Die beschlagnahmten Domains waren nach Angaben des Justizministeriums fest in die Schadsoftware von QScan und QTRouter einprogrammiert und dienten dort zentralen Aufgaben wie Kommunikation und Authentifizierung. „Weil die beschlagnahmten Domains in beide Schadprogramme fest einkodiert waren und für wesentliche Aufgaben wie Kommunikation und Authentifizierung genutzt wurden, haben die gerichtlich genehmigten Beschlagnahmen QScan und QTRouter funktionsunfähig gemacht", erklärte das Ministerium.
Das technische Advisory des FBI zeichnet das Geschäftsmodell der Gruppe nach: QTFY entwickelt eigene Angriffswerkzeuge, handelt mit Schadsoftware und Exploits und unterhält Botnetze für ihre Operationen. Zu den bevorzugten Zielbereichen zählen die Rüstungsindustrie, Kommunalverwaltungen, Telekommunikationsunternehmen und Hochschulen.
Ein Teil der Angriffe auf besonders sensible Netzwerke scheiterte laut FBI. Dazu gehören Versuche gegen das Energieministerium, Wahlsysteme, das Gesundheitsministerium (Department of Health and Human Services), den US-Senat, ein Kinderkrankenhaus, einen Halbleiterhersteller und ein Energieversorgungsunternehmen.
Andere Angriffe waren zumindest teilweise erfolgreich. Die Behörde nennt hier die NASA, das Justizministerium, die Federal Reserve, das Energieministerium, mehrere Bundesstaatsregierungen, einen großen Einzelhändler, ein Telekommunikationsunternehmen, Rüstungsauftragnehmer, Universitäten und Finanzinstitute.
Für den Erstzugang nutzten die Akteure Schwachstellen in einer breiten Palette verbreiteter Unternehmenssoftware. Beobachtet wurde die Ausnutzung von Produkten der Hersteller BeyondTrust, CrushFTP, Ivanti, Check Point, Atlassian, Kentico, F5, Microsoft, Citrix, Fortinet und Pulse Secure.
Das FBI ordnet QTFY zugleich in das chinesische Ökosystem privater Auftragshacker ein: „QTFY-Akteure sind in der Exploit-Entwicklergemeinde, in freiberuflichen Hackernetzwerken der Volksrepublik China sowie auf den dortigen Märkten für Cyber-Auftrags- und Unterauftragsvergabe aktiv", heißt es in der Warnung. Die Gruppe nehme außerdem „auf der offensiven Seite an Angriffs- und Verteidigungsübungen gegen chinesische kritische Infrastruktur" teil.
Darüber hinaus weist das FBI auf geschäftliche Verbindungen hin: Das hinter QTFY stehende Unternehmen unterhielt Beziehungen zu verschiedenen Akteuren, die mit der Cyberspionagegruppe Salt Typhoon und der Einbruchsfirma i-Soon in Verbindung stehen, sowie zu weiteren Einrichtungen.