Laut der eidesstattlichen Versicherung arbeitet QTFY – auch als QT beziehungsweise QTCYBER geführt – für das private chinesische Unternehmen Nanjing Xinjiuwei Network Technology Co. Zahlungen des Ministeriums für Staatssicherheit (MSS) deuten den Ermittlern zufolge darauf hin, dass die Firma bösartige Cyberaktivitäten im Auftrag Pekings durchführt.
Die Gruppe soll seit 2018 aktiv sein. Ihre Infrastruktur wurde genutzt, um kritische und sensible Netzwerke in den USA und im Ausland zu kompromittieren. Neben Netzwerken der US-Bundesbehörden nahm QTFY Krankenhäuser, Telekommunikationsanbieter, Energieversorger, Finanzinstitute und Rüstungsunternehmen ins Visier.
Beschrieben wird der Akteur als technischer Quartiermeister: Er stellt Aufklärung, Proxy-Verwaltung und operatives Traffic-Routing bereit und unterstützt damit chinesische Cyberspionage. Zwei Kernprodukte prägen sein Arsenal – QScan, eine Plattform zum Scannen und Ausnutzen von Schwachstellen, sowie QTRouter, ein Netzwerk zur Verschleierung.
In einem Fall aus dem Jahr 2019 soll die Gruppe versucht haben, in Systeme der NASA einzudringen. Ausgenutzt wurde dabei CVE-2019-11510, eine kritische Schwachstelle in Pulse Secure VPN.
Das FBI hat inzwischen die Domains qtproxy[.]xyz, qt-proxy[.]org und qt-team[.]com übernommen, die mit QScan und QTRouter verknüpft waren, und damit die Funktionen der Schadsoftware wirksam ausgehebelt.
Lumen Black Lotus Labs zufolge hat QTFY den Aufbau sogenannter Operational-Relay-Box-Netzwerke (ORB) für China-nahe Spionageoperationen industrialisiert. Entstanden ist ein dezentrales Botnetz aus infizierten IoT-Geräten und angemieteten virtuellen Servern, mit dem sich der tatsächliche Ursprung der Aktivitäten verschleiern lässt.
QTFY verkauft den Zugang zu QScan und QTRouter auch an andere Akteure, die damit verwundbare IoT-Geräte aufspüren und übernehmen können. Sowohl QTFY selbst als auch dessen Kunden gliedern die gekaperten Geräte anschließend als Knoten in QTRouter ein. Zum Netzwerk gehören zudem Knoten des kommerziellen chinesischen Proxy-Dienstes fastlink[.]ws. Diese Architektur bildet die Grundlage von Fast Labyrinth, einem verschlüsselten Relay-Netzwerk, das bösartigen Datenverkehr mit legitimem Netzwerkverkehr vermischt.
„Indem sie ihren bösartigen Internetverkehr über IoT-Geräte leiten, die von QScan kompromittiert wurden und sich in der Nähe ihrer Opfer befinden, können diese chinesischen Hacker sich unter legitime Nutzer mischen und unentdeckt bleiben, während sie kritische Infrastrukturen und andere Ziele scannen und angreifen", heißt es in der eidesstattlichen Versicherung.