Die US-Regierung hat nach eigenen Angaben eine groß angelegte Cyberoperation chinesischer Hacker gestoppt. Ziel waren laut Justizministerium hochsensible Einrichtungen der USA – darunter die Raumfahrtbehörde Nasa, die Notenbank Federal Reserve und der Senat.

Das teilten das US-Justizministerium und die Bundespolizei FBI am Mittwoch mit. Die Ermittler beschlagnahmten mehrere Internet-Domains, über die zwei Hacker-Plattformen mit den Namen QScan und QTRouter gesteuert worden sein sollen.

Welche US-Behörden betroffen sein sollen

Zu den Opfern zählen nach Angaben des Justizministeriums neben Nasa, Federal Reserve und dem Senat auch das Justizministerium selbst, das Energieministerium, das Gesundheitsministerium und die nationalen Gesundheitsinstitute NIH.

Laut einer eidesstattlichen Erklärung der Ermittler gehörten außerdem vier namentlich nicht genannte Unternehmen in den USA und Südkorea zu den Zielen.

Nach Darstellung des Justizministeriums nahmen die Angreifer zudem Netzwerke des US-Militärs, Krankenhäuser, Energieversorger und Rüstungsunternehmen ins Visier. Wie groß der Schaden insgesamt ist, blieb zunächst offen.

QScan und QTRouter: Wie die Plattformen funktioniert haben sollen

Die beiden Werkzeuge griffen den Ermittlern zufolge ineinander. QScan durchsuchte demnach weltweit vernetzte Geräte des Internets der Dinge und infizierte Tausende von ihnen automatisch.

Diese gekaperten Geräte flossen anschließend in das Netzwerk QTRouter ein. Es diente laut Justizministerium als sogenanntes Verschleierungsnetzwerk: Angriffe sollten so aussehen, als kämen sie von Computern außerhalb Chinas.

Weil die beschlagnahmten Domains fest in beiden Schadprogrammen verankert waren und für Kommunikation und Authentifizierung gebraucht wurden, seien QScan und QTRouter durch die Aktion funktionsunfähig geworden.

Firma aus Nanjing im Zentrum der Vorwürfe

Nach Darstellung der US-Behörden steht hinter der Infrastruktur eine chinesische Firma, die ihre Dienste staatlichen Akteuren angeboten haben soll. Die Plattformen ermöglichten es den Angreifern demnach, kompromittierte Geräte weltweit als Zwischenstationen zu nutzen und ihre Herkunft zu verschleiern. Dabei soll es sich um die Nanjing Xinjiuwei Network Technology Company handeln.

Hinter den Angriffen soll eine staatlich unterstützte Gruppe mit dem Namen QTFY stehen. Zu ihren zahlenden Kunden zählten laut Gerichtsunterlagen der zivile Auslandsgeheimdienst des Landes, das Ministerium für Staatssicherheit, sowie die Volksbefreiungsarmee.

Das Unternehmen wurde nach chinesischen Handelsregisterdaten 2018 gegründet und hatte im vergangenen Jahr 17 Mitarbeiter, wie CNN berichtet.

„Es muss aufhören“: Das sagen die US-Behörden

„Staatlich unterstützte Hacker, die Amerikas kritische Infrastruktur ins Visier nehmen, werden gestoppt und strafrechtlich verfolgt“, erklärte US-Justizminister Todd Blanche in der Mitteilung des Ministeriums.

FBI-Direktor Kash Patel sprach von der Zerschlagung eines weltweiten Botnetzes, das staatlich unterstützte chinesische Hacker für Angriffe auf die US-Infrastruktur genutzt hätten.

Im Sender Fox News sagte Blanche mit Blick auf China: „Wir wissen, dass es passiert. Und sie wissen, dass wir wissen, dass es passiert. Und es muss aufhören.“

China wies Vorwürfe bislang zurück

Die chinesische Botschaft in Washington reagierte nach Angaben von Reuters zunächst nicht auf eine Anfrage. Peking wies Hackervorwürfe in der Vergangenheit regelmäßig zurück und wirft im Gegenzug US-Geheimdiensten Cyberangriffe vor.

Ob US-Präsident Donald Trump das Thema beim angekündigten Besuch des chinesischen Staatschefs Xi Jinping im kommenden Monat anspricht, ließ Blanche laut CNN offen.

Nicht der erste Schlag gegen mutmaßliche Hacker

Die Aktion reiht sich in eine Serie ähnlicher Einsätze ein. Im Jahr 2025 entfernte das FBI nach eigenen Angaben die Schadsoftware PlugX von mehr als 4000 US-Computern, die von der Gruppe Mustang Panda infiziert worden waren.

Im Jahr 2024 legten die Ermittler ein Botnetz aus hunderttausenden Geräten lahm, das der Gruppe Flax Typhoon zugeschrieben wird. 2023 richtete sich ein Einsatz gegen ein Botnetz der Gruppe Volt Typhoon.

FBI und der Abhördienst NSA veröffentlichten zudem eine Warnmeldung mit technischen Merkmalen der Angriffe.

Was Fachleute zu dem Fall sagen

„Ein derart in sich geschlossenes Ökosystem habe ich in meiner Laufbahn noch nicht gesehen“, sagte Damon Rouse vom Analyseteam Black Lotus Labs des Technologieunternehmens Lumen laut CNN. Zwar half die Zwischenschaltung der Firma den Angreifern, ihre Herkunft zu verschleiern. Zugleich könnte sie aber ihm zufolge eine Spur gelegt haben – gerade weil die Firma wie ein normales Unternehmen mit zahlenden Kunden arbeitete. „Wer zahlende Kunden hat, hinterlässt eine Papierspur“, sagte Rouse laut CNN.

Die kommerzielle Hackerszene in China wachse seit Jahren, sagte Dakota Cary vom Cybersicherheitsunternehmen SentinelOne laut Reuters: „In den vergangenen zehn Jahren ist die Zahl der Firmen, die spezialisierte offensive Dienste anbieten, explodiert.“