriffe auf US-Institutionen verschleiern. In früheren Fällen erwirkten US-Strafverfolger Gerichtsbeschlüsse, die es Regierungsmitarbeitern erlaubten, direkt auf betroffene Geräte zuzugreifen und dort von chinesischen wie russischen Hackern installierte Schadsoftware zu entfernen. Im vergangenen Jahr entfernte das FBI die Spionagesoftware PlugX von Tausenden Computern in den USA; 2024 zerschlug die Behörde mehrere Botnetze, die den bekannten chinesischen Regierungsoperationen Volt Typhoon und Flax Typhoon zugerechnet werden.