Le FBI interrompt QScan et QTRouter, le réseau chinois qui dissimulait les attaques contre les infrastructures américaines

Le ministère de la Justice des États-Unis a annoncé mercredi l’interruption de deux plateformes de piratage exploitées par des acteurs de la menace chinois. Les plateformes, QScan et QTRouter, étaient utilisées pour cibler des infrastructures critiques et des réseaux sensibles aux États-Unis. L’action judiciaire a saisi les domaines intégrés dans les deux produits, entraînant l’arrêt de leurs opérations.

Qui se cache derrière : QTFY et la société écran de Nankin

L’activité est attribuée à QTFY, un groupe étatique chinois employé par la société Nanjing Xinjiuwei Network Technology Company. Selon Damon Rouse, chercheur chez Lumen Black Lotus Labs, QTFY est actif depuis mai 2018. Lumen suit le groupe depuis plus de 18 mois et a commencé à collaborer avec le FBI il y a environ un an.

La société de Nankin compte parmi ses clients le ministère de la Sécurité d’État chinois et l’Armée populaire de libération. Elle inclut d’anciens membres de l’APL et exploite leurs contacts pour obtenir des contrats liés au ciblage d’infrastructures critiques. QTFY a également participé à des réseaux chinois d’intermédiation indépendante pour acquérir et revendre des exploits et des accès à des réseaux victimes.

Le directeur du FBI, Kash Patel, a déclaré que les outils étaient utilisés par des cyberacteurs de la République populaire de Chine pour masquer l’origine des attaques. Lumen indique que le ciblage a concerné le monde occidental et au-delà, avec un intérêt particulier pour le monde universitaire et la recherche.

Les victimes : NASA, Réserve fédérale, Sénat et un système électoral

Parmi les victimes de cette activité intrusive figurent la NASA, la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé et des Services sociaux, les National Institutes of Health et le Sénat des États-Unis. Des attaques récentes, jusqu’en juin 2026, ont également visé un système électoral américain.

L’infrastructure a permis aux opérateurs de masquer l’origine des intrusions en mélangeant le trafic malveillant avec le trafic légitime de proxys commerciaux et d’appareils IoT compromis. Cela a rendu difficile pour les défenseurs d’identifier et de tracer cette activité.

L’architecture technique : QScan, QTRouter et la « boîte relais opérationnelle »

QScan effectue des analyses et des infections automatiques d’appareils IoT dans le monde entier, les ajoutant au réseau QTRouter. Les domaines saisis étaient intégrés en dur dans les deux produits. Parmi eux figurent qt-proxy[.]org, mq-task.qt-proxy[.]org et mq-result.qt-proxy[.]org. Les deux premiers fournissaient des tâches d’analyse à des nœuds travailleurs hébergés sur des serveurs loués en dehors de la Chine ; le troisième recevait les tâches terminées.

QTRouter est un réseau d’obscurcissement du trafic fonctionnant sur des routeurs équipés d’un micrologiciel OpenWrt personnalisé. Il s’authentifie auprès des serveurs d’administration www.qtproxy[.]xyz et securelink.qtproxy[.]xyz et utilise Clash pour établir des connexions proxy. Le réseau comprend des appareils compromis, des services proxy commerciaux et des serveurs privés virtuels loués. Il permet d’enchaîner les nœuds et de mélanger le trafic malveillant avec le trafic légitime.

Les botnets d’appareils compromis sont contrôlés via trois plateformes : Proxy Platform Management, Proxy Pool Management System et QTBotnet. QTBotnet comprend un serveur de contrôle, des serveurs de contrôle de deuxième niveau et des appareils compromis. Le serveur de contrôle peut lancer des attaques DDoS et exécuter des commandes sur les nœuds infectés.

L’architecture distribuée comprend également Fast Labyrinth, une couche opérationnelle qui intègre une infrastructure proxy commerciale telle que Fastlink (fastlink.ws) dans un réseau de relais chiffré avec QTRouter. QTProxy gère les nœuds opérationnels de Fast Labyrinth et permet aux opérateurs d’utiliser des relais préconfigurés ou des chemins uniques vers les entités cibles.

Lumen compare l’ensemble à une « boîte relais opérationnelle » : un maillage décentralisé d’appareils IoT infectés et de VPS loués qui achemine le trafic malveillant via des adresses IP tournantes. Cela contourne les listes de blocage et les politiques de géolocalisation. Comme les circuits de transit sont obtenus par des abonnements légitimes à des services proxy commerciaux, les blocages statiques traditionnels ne suffisent plus.

Le cycle d’attaque et les vulnérabilités exploitées

Selon le FBI, le cycle d’attaque se déroule en quatre phases. D’abord, QScan effectue la reconnaissance contre les réseaux victimes. Ensuite, des vulnérabilités zero-day et N-day sont exploitées pour obtenir l’accès initial. Vient ensuite la persistance au moyen de chevaux de Troie d’accès à distance, de shells web et d’identifiants légitimes. Enfin, QTRouter permet d’accéder au réseau victime depuis des appareils IoT compromis à proximité, en passant sous les radars.

Les vulnérabilités zero-day citées sont au nombre de trois, toutes dans des appliances Ivanti CSA :

• CVE-2024-8190 – injection de commandes OS dans Ivanti Cloud Services Appliance 4.6 Patch 518 et versions antérieures. CVSS 7.2. Nécessite des privilèges administrateur pour l’exécution de code à distance.
• CVE-2024-8963 – traversée de chemin dans Ivanti CSA avant le Patch 519 de la version 4.6. CVSS 9.4. Un attaquant distant non authentifié peut accéder à des fonctionnalités restreintes.
• CVE-2024-9380 – injection de commandes OS dans la console web d’administration d’Ivanti CSA avant la version 5.0.2. CVSS 7.2. Nécessite des privilèges administrateur pour l’exécution de code à distance.

Les N-day exploitées incluent :

• CVE-2018-13379 dans Fortinet SSL-VPN (FortiOS 6.0.0–6.0.4, 5.6.3–5.6.7, 5.4.6–5.4.12 et FortiProxy 2.0.0, 1.2.0–1.2.8, 1.1.0–1.1.6, 1.0.0–1.0.7). Un attaquant non authentifié peut télécharger des fichiers système via des requêtes HTTP sur le portail SSL VPN.
• CVE-2019-19781 dans Citrix ADC et Gateway 10.5, 11.1, 12.0, 12.1 et 13.0. Traversée de répertoire.
• CVE-2021-26855 dans Microsoft Exchange Server 2013. Exécution de code à distance.
• CVE-2020-5902 dans F5 BIG-IP, CVE-2019-10068 dans Kentico CMS, CVE-2021-44228 dans Apache Log4j, CVE-2023-22515 dans Atlassian Confluence, CVE-2024-24919 dans Check Point Quantum Gateway, CVE-2025-31161 dans CrushFTP et CVE-2026-1731 dans BeyondTrust Remote Support.

Pour les CVE listées au-delà des trois premières, les versions exactes n’ont pas été communiquées par le FBI. Toutes les CVE détaillées ont des scores CVSS v3 compris entre 7,2 et 9,8 ; plusieurs sont critiques et permettent l’exécution de code à distance, la traversée de chemin ou un accès non autorisé.

Vulnérabilités dans le catalogue KEV : échéances et actions

De nombreuses CVE citées figurent dans le catalogue Known Exploited Vulnerabilities de la CISA. Les dates d’ajout et les échéances de remédiation pour les agences fédérales américaines sont les suivantes :

• CVE-2018-13379, CVE-2019-19781 et CVE-2021-26855 : présentes dans le KEV depuis le 3 novembre 2021, échéance au 3 mai 2022. Toutes trois sont utilisées dans des campagnes de ransomware.
• CVE-2019-10068 : présente dans le KEV depuis le 25 mars 2022, échéance au 15 avril 2022.
• CVE-2020-5902 : présente dans le KEV depuis le 3 novembre 2021, échéance au 3 mai 2022. Utilisée dans des campagnes de ransomware.
• CVE-2024-8190 : présente dans le KEV depuis le 13 septembre 2024, échéance au 4 octobre 2024.
• CVE-2024-8963 : présente dans le KEV depuis le 19 septembre 2024, échéance au 10 octobre 2024.
• CVE-2024-9380 : présente dans le KEV depuis le 9 octobre 2024, échéance au 30 octobre 2024.

Pour les trois vulnérabilités Ivanti CSA, la CISA indique une action spécifique : comme Ivanti CSA 4.6.x a atteint la fin de vie, les utilisateurs doivent retirer CSA 4.6.x du service ou migrer vers la ligne 5.0.x prise en charge. Les futures vulnérabilités sur la 4.6.x ne recevront probablement plus de correctifs de sécurité.

Les trois premières CVE sont utilisées dans des campagnes de ransomware. Leur correction est donc prioritaire même en dehors du périmètre fédéral.

Ce que doivent faire les organisations

Les actions immédiates dépendent des produits exposés. Pour les CVE du catalogue KEV, l’indication générale est d’appliquer les mises à jour de l’éditeur. Pour Ivanti CSA 4.6.x, la mesure d’atténuation requise est le retrait du service ou la mise à niveau vers la ligne 5.0.x. Les échéances fédérales sont déjà dépassées, mais les organisations privées devraient les traiter comme référence pour établir leurs priorités.

Le FBI a interrompu les domaines principaux, mais les défenseurs ne doivent pas baisser la garde. L’infrastructure distribuée de QTFY peut être reconstruite sur de nouveaux domaines. Lumen souligne la forte industrialisation des opérations cybernétiques chinoises : le passage de configurations fragmentées à des réseaux multi-locataires partagés permet des campagnes complexes avec un fort anonymat, une grande rapidité et une échelle mondiale.

Il ne s’agit pas d’un cas isolé. Au cours des 90 derniers jours, la CVE-2026-10520 est également entrée dans le catalogue KEV ; elle implique les mêmes éditeurs présents dans cette campagne : Ivanti, Kentico et Citrix. Cette séquence indique une pression constante sur les appliances en périphérie et les solutions d’accès à distance. Les responsables de ces produits doivent vérifier les versions, appliquer les correctifs et retirer les systèmes non pris en charge.