Le FBI saisit des plateformes de piratage chinoises utilisées pour cibler des agences américaines

Le FBI met QScan et QTRouter hors ligne

Les autorités fédérales ont désactivé deux plateformes de piratage interconnectées le 26 août en saisissant les domaines essentiels à leurs fonctions de communication et d’authentification. Le ministère de la Justice a annoncé que QScan et QTRouter ciblaient des infrastructures critiques et des réseaux sensibles gérés par la NASA, la Réserve fédérale, le ministère de l’Énergie, le ministère de la Justice, le ministère de la Santé et des Services sociaux, les Instituts nationaux de la santé et le Sénat américain.

Les dossiers judiciaires attribuent ces plateformes à QTFY, un groupe de pirates informatiques soutenu par l’État chinois et employé par la société Nanjing Xinjiuwei Network Technology Company. La déclaration sous serment du FBI justifiant les saisies de domaines allègue que QTFY vendait des services de piratage à des clients parmi lesquels figuraient le ministère chinois de la Sécurité d’État et l’Armée populaire de libération. Trois domaines saisis étaient intégrés en dur dans les plateformes, ce qui a permis à l’opération de rendre les deux systèmes inopérants. Ces saisies ont perturbé une infrastructure qui aurait aidé les pirates à identifier les systèmes vulnérables et à masquer leurs connexions aux réseaux ciblés. Le procureur général Todd Blanche a déclaré :

« Les forces de l’ordre fédérales ont enquêté et neutralisé les logiciels malveillants de la République populaire de Chine, ce qui constitue la dernière d’une série d’opérations techniques visant à démanteler les activités de piratage aveugles parrainées par la République populaire de Chine. »

QScan identifiait les cibles tandis que QTRouter dissimulait les attaques

Les deux plateformes remplissaient des fonctions distinctes au sein d’un système intégré de reconnaissance, d’exploitation et de dissimulation du trafic. L'avis conjoint sur la cybersécurité publié par le FBI, l'Agence nationale de sécurité (NSA) et la Cyber National Mission Force indique que QScan contenait plus de 200 exploits de preuve de concept et a traité plus de 2 millions de tâches d'analyse et de tests d'intrusion en une seule journée en 2024. Une campagne menée en mai 2024 a permis l’exfiltration de données provenant de plus de 300 organisations à travers le monde. QScan compromettait automatiquement les appareils vulnérables connectés à Internet et les ajoutait à QTRouter, qui combinait les appareils détournés avec des services de proxy commerciaux et des serveurs privés virtuels loués. Black Lotus Labs a analysé l’infrastructure de QTFY et a décrit le groupe comme un fournisseur d’infrastructure soutenant les cyberopérations chinoises. Le routage du trafic via des appareils situés à proximité des victimes donnait l’impression que les communications malveillantes provenaient d’utilisateurs locaux légitimes. Le directeur du FBI, Kash Patel, a déclaré :

« Nous avons annoncé aujourd’hui le démantèlement d’un botnet mondial et d’une plateforme de piratage utilisés par des pirates informatiques soutenus par l’État chinois pour cibler les infrastructures critiques des États-Unis. Ces outils étaient utilisés par des cyberacteurs de la République populaire de Chine pour dissimuler l’origine de leurs attaques. »

Les routeurs compromis et autres appareils de l’Internet des objets ont également servi à des cybercrimes à but lucratif, en dehors des opérations soutenues par l’État. Les autorités avaient précédemment démantelé un réseau de proxys comprenant 369 000 appareils piratés répartis dans 163 pays. Ce réseau permettait aux criminels de dissimuler des activités telles que le détournement de comptes de cryptomonnaies, la fraude bancaire, les rançongiciels et d’autres stratagèmes, tout en générant plus de 5,7 millions de dollars pour ses opérateurs.

L’opération s’inscrit dans le cadre d’une campagne de démantèlement des infrastructures

Ces dernières saisies font suite à plusieurs opérations autorisées par la justice visant des infrastructures cybernétiques soutenues par l’État chinois. En janvier 2025, le FBI a déclaré avoir supprimé le logiciel malveillant de surveillance PlugX d’environ 4 258 systèmes américains infectés par Mustang Panda. Les autorités fédérales ont également neutralisé un botnet Flax Typhoon en 2024 et perturbé un botnet Volt Typhoon en 2023. L’approche fédérale face aux cybermenaces étrangères s’étend également au-delà des saisies classiques autorisées par les tribunaux et des opérations de suppression de logiciels malveillants. Un mémorandum présidentiel du 12 août a ordonné la création d’un programme de perturbation cybernétique supervisé par le gouvernement fédéral, permettant à des entreprises américaines agréées de proposer des missions contre des réseaux criminels étrangers, les responsables disposant de 60 jours pour établir des critères d’éligibilité, des procédures d’examen des cibles et des mesures de protection.

Les enquêteurs fédéraux ont de plus en plus souvent neutralisé les comptes, serveurs, domaines et connexions réseau qui permettent la conduite d’opérations cybernétiques étrangères. Lors d’une initiative distincte menée en mai, des entreprises technologiques se sont associées à une opération du ministère de la Justice qui a permis de désactiver plus de 1,4 million de comptes liés à des escroqueries. Les participants ont également bloqué le trafic Internet malveillant, mis hors service des infrastructures d’hébergement et contribué à geler plus de 3,8 millions de dollars en cryptomonnaie.

Les utilisateurs particuliers sont exposés à des risques différents de ceux des groupes sophistiqués ciblant les agences gouvernementales et les infrastructures critiques, bien que les uns comme les autres puissent exploiter des logiciels malveillants et des appareils compromis. Les mesures de protection courantes consistent notamment à mettre à jour les logiciels, à éviter les téléchargements suspects et à vérifier les sites web avant d’y saisir des informations sensibles. Le phishing et les faux sites web peuvent installer des logiciels malveillants ou exposer des mots de passe, tandis que des routeurs obsolètes peuvent fournir aux attaquants une infrastructure leur permettant de dissimuler d’autres intrusions.