news.bitcoin.com
FBI nimmt QScan und QTRouter vom Netz
Die Bundesbehörden haben am 26. August zwei miteinander vernetzte Hacking-Plattformen außer Betrieb gesetzt, indem sie Domains beschlagnahmten, die für deren Kommunikations- und Authentifizierungsfunktionen unerlässlich waren. Das Justizministerium gab bekannt, dass QScan und QTRouter auf kritische Infrastrukturen und sensible Netzwerke abzielten, die von der NASA, der Federal Reserve, dem Energieministerium, dem Justizministerium, dem Ministerium für Gesundheit und Soziales, den National Institutes of Health und dem US-Senat betrieben werden.
Gerichtsakten führen die Plattformen auf QTFY zurück, eine vom chinesischen Staat geförderte Hackergruppe, die von der Nanjing Xinjiuwei Network Technology Company beschäftigt wird. In der eidesstattlichen Erklärung des FBI zur Begründung der Domain-Beschlagnahmungen wird behauptet, dass QTFY Hacking-Dienstleistungen an Kunden verkauft habe, zu denen unter anderem das chinesische Ministerium für Staatssicherheit und die Volksbefreiungsarmee gehörten. Drei beschlagnahmte Domains waren fest in die Plattformen integriert, wodurch die Operation beide Systeme außer Betrieb setzen konnte. Die Beschlagnahmungen legten eine Infrastruktur lahm, die Hackern angeblich dabei half, anfällige Systeme zu identifizieren und ihre Verbindungen zu den Zielnetzwerken zu verschleiern. Generalstaatsanwalt Todd Blanche erklärte:
„Die Bundespolizei hat die bösartige Software der VR China untersucht und deaktiviert – dies ist der jüngste Schritt in einer Reihe technischer Operationen zur Zerschlagung wahlloser Hacking-Aktivitäten, die von der Volksrepublik China gefördert werden.“
QScan identifizierte Ziele, während QTRouter Angriffe verschleierte
Die beiden Plattformen erfüllten unterschiedliche Funktionen innerhalb eines integrierten Systems zur Aufklärung, Ausnutzung von Schwachstellen und Verschleierung des Datenverkehrs. In der gemeinsamen Cybersicherheitswarnung des FBI, der National Security Agency und der Cyber National Mission Force heißt es, dass QScan mehr als 200 Proof-of-Concept-Exploits enthielt und an einem Tag im Jahr 2024 über 2 Millionen Scan- und Penetrationstest-Aufgaben verarbeitete. Im Rahmen einer Kampagne im Mai 2024 wurden Daten von mehr als 300 Organisationen weltweit abgezogen. QScan kompromittierte automatisch anfällige, mit dem Internet verbundene Geräte und fügte sie QTRouter hinzu, das die gekaperten Geräte mit kommerziellen Proxy-Diensten und gemieteten virtuellen privaten Servern kombinierte. Black Lotus Labs analysierte die Infrastruktur von QTFY und beschrieb die Gruppe als Infrastrukturanbieter, der chinesische Cyberoperationen unterstützt. Durch die Weiterleitung des Datenverkehrs über Geräte in der Nähe der Opfer wurde der Anschein erweckt, dass die böswilligen Kommunikationen von legitimen lokalen Nutzern stammten. FBI-Direktor Kash Patel sagte:
„Heute haben wir die Zerschlagung eines globalen Botnetzes und einer Hacking-Plattform bekannt gegeben, die von staatlich geförderten Hackern aus China genutzt wurden, um kritische Infrastrukturen in den USA anzugreifen. Diese Tools wurden von Cyberakteuren aus der VR China eingesetzt, um die Herkunft ihrer Angriffe zu verschleiern.“
Kompromittierte Router und andere Geräte des Internets der Dinge haben auch finanziell motivierte Cyberkriminalität außerhalb staatlich geförderter Operationen unterstützt. Die Behörden hatten zuvor ein Proxy-Netzwerk zerschlagen, das 369.000 gehackte Geräte in 163 Ländern umfasste. Dieses Netzwerk ermöglichte es Kriminellen, Aktivitäten wie die Übernahme von Kryptowährungskonten, Bankbetrug, Ransomware und andere Betrugsmaschen zu verschleiern und dabei mehr als 5,7 Millionen US-Dollar für ihre Betreiber zu erwirtschaften.
Operation erweitert Kampagne zur Zerschlagung der Infrastruktur
Die jüngsten Beschlagnahmungen folgen auf mehrere gerichtlich genehmigte Operationen, die auf staatlich geförderte chinesische Cyberinfrastruktur abzielten. Im Januar 2025 gab das FBI bekannt, dass es die Überwachungs-Malware „PlugX“ von etwa 4.258 US-amerikanischen Systemen entfernt habe, die von „Mustang Panda“ infiziert worden waren. Die Bundesbehörden haben zudem im Jahr 2024 ein „Flax Typhoon“-Botnetz außer Betrieb gesetzt und im Jahr 2023 ein „Volt Typhoon“-Botnetz gestört. Der Ansatz der US-Bundesbehörden im Umgang mit ausländischen Cyberbedrohungen geht zudem über herkömmliche, gerichtlich genehmigte Beschlagnahmungen und Operationen zur Malware-Entfernung hinaus. Ein Präsidialmemorandum vom 12. August ordnete die Schaffung eines von der Bundesregierung beaufsichtigten Programms zur Cyber-Störung an, das geprüften US-Unternehmen ermöglicht, Einsätze gegen ausländische kriminelle Netzwerke vorzuschlagen, wobei den Beamten 60 Tage Zeit gegeben wurden, um Zulassungskriterien, Verfahren zur Überprüfung der Ziele und Sicherheitsvorkehrungen festzulegen.
Ermittler der Bundesbehörden haben zunehmend Konten, Server, Domains und Netzwerkverbindungen lahmgelegt, die ausländische Cyberoperationen ermöglichen. Im Rahmen einer separaten Initiative im Mai beteiligten sich Technologieunternehmen an einer Operation des Justizministeriums, bei der mehr als 1,4 Millionen mit Betrugsfällen in Verbindung stehende Konten gesperrt wurden. Die Teilnehmer blockierten zudem bösartigen Internetverkehr, nahmen Hosting-Infrastruktur außer Betrieb und halfen dabei, Kryptowährungen im Wert von mehr als 3,8 Millionen US-Dollar einzufrieren.
Einzelne Nutzer sind anderen Risiken ausgesetzt als raffinierte Gruppen, die es auf Regierungsbehörden und kritische Infrastrukturen abgesehen haben, auch wenn beide Malware und kompromittierte Geräte ausnutzen können. Zu den gängigen Schutzmaßnahmen gehören das Aktualisieren von Software, das Vermeiden verdächtiger Downloads und das Überprüfen von Websites, bevor sensible Informationen eingegeben werden. Phishing und gefälschte Websites können Malware installieren oder Passwörter offenlegen, während veraltete Router Angreifern eine Infrastruktur bieten können, um separate Eindringversuche zu verschleiern.