Le ministère américain de la Justice et le FBI ont saisi le 26 août 2026 les domaines de deux plateformes liées — QScan et QTRouter — qui constituaient ensemble l'infrastructure du groupe QTFY, parrainé par la République populaire de Chine. L'enjeu de l'opération ne réside pas dans les domaines eux-mêmes : leur ancrage rigide dans le code du logiciel malveillant signifiait qu'elles ne pouvaient physiquement plus fonctionner sans eux. L'équipe a privé les pirates de leur canal de communication et d'authentification d'un coup, au lieu de simplement bloquer les sites.
Le schéma QTFY reposait sur une division du travail entre deux outils. QScan s'occupait de la reconnaissance — trouvant et infectant automatiquement des milliers d'appareils IoT vulnérables à travers le monde. Les appareils infectés n'étaient pas une fin en soi, mais venaient grossir le réseau QTRouter, qui les combinait avec des services proxy commerciaux et des serveurs virtuels loués. Le résultat : un réseau d'obfuscation distribué. Le trafic d'attaque provenant de Chine sortait via des appareils tiers et semblait extérieurement local au réseau ciblé, ou du moins non-chinois.
Qui se cache derrière QTFY et qui est visé par le groupe
L'avis conjoint du FBI, de l'Agence de sécurité nationale (NSA) et de la Cyber National Mission Force décrit QTFY comme un groupe actif depuis 2018 et lié à l'entreprise chinoise Nanjing Xinjiuwei Network Technology Co. Celle-ci a des relations commerciales avérées avec des unités du ministère chinois de la Sécurité de l'État, et ses membres comptent d'anciens militaires de l'Armée populaire de libération. Autrement dit, il ne s'agit pas de cybercriminels privés, mais d'un sous-traitant commercial servant des clients étatiques.
Selon l'avis, l'activité du groupe a touché les réseaux de la NASA, de la Réserve fédérale, du ministère de la Justice et d'autres structures fédérales — allant du balayage et des tentatives d'intrusion aux attaques contre des infrastructures critiques. Le ministère de la Justice, dans sa déclaration, inclut également parmi les victimes de l'activité de QTFY le ministère de l'Énergie, le ministère de la Santé, les Instituts nationaux de la santé et le Sénat américain.
Une confirmation indépendante de Lumen Technologies
Parallèlement aux actions des autorités, l'infrastructure de QTFY a été étudiée par Lumen Technologies via sa division Black Lotus Labs, qui a qualifié l'opérateur de « quartier-maître de l'infrastructure » — c'est-à-dire un fournisseur de services de renseignement, de proxification et de routage pour d'autres attaquants. L'entreprise a identifié deux autres composantes du schéma, non mentionnées explicitement dans la déclaration du ministère de la Justice :
- Fast Labyrinth — un réseau de relais chiffré basé sur des proxy commerciaux
- QTProxy — un composant pour gérer les nœuds du réseau
Lumen a elle-même bloqué une partie de l'infrastructure associée par la méthode du null-routing — c'est-à-dire qu'un autre canal de contre-mesure, indépendant, agissait parallèlement à la saisie étatique des domaines. Parmi les domaines saisis lors de l'opération figurent qtproxy.xyz, qt-proxy.org et qt-team.com.
La coïncidence des actions des forces de l'ordre et de l'entreprise privée montre que l'infrastructure de QTFY était suffisamment visible pour un suivi indépendant bien avant la saisie officielle. Par ailleurs, son architecture même — des appareils IoT infectés au lieu des serveurs du groupe — est conçue de telle sorte qu'elle peut être relativement rapidement reconstituée sur de nouveaux domaines et nœuds.
L'avis de l'IA
D'un point de vue d'analyse de données automatique, le schéma QTFY reproduit un modèle testé en pratique dès 2024 : à l'époque, le FBI avait annoncé le démantèlement du botnet Flax Typhoon (Raptor Train), qui rassemblait plus de 260 000 appareils IoT infectés pour faire passer du trafic chinois pour légitime. La similitude de l'architecture — des caméras aux stockages — n'indique pas un choix de cibles aléatoire, mais une pratique établie au sein des opérateurs travaillant pour les structures étatiques chinoises. La différence clé de QTFY réside dans le fait que son infrastructure était construite sur la combinaison de deux plateformes spécialisées au lieu d'un botnet unique, ce qui complique la neutralisation totale du réseau même après la saisie des domaines.
L'économie de tels schémas est telle que le coût de reconstitution d'un réseau d'appareils IoT infectés est incomparablement inférieur aux dépenses des forces de l'ordre pour le détecter et le démanteler. Que la saisie des domaines de QScan et QTRouter reste un incident isolé ou marque le début d'une série d'opérations similaires contre l'infrastructure des « quartiers-maîtres » — voilà la question qui définira la prochaine année de la cybersécurité.
end-content
