Les plateformes chinoises QScan et QTRouter saisies, utilisées pour frapper les agences américaines

Le Département de la Justice des États-Unis a annoncé mercredi 26 août 2026 la saisie de QScan et QTRouter, deux plateformes gérées par la société chinoise Nanjing Xinjiuwei Network Technology Company. Elles étaient utilisées par des pirates gouvernementaux chinois, notamment le ministère de la Sécurité d'État (MSS) et l'Armée populaire de libération (PLA), pour violer des agences fédérales et des réseaux sensibles. Le groupe connu sous le nom de QTFY a utilisé ces outils depuis 2018 pour cibler des infrastructures critiques américaines et des objectifs dans le monde entier.

La saisie et le gestionnaire chinois

L'opération de démantèlement a ciblé les domaines codés en dur dans les deux plateformes. QScan et QTRouter dépendaient de ces adresses pour des activités essentielles telles que la communication et l'authentification. La saisie des domaines a rendu les deux plateformes inopérantes. Nanjing Xinjiuwei Network Technology Company, basée en Chine, vendait des données volées et des services de piratage à des agences militaires et de renseignement chinoises. Le FBI a indiqué que QTFY opère au sein d'un réseau complexe de pirates contractuels et de clients gouvernementaux en Chine. Le FBI a également déclaré que QTFY avait des clients non précisés en dehors du gouvernement chinois.

Comment fonctionnaient QScan et QTRouter

QScan était une plateforme de scan et d'infection automatique d'appareils Internet des objets. Elle identifiait des routeurs domestiques, des caméras de sécurité et d'autres appareils intelligents vulnérables dans le monde entier, les infectait en masse et les regroupait dans un botnet. QTRouter servait de réseau d'obscurcissement. Il permettait de masquer l'origine des attaques, en les faisant apparaître comme provenant d'appareils infectés ou d'autres pays. Dans certains cas, il simulait des attaques locales, compliquant l'attribution. Le FBI a déclaré que QTFY a exploité des appareils dans plus de 130 pays. La combinaison des deux plateformes permettait de scanner, infecter puis router le trafic malveillant à travers le botnet, cachant la véritable source.

Les victimes : agences fédérales et infrastructures critiques

Les agences compromises incluent la Réserve fédérale, le Département de l'Énergie, le Département de la Justice lui-même, le Sénat américain, la NASA, le Département de la Santé et des Services sociaux et les Instituts nationaux de la santé (NIH). Ont également été touchés des hôpitaux, des fournisseurs de télécommunications, des compagnies d'électricité, des institutions financières et des sous-traitants de la défense. L'impact s'étend bien au-delà des États-Unis : les appareils infectés dans plus de 130 pays ont été utilisés comme nœuds du botnet et pour obscurcir les attaques. Aucune estimation du nombre total d'appareils compromis n'a été fournie. On ne sait pas si les données volées individuelles ont été divulguées ou revendues.

Les enquêtes de 2018 à l'attaque du Sénat

Les enquêtes sur l'infrastructure QTFY ont commencé en 2018. L'un des premiers incidents examinés par le FBI remonte à 2019, lorsque les attaquants ont tenté d'exploiter une vulnérabilité dans Pulse Secure VPN contre la NASA. Les adresses IP utilisées ont été reliées à des localités et des adresses e-mail en Chine. Les enquêtes se sont poursuivies jusqu'à une attaque contre le Sénat américain survenue cette année. Il n'a pas été précisé si des sénateurs individuels ou des comités ont été ciblés. La continuité des opérations, de 2018 à 2026, indique une campagne prolongée et organisée.

Effets du démantèlement et opérations précédentes

La saisie des domaines codés en dur a interrompu la communication et l'authentification, rendant QScan et QTRouter inutilisables. Il n'a pas été précisé si les autorités ont nettoyé les appareils déjà infectés. Les organisations devraient envisager de vérifier leurs appareils IoT pour détecter d'éventuelles compromissions résiduelles, même si aucune mesure d'atténuation spécifique n'a été communiquée. Par le passé, le FBI et le Département de la Justice ont obtenu des ordonnances judiciaires pour supprimer des logiciels malveillants d'appareils compromis par des pirates chinois et russes. L'année dernière, le FBI a supprimé le logiciel de surveillance PlugX de milliers d'ordinateurs aux États-Unis. En 2024, il a interrompu des botnets gérés par des opérations gouvernementales chinoises connues sous les noms de Volt Typhoon et Flax Typhoon. La saisie de QScan et QTRouter s'inscrit dans cette série d'actions de lutte contre les campagnes informatiques sponsorisées par des États.