Les autorités américaines ont annoncé la neutralisation d’une infrastructure de piratage attribuée à des acteurs chinois. Selon le ministère de la Justice et le FBI, cette infrastructure QTFY servait à cibler des réseaux sensibles et des infrastructures critiques, tout en rendant l’origine des attaques plus difficile à retracer.
Deux plateformes auraient été au cœur de ce dispositif : QScan et QTRouter. Ensemble, elles combinent des mécanismes d’exploration de cibles et un système de relais conçu pour brouiller la provenance des connexions malveillantes.
Une infrastructure QTFY pensée pour l’accès et le masquage
D’après les informations communiquées par le DoJ, l’opération visait des organisations dans plusieurs domaines, dont des organismes fédéraux et des institutions liées à la santé, à la recherche et à la sécurité. Les responsables citent notamment la NASA, la Réserve fédérale, le ministère de l’Énergie, le ministère de la Justice, le ministère de la Santé et des Services sociaux, ainsi que les National Institutes of Health. Le Sénat américain figure aussi parmi les victimes mentionnées.
Le FBI explique que ces outils auraient été utilisés par des acteurs liés à la RPC pour masquer l’origine de leurs intrusions. En clair : l’objectif ne se limitait pas à s’introduire, mais aussi à rendre l’enquête plus complexe en donnant l’impression que les connexions provenaient d’endroits situés hors de Chine, parfois proches des réseaux ciblés.
QScan : repérage et compromission d’appareils IoT
Parmi les composants les plus visibles, le FBI décrit QScan comme un outil capable de rechercher automatiquement des appareils exposés sur Internet, puis de les infecter lorsqu’ils présentent des vulnérabilités. Le dispositif s’appuie sur une logique de numérisation à grande échelle : l’idée est de trouver des points d’entrée et d’ajouter des machines compromises à un réseau utilisable ensuite.
Le DoJ indique que QScan est associé à plusieurs domaines hébergeant différents éléments du système. Parmi eux figurent des domaines dédiés à des tâches de scan et à la collecte des résultats. Les responsables précisent que certaines capacités s’appuyaient sur un ensemble de nœuds de travail, principalement situés sur des serveurs loués à l’étranger.
Exploitation de failles sur des appareils connectés
Le FBI et le DoJ relient l’activité à une chaîne d’actions : QScan sert à exploiter des appareils IoT vulnérables et à identifier des failles dans les réseaux victimes. Une fois l’accès initial établi, la suite du dispositif permettrait de transformer ces appareils en relais de proxy.
Autrement dit, l’infrastructure QTFY ne se contente pas de “scouter” des cibles : elle alimente un système de contrôle basé sur des dispositifs compromis.
QTRouter : un réseau de relais pour brouiller les attaques
L’autre composant majeur est QTRouter. Selon les autorités, il fonctionne comme un réseau de brouillage du trafic, déployé sur des routeurs équipés d’un logiciel personnalisé basé sur OpenWrt. Le but est d’acheminer les connexions de manière à compliquer l’attribution et la surveillance.
Le FBI précise que QTRouter s’authentifierait à des serveurs d’administration associés à des domaines identifiés par l’enquête. Le système s’appuierait aussi sur un outil appelé “Clash” pour établir des connexions via des proxys, tout en permettant d’enchaîner des nœuds afin d’obfusquer l’acteur derrière l’activité.
Une partie de l’efficacité viendrait du mélange : les flux malveillants seraient combinés à du trafic jugé légitime via des services de proxy commerciaux. En parallèle, des appareils IoT compromis seraient utilisés pour exploiter des emplacements géographiques correspondant à des utilisateurs supposés “normaux”.
Une architecture en plusieurs couches
Les autorités décrivent une architecture distribuée composée d’éléments interconnectés. D’après un chercheur travaillant avec Lumen Black Lotus Labs, la structure s’organiserait autour de QScan et QTRouter, ainsi que de deux autres composantes.
Fast Labyrinth
La première s’appelle Fast Labyrinth. Elle fournirait une couche opérationnelle en intégrant des infrastructures de proxy commerciales dans un réseau de relais chiffré. Ce mécanisme contribuerait à brouiller le trafic vers et depuis les entités ciblées.
QTProxy
La seconde composante est QTProxy. Elle gérerait les nœuds opérationnels et permettrait aux opérateurs d’utiliser des relais préconfigurés ou de définir des chemins spécifiques selon les cibles.
Dans l’analyse présentée, l’ensemble est comparé à une “boîte de relais” opérationnelle : un maillage décentralisé où des appareils IoT infectés et des VPS loués servent à router des communications via des adresses IP changeantes. Ce type de fonctionnement vise à contourner des défenses classiques comme les listes de blocage d’IP ou certaines politiques basées sur la géolocalisation.
De la compromission au maintien d’accès
Les responsables décrivent un cycle d’attaque organisé. D’abord, QScan mènerait une phase de reconnaissance contre les réseaux visés. Ensuite, l’accès initial reposerait sur l’exploitation de failles zéro-day et de vulnérabilités déjà connues dans des produits et services variés.
Parmi les exemples cités dans les communications officielles figurent des vulnérabilités associées à des appliances Ivanti CSA, Fortinet, Citrix ADC, Microsoft Exchange Server, F5 BIG-IP, Kentico CMS, Apache Log4j, Atlassian Confluence, Check Point Quantum Gateway, CrushFTP et BeyondTrust Remote Support. Ces mentions illustrent l’ampleur des surfaces potentielles exploitées.
Une fois l’intrusion obtenue, l’infrastructure QTFY viserait à conserver l’accès au moyen de mécanismes de persistance, tels que des chevaux de Troie d’accès à distance (RAT), des web shells et l’usage de identifiants valides.
Enfin, QTRouter aiderait à “passer sous le radar” en réutilisant des appareils IoT compromis situés à proximité logique des victimes, pour faire en sorte que les connexions semblent moins suspectes.
Neutralisation et arrêt des opérations
Les autorités indiquent que les domaines saisis étaient codés en dur dans les produits. Résultat : après l’action autorisée par le tribunal, les opérations liées à ces services auraient cessé.
Le FBI souligne également un enjeu stratégique : la capacité à tirer parti de boucles de relais achetées via des abonnements payants à des services de proxy commerciaux limite l’efficacité des blocages statiques. Autrement dit, si les attaques “empruntent” des ressources légitimes, il devient plus difficile de s’appuyer uniquement sur des règles simples.
Pourquoi cette affaire est un signal d’industrialisation
Selon Lumen Black Lotus Labs, la plateforme correspond à une forme d’industrialisation observée dans des opérations cyber associées à la sphère chinoise. Le raisonnement mis en avant est le suivant : au lieu de configurations fragmentées et improvisées, les acteurs soutenus par l’État chercheraient à s’appuyer sur des réseaux partagés, capables de fonctionner à plus grande échelle, avec anonymat et rapidité.
Le FBI évoque aussi une activité ancienne, la structure étant décrite comme active depuis 2018, et alimentée par une chaîne de développement et de distribution de composants malveillants. Les communications mentionnent en outre des échanges autour d’exploits et de logiciels malveillants dans des réseaux de “freelance” ou de courtage, ce qui contribuerait à accélérer la constitution d’une boîte à outils.
Enfin, les responsables signalent que des attaques récentes auraient touché des systèmes liés à un processus électoral américain, confirmant la volonté d’exploiter des cibles à forte valeur.
Conclusion : une infrastructure QTFY neutralisée, mais un défi persistant
La neutralisation annoncée par le FBI et le DoJ met en lumière le rôle central de l’infrastructure QTFY dans une campagne combinant reconnaissance, exploitation de vulnérabilités et brouillage des origines via des relais et des appareils IoT compromis.
Même si les domaines associés ont été rendus inopérants, la logique décrite rappelle un point crucial pour les organisations : les attaques peuvent s’appuyer sur des ressources “propres” (comme des services de proxy) et exploiter des artefacts répartis. Face à cela, une défense moderne doit aller au-delà des blocages statiques et renforcer la détection basée sur le comportement.
Source: https://thehackernews.com/2026/08/fbi-disrupts-china-linked-qtfy.html
