Le FBI démantèle une infrastructure pirate ayant ciblé plusieurs agences US, la Chine accusée
Les États-Unis ont annoncé avoir démantelé plusieurs plateformes d’un groupe de pirates qu’ils associent à la Chine. Ces outils ont permis au groupe QTFY d’obfusquer ses attaques contre plusieurs agences fédérales états-uniennes comme la NASA, la Réserve fédérale et même des ministères.
Le groupe de pirates informatiques QTFY, accusé d’être financé par l’État chinois, a ciblé plusieurs agences gouvernementales et institutions américaines majeures. Parmi les victimes figurent la NASA, la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé et des Services sociaux, les Instituts nationaux de la santé (NIH) ainsi que le Sénat américain. Ces intrusions ont été révélées par le département de la Justice des États-Unis le 26 août 2026. Le groupe QTFY est associé à l’entreprise chinoise Nanjing Xinjiuwei Network Technology, basée en Chine, selon les autorités américaines. Les attaques ont duré plusieurs années, avec des premières tentatives détectées dès mai 2018.
Les pirates de QTFY ont utilisé une infrastructure sophistiquée pour infiltrer les réseaux ciblés. Leur méthode reposait sur l’exploitation de failles de sécurité dans des logiciels largement répandus, comme le VPN Pulse Secure, attaqué en août 2019. Ils ont également profité de failles zero-day (des vulnérabilités inconnues des éditeurs, exploitées avant qu’un correctif ne soit disponible) dans des services cloud en septembre 2024. Ces failles ont permis d’accéder à des systèmes critiques, notamment ceux de trois laboratoires du département de l’Énergie, du NIH et d’une administration de santé. Les attaques ont persisté jusqu’en 2026, avec des tentatives de scanner les systèmes électoraux américains, sans succès selon les autorités.
QTFY a développé quatre outils principaux pour automatiser et masquer ses attaques : QScan, Fast Labyrinth, QTRouter et QTProxy. Les deux outils les plus importants sont QTRouter et QScan. QTRouter sert à créer un réseau d’Operational Relay Box (ORB), un système décentralisé qui permet de masquer l’origine des attaques en utilisant des machines compromises comme relais. Ces ORB fonctionnent de manière similaire aux botnets (réseaux d’ordinateurs infectés contrôlés à distance), mais avec une couche supplémentaire de dissimulation. QScan, quant à lui, automatise la recherche et l’infection d’appareils connectés (comme des caméras ou routeurs IoT) pour les intégrer au réseau ORB. Ces outils exploitent une faille dans l’écosystème réseau chinois appelé « Airport », utilisé pour contourner le Great Firewall (le pare-feu chinois limitant l’accès à Internet).
Les nœuds du réseau ORB de QTFY étaient composés de routeurs utilisant un logiciel modifié (OpenWRT) et s’authentifiant via des URL spécifiques comme www.qtproxy[.]xyz ou securelink.qtproxy[.]xyz. Ces routeurs utilisaient des adresses IP de services de proxy commerciaux, d’Alibaba Cloud (une plateforme cloud chinoise) ou d’appareils IoT piratés. QTFY a également développé au moins trois plateformes pour gérer ces réseaux de machines infectées. Les autorités américaines ont collaboré avec Black Lotus, le laboratoire de cybersécurité de Lumen Technologies, pour analyser ces outils et comprendre leur fonctionnement. Leur rapport détaille comment QTFY a industrialisé la création de réseaux ORB, rendant les attaques plus difficiles à tracer.
Face aux accusations des États-Unis, l’ambassade de Chine à Washington a réagi le 26 août 2026 en niant toute implication dans les cyberattaques. Elle a déclaré ne pas être informée des détails mentionnés par le département de la Justice américain et a souligné que la Chine s’oppose fermement aux cyberattaques, conformément à la loi. L’ambassade a également accusé les États-Unis de *« diffamer ou discréditer la Chine »* en utilisant la cybersécurité comme prétexte pour imposer des restrictions aux entreprises chinoises. Elle a ajouté que la Chine défendrait ses droits et intérêts légitimes face à ces mesures. L’entreprise chinoise **Nanjing Xinjiuwei Network Technology**, citée par les États-Unis, n’a pas réagi aux demandes de commentaires.
