USA zerschlagen chinesisches Proxy-Hacking-Botnetz, das NASA, Senat und Bundesbehörden angreift

Infrastruktur lahmgelegt

Das US-Justizministerium gab am 26. August 2026 bekannt, dass Bundesbehörden Domains beschlagnahmt haben, die von zwei chinesischen Hacking-Plattformen, QScan und QTRouter, genutzt wurden. Gerichtsdokumente identifizieren den Betreiber als QTFY, eine Hacking-Einheit, die vom chinesischen Auftragnehmer Nanjing Xinjiuwei Network Technology Company verwaltet wird. Das Unternehmen bot offensive digitale Dienste für chinesische staatliche Stellen an, darunter das Ministerium für Staatssicherheit und die Volksbefreiungsarmee. Ermittler erklärten, dass die Infrastruktur seit mindestens 2018 genutzt wurde, um in Regierungsnetzwerke und kritische Infrastruktur in den USA und im Ausland einzudringen. Generalstaatsanwalt Todd Blanche skizzierte die bundesstaatliche Durchsetzungsreaktion nach der Operation.

Staatlich geförderte Hacker, die Amerikas kritische Infrastruktur angreifen, werden gestoppt und zur Rechenschaft gezogen. Wir sind hier, um Amerikaner zu schützen, und werden jedes verfügbare Mittel einsetzen, um dieses Versprechen zu erfüllen.

Betroffene Behörden und kritische Sektoren

Gerichtsakten beschreiben Einbrüche in mehrere Bundesbehörden und private Unternehmen. Im August 2019 versuchten Betreiber, in NASA-Systeme einzudringen, während im selben Jahr ein begrenzter Einbruch die Federal Reserve traf. Im September 2024 drang die Kampagne in Netzwerke von drei Laboren des Energieministeriums, des Gesundheitsministeriums, der National Institutes of Health und eines amerikanischen Herstellers von Sicherheitsgeräten ein. Gerichtliche eidesstattliche Erklärungen zeigen, dass der US-Senat noch 2026 Systemkompromittierungen erlitt. Die Zielliste umfasst auch vier ungenannte Unternehmen in den USA und Südkorea, sowie Energieversorger, Telekommunikationsanbieter, Rüstungsunternehmen und Krankenhäuser.

Proxy-Routing und Erkennungsumgehung

Die beschlagnahmte Infrastruktur basierte auf einer zweistufigen Netzwerkarchitektur, die bösartige Aktivitäten verschleiern sollte. QScan durchsuchte das Internet, um Tausende von Internet-of-Things-Geräten wie Router und Netzwerkhardware zu identifizieren und zu kompromittieren. Diese infizierten Geräte wurden dann über QTRouter zu einem Proxy-Netzwerk zusammengefasst, sodass ausländische Betreiber Angriffsverkehr über zivile Hardware in der Nähe der Zielorganisationen leiten konnten. Da Domainnamen direkt in die Botnet-Software einprogrammiert waren, unterbrachen die gerichtlich angeordneten Domain-Beschlagnahmungen die Kommando- und Kontrollkommunikation und machten das Proxy-Netzwerk funktionsunfähig. Richard Hummel, Vizepräsident des Cybersicherheitsunternehmens SecurityScorecard, erläuterte die defensiven Herausforderungen durch lokales Proxy-Routing.

Wenn ein Einbruch von einem Gerät um die Ecke des Ziels zu kommen scheint statt aus Übersee, verschafft das dem Betreiber Zeit und macht die Zuordnung langsam. Zwei Plattformen dieser Größe offline zu nehmen, kostet die Betreiber echte Fähigkeiten, die sie täglich nutzten.

Auftragnehmer-Ökosystem bei Cyberoperationen

Die Operation wurde von privaten Threat-Intelligence-Teams unterstützt, darunter Lumen Technology's Black Lotus Labs, das die Angriffe der Gruppe auf Verteidigungs-, Luftfahrt- und Regierungseinrichtungen im vergangenen Jahr verfolgte. Analysten beschreiben Nanjing Xinjiuwei als Auftragnehmer, der fertige Botnetze und Relay-Infrastruktur für chinesische Geheimdienste bereitstellt. Chinesische Diplomaten in Washington reagierten nicht auf Anfragen zur Anklage, und Peking hat Vorwürfe staatlich gelenkter Cyberangriffe stets zurückgewiesen. Dakota Cary, China-Analyst beim Cybersicherheitsunternehmen SentinelOne, wies auf die breitere Expansion privater Hacking-Anbieter hin, die staatliche Geheimdienstapparate unterstützen.

In den letzten zehn Jahren ist die Zahl der Unternehmen, die offensive Nischendienste anbieten, exponentiell gewachsen.