Le FBI et le Département de la Justice ont arrêté deux plateformes de piratage liées à un groupe soutenu par l'État chinois, en saisissant trois domaines internet qui servaient de base à ce que les autorités ont décrit comme une vaste opération d'espionnage cybernétique ciblant les réseaux du gouvernement américain et les infrastructures critiques.
Les plateformes, connues sous les noms de QScan et QTRouter, auraient été exploitées par un groupe appelé QTFY, que les autorités américaines ont lié à des employés de la société Nanjing Xinjiuwei Network Technology. En prenant le contrôle des domaines, les autorités ont rendu les deux plateformes inopérantes, car le logiciel malveillant dépendait de ces domaines pour la communication et l'authentification.
Une opération de piratage en tant que service à échelle industrielle
La portée de l'opération n'était pas discrète. En une seule journée en mai 2024, QScan a exécuté plus de 2 millions de tâches de numérisation et d'exploitation, exploitant une vulnérabilité dans le logiciel Check Point pour compromettre plus de 300 organisations américaines en une seule opération.
QTFY aurait offert le hacking comme service à des entités gouvernementales chinoises, notamment le Ministère de la Sécurité d'État et l'Armée populaire de libération. Le groupe a utilisé des dispositifs Internet des objets compromis et des réseaux proxy commerciaux pour masquer ses activités, rendant la détection beaucoup plus difficile pour les défenseurs. Leur liste de cibles inclut la NASA, la Réserve fédérale, le Sénat américain et de nombreuses autres organisations critiques.
Les activités du groupe QTFY remontent à au moins 2018, ce qui signifie qu'elles ont été menées pendant environ huit ans avant cette action d'application particulière.
Dans le cadre d'une répression plus large
Le directeur du FBI, Kash Patel, a présenté la saisie comme une perturbation essentielle d'un botnet mondial utilisé par des pirates informatiques soutenus par l'État chinois.
Cette opération s'inscrit dans un schéma d'actions américaines croissantes contre les menaces cybernétiques liées à la RPC. Des opérations précédentes ont démantelé le botnet Flax Typhoon et éliminé le malware PlugX de plus de 4 000 ordinateurs américains.
L'ambassade de Chine et la société Nanjing Xinjiuwei Network Technology n'ont pas répondu publiquement aux allégations. Pékin a historiquement nié toute implication dans des cyberattaques sponsorisées par l'État, une position de plus en plus difficile à maintenir alors que les procureurs américains accumulent les inculpations et des preuves techniques liant des entreprises et des individus spécifiques à des campagnes d'intrusion.