Le FBI saisit des plateformes de piratage chinoises utilisées pour cibler des agences américaines

Le FBI met QScan et QTRouter hors ligne

Les autorités fédérales ont désactivé le 26 août deux plateformes de piratage interconnectées en saisissant des domaines essentiels à leurs fonctions de communication et d'authentification. Le ministère de la Justice a annoncé que QScan et QTRouter ciblaient les infrastructures critiques et les réseaux sensibles exploités par la NASA, la Réserve fédérale, le ministère de l'Énergie, le ministère de la Justice, le ministère de la Santé et des Services sociaux, les National Institutes of Health et le Sénat américain.

Les archives judiciaires attribuent les plates-formes à QTFY, un groupe de piratage parrainé par l'État chinois et employé par Nanjing Xinjiuwei Network Technology Company. L'affidavit du FBI soutenant les saisies de domaines allègue que QTFY a vendu des services de piratage à des clients parmi lesquels le ministère chinois de la Sécurité d'État et l'Armée populaire de libération. Trois domaines saisis ont été codés en dur dans les plates-formes, permettant à l'opération de rendre les deux systèmes inutilisables.

Les saisies ont perturbé l'infrastructure qui aurait aidé les pirates informatiques à identifier les systèmes vulnérables et à dissimuler leurs connexions aux réseaux ciblés. Le procureur général Todd Blanche a déclaré :

« Les forces de l'ordre fédérales ont enquêté et désactivé les logiciels malveillants de la RPC, la dernière d'une série d'opérations techniques visant à démanteler les activités de piratage aveugle parrainées par la République populaire de Chine. »

QScan a trouvé des cibles alors que QTRouter dissimulait des attaques

Les deux plates-formes remplissaient des fonctions différentes au sein d’un système intégré de reconnaissance, d’exploitation et de brouillage du trafic. L’avis conjoint de cybersécurité du FBI, de la National Security Agency et de la Cyber ​​National Mission Force indique que QScan contenait plus de 200 exploits de validation de principe et traitait plus de 2 millions de tâches d’analyse et de tests d’intrusion en une seule journée de 2024. Une campagne de mai 2024 a exfiltré les données de plus de 300 organisations dans le monde.

QScan a automatiquement compromis les appareils vulnérables connectés à Internet et les a ajoutés à QTRouter, qui combinait les appareils piratés avec des services proxy commerciaux et des serveurs privés virtuels loués. Black Lotus Labs a analysé l'infrastructure de QTFY et a décrit le groupe comme un fournisseur d'infrastructure soutenant les cyber-opérations chinoises. Le routage du trafic via des appareils proches des victimes donnait l’impression que les communications malveillantes provenaient d’utilisateurs locaux légitimes.

Le directeur du FBI, Kash Patel, a déclaré :

« Aujourd'hui, nous avons annoncé la perturbation d'un botnet mondial et d'une plate-forme de piratage utilisée par des pirates informatiques parrainés par l'État chinois pour cibler les infrastructures critiques américaines. Ces outils ont été utilisés par les cyberacteurs de la RPC pour cacher l'origine de leurs attaques. »

Les routeurs compromis et autres appareils de l’Internet des objets ont également favorisé la cybercriminalité à motivation financière en dehors des opérations parrainées par l’État. Les autorités ont déjà démantelé un réseau proxy contenant 369 000 appareils piratés dans 163 pays. Ce réseau a permis aux criminels de dissimuler des activités impliquant des rachats de comptes de crypto-monnaie, des fraudes bancaires, des ransomwares et d'autres stratagèmes, tout en générant plus de 5,7 millions de dollars pour ses opérateurs.

L'opération prolonge la campagne de retrait des infrastructures

Les dernières saisies font suite à plusieurs opérations autorisées par le tribunal ciblant les cyberinfrastructures parrainées par l’État chinois. En janvier 2025, le FBI a déclaré avoir supprimé le logiciel malveillant de surveillance PlugX d'environ 4 258 systèmes américains infectés par Mustang Panda. Les autorités fédérales ont également désactivé un botnet Flax Typhoon en 2024 et perturbé un botnet Volt Typhoon en 2023.

L’approche fédérale face aux cybermenaces étrangères s’étend également au-delà des saisies conventionnelles autorisées par les tribunaux et des opérations de suppression de logiciels malveillants. Un mémorandum présidentiel du 12 août a ordonné la création d'un programme de cyber-perturbation supervisé par le gouvernement fédéral, permettant aux entreprises américaines contrôlées de proposer des missions contre des réseaux criminels étrangers, les responsables disposant de 60 jours pour établir des normes d'éligibilité, des procédures d'examen des cibles et des garanties.

Les enquêteurs fédéraux perturbent de plus en plus les comptes, les serveurs, les domaines et les connexions réseau qui permettent les cyberopérations à l’étranger. Au cours d'une initiative distincte en mai, des entreprises technologiques ont rejoint une opération du DOJ qui a interrompu plus de 1,4 million de comptes liés à des escroqueries. Les participants ont également bloqué le trafic Internet malveillant, mis hors service l’infrastructure d’hébergement et contribué à geler plus de 3,8 millions de dollars en cryptomonnaie.

Les utilisateurs individuels sont confrontés à des risques différents de ceux des groupes sophistiqués ciblant les agences gouvernementales et les infrastructures critiques, même si les deux peuvent exploiter des logiciels malveillants et des appareils compromis. Les protections courantes incluent la mise à jour des logiciels, la prévention des téléchargements suspects et la vérification des sites Web avant de saisir des informations sensibles. Le phishing et les faux sites Web peuvent installer des logiciels malveillants ou révéler des mots de passe, tandis que des routeurs obsolètes peuvent fournir aux attaquants une infrastructure leur permettant de dissimuler des intrusions distinctes.