Le 26 août, les autorités fédérales ont désactivé deux plateformes de piratage interconnectées, en confisquant les domaines nécessaires à leurs fonctions de communication et d'authentification. Le ministère de la Justice a annoncé que QScan et QTRouter ciblaient des infrastructures critiques et des réseaux confidentiels gérés par la NASA, la Réserve fédérale, le ministère de l'Énergie, le ministère de la Justice, le ministère de la Santé et des Services sociaux, les Instituts nationaux de la santé et le Sénat américain.
Selon les documents judiciaires, ces plateformes appartenaient à QTFY — un groupe de pirates chinois, parrainé par l'État et travaillant pour la société Nanjing Xinjiuwei Network Technology Company. Dans l'affidavit du FBI justifiant la saisie des domaines, il est affirmé que QTFY vendait des services de piratage à des clients, parmi lesquels figuraient le ministère de la Sécurité d'État chinois et l'Armée populaire de libération. Les trois domaines confisqués étaient codés en dur dans les plateformes, permettant ainsi de désactiver les deux systèmes lors de l'opération.
La saisie a perturbé le fonctionnement de l'infrastructure qui, selon les allégations, aidait les pirates à identifier des systèmes vulnérables et à masquer leurs connexions aux réseaux ciblés. Le procureur général Todd Blanch a déclaré :
« Les forces de l'ordre fédérales ont mené une enquête et neutralisé un logiciel malveillant de la RPC — c'est la dernière d'une série d'opérations techniques visant à mettre fin aux activités de piratage désordonnées parrainées par la République populaire de Chine. »
QScan localisait les cibles, et QTRouter masquait les attaques
Ces deux plateformes remplissaient des fonctions différentes dans le cadre d'un système intégré de renseignement, d'exploitation des vulnérabilités et de masquage du trafic. Dans une alerte de cybersécurité conjointe préparée par le FBI, l'Agence de sécurité nationale et la Cyber National Mission Force, il est indiqué que QScan contenait plus de 200 exploits de preuve de concept et traitait en une seule journée en 2024 plus de 2 millions de tâches de balayage et de tests d'intrusion. Au cours d'une campagne menée en mai 2024, des données ont été dérobées à plus de 300 organisations à travers le monde.
QScan piratait automatiquement les appareils vulnérables connectés à Internet et les ajoutait à QTRouter, qui combinait les appareils compromis avec des services proxy commerciaux et des serveurs privés virtuels loués. Black Lotus Labs a analysé l'infrastructure de QTFY et a caractérisé le groupe comme un fournisseur d'infrastructure soutenant les cyberopérations chinoises. Le routage du trafic via des appareils situés à proximité des victimes permettait de créer l'impression que les messages malveillants provenaient d'utilisateurs locaux légitimes.
Le directeur du FBI Kash Patel a déclaré :
« Aujourd'hui, nous avons annoncé la neutralisation d'un botnet mondial et d'une plateforme de piratage, utilisés par des pirates soutenus par l'État chinois pour attaquer des infrastructures critiques américaines. Ces outils étaient utilisés par des cybercriminels de la RPC pour dissimuler la source de leurs attaques. »
Les routeurs et autres appareils de l'« Internet des objets » compromis étaient également utilisés pour commettre des cybercrimes à motivation financière, non liés aux opérations parrainées par l'État. Auparavant, les autorités avaient démantelé un réseau proxy comprenant 369 000 appareils piratés dans 163 pays. Ce réseau permettait aux criminels de masquer des activités liées à la prise de contrôle de comptes de cryptomonnaie, à la fraude bancaire, à l'utilisation de rançongiciels et à d'autres stratagèmes, rapportant à ses opérateurs plus de 5,7 millions de dollars.
L'opération élargit la campagne de démantèlement de l'infrastructure
Les dernières saisies font suite à plusieurs opérations autorisées par la justice, visant l'infrastructure cybernétique chinoise parrainée par l'État. En janvier 2025, le FBI a signalé avoir supprimé le logiciel espion PlugX d'environ 4 258 systèmes américains infectés par le groupe Mustang Panda. Les autorités fédérales avaient également désactivé le botnet « Flax Typhoon » en 2024 et interrompu les activités du botnet « Volt Typhoon » en 2023.
L'approche fédérale des cybermenaces étrangères va également au-delà des saisies traditionnelles autorisées par le tribunal et des opérations de suppression de logiciels malveillants. Un mémorandum présidentiel du 12 août a ordonné la création d'un programme pour contrer les cyberattaques sous supervision fédérale, permettant à des entreprises américaines vérifiées de proposer des missions contre des réseaux criminels étrangers, tandis que les responsables avaient 60 jours pour établir les critères de sélection, les procédures de ciblage et les mesures de sécurité.
Les enquêteurs fédéraux bloquent de plus en plus les comptes, serveurs, domaines et connexions réseau qui permettent la conduite d'opérations cybernétiques étrangères. Dans le cadre d'une initiative distincte menée en mai, des entreprises technologiques se sont jointes à une opération du ministère de la Justice, qui a abouti au blocage de plus de 1,4 million de comptes liés à des escroqueries. Les participants ont également bloqué du trafic Internet malveillant, mis hors service des infrastructures d'hébergement et aidé à geler plus de 3,8 millions de dollars en cryptomonnaies.
Les utilisateurs individuels sont exposés à des risques différents de ceux des groupes criminels sophistiqués ciblant les agences gouvernementales et les infrastructures critiques, bien que les uns et les autres puissent utiliser des logiciels malveillants et des appareils piratés. Les mesures de protection communes incluent la mise à jour des logiciels, l'évitement des téléchargements suspects et la vérification des sites Web avant de saisir des informations confidentielles. L'hameçonnage et les sites Web falsifiés peuvent installer des logiciels malveillants ou divulguer des mots de passe, et les routeurs obsolètes peuvent fournir aux acteurs malveillants une infrastructure pour dissimuler des intrusions individuelles.
