Le FBI et la NSA démantelent un réseau de piratage lié à la Chine ciblant les infrastructures critiques des États-Unis : la NASA et la Fed figurent parmi les cibles

Le Federal Bureau of Investigation (FBI) et la National Security Agency ont perturbé une opération de piratage liée à la Chine qui visait des infrastructures critiques et des réseaux sensibles américains.

Les agences ont annoncé cette action mercredi, le ministère de la Justice et le FBI affirmant avoir saisi des domaines utilisés par les plateformes QTFY QScan et QTRouter. La NSA, le FBI et la Cyber National Mission Force ont également publié un avis conjoint en matière de cybersécurité sur l'activité du groupe datant de 2018.

« Nous avons annoncé aujourd'hui la perturbation d'un botnet mondial et d'une plateforme de piratage utilisés par des pirates informatiques parrainés par l'État chinois pour cibler les infrastructures critiques des États-Unis », a déclaré le directeur du FBI, Kash Patel, dans un communiqué du ministère de la Justice. « Ces outils ont été utilisés par les cyberacteurs de la RPC pour cacher l'origine de leurs attaques. Grâce au travail du FBI de San Diego, de la division cybernétique du FBI et de nos partenaires du ministère de la Justice, nous avons saisi l'infrastructure de l'adversaire et fermé ces plateformes. »

Comment QTFY a caché ses attaques

QTFY est liée par les autorités américaines à la société chinoise Nanjing Xinjiuwei Network Technology Company. Les enquêteurs affirment que le groupe a utilisé QScan pour scanner et exploiter des appareils vulnérables connectés à Internet et QTRouter pour dissimuler l'origine de ses attaques.

Selon des documents judiciaires, QTFY a fourni des services de piratage à des clients payants, notamment au ministère chinois de la Sécurité d'État et à l'Armée populaire de libération. Le réseau QTRouter comprenait des appareils IoT compromis, des services proxy commerciaux et des serveurs privés virtuels loués.

L'affidavit du FBI indique que l'activité de QTFY a ciblé le gouvernement américain et des réseaux d'infrastructures critiques, notamment la NASA, la Réserve fédérale, le ministère de l'Énergie, le ministère de la Santé et des Services sociaux, les National Institutes of Health et le Sénat américain. Il décrit également une intrusion de la NASA en 2019 et des attaques de 2024 impliquant trois laboratoires du ministère de l'Énergie.

QScan a traité plus de 2 millions de tâches de numérisation et d'exploitation en 2024, selon l'affidavit. Les enquêteurs ont également déclaré que QTFY avait exploité une vulnérabilité et avait volé des fichiers de configuration de serveurs et des données de comptes utilisateurs à plus de 300 organisations américaines.

Le FBI a déclaré que les domaines saisis étaient importants pour le fonctionnement de QScan et QTRouter, et le DOJ a déclaré que leur prise de contrôle rendait les plateformes inopérantes.

Cybermenaces liées à la Chine

La dernière opération intervient dans un contexte d'inquiétude croissante des États-Unis concernant la cyberactivité liée à la Chine. CrowdStrike Holdings (NASDAQ : CRWD) avait précédemment découvert que plus de 58 % des cyberattaques soutenues par l'État contre des entreprises technologiques provenaient d'acteurs liés à la Chine, les attaquants recherchant des technologies d'IA et des droits de propriété intellectuelle.

Par ailleurs, des chercheurs de la société de cybersécurité israélienne Dream ont fait état d'une campagne assistée par l'IA contre les systèmes gouvernementaux taïwanais en juillet qui a compromis au moins 85 comptes et extrait plus de 2 500 dossiers personnels. Les chercheurs ont indiqué que l'opération montrait des signes de liens avec la Chine.

JPMorgan Chase & Co. Le PDG de (NYSE : JPM), Jamie Dimon, a également soutenu les efforts visant à améliorer la coopération entre les entreprises en matière de cybersécurité et de risques liés aux infrastructures critiques alors que les menaces liées aux cyberattaques et à l'IA avancée se multiplient.

QTFY a utilisé des méthodes de masquage supplémentaires

L'opération a également utilisé des réseaux dits « aéroportuaires » en Chine pour associer un trafic malveillant à une activité Internet normale, selon un article du Wall Street Journal publié mercredi.

Rumaisa Habib, doctorante à l'université de Stanford qui étudie ces réseaux, a déclaré au Wall Street Journal que des milliers de ces réseaux fonctionnaient en Chine et faisaient l'objet d'une publicité via Telegram.

Damon Rouse, ingénieur des Black Lotus Labs de Lumen, a déclaré au Wall Street Journal que cette approche rendait les attaquants plus difficiles à identifier en leur conférant un « déni plausible ».

« Les pirates informatiques malveillants parrainés par l'État qui s'attaquent aux infrastructures critiques des États-Unis seront arrêtés et poursuivis en justice », a déclaré le procureur général Todd Blanche dans un communiqué du ministère de la Justice. « Nous sommes là pour garantir la sécurité du peuple américain et nous utiliserons tous les outils dont nous disposons pour tenir cette promesse. »

« L'annonce d'aujourd'hui démontre l'engagement indéfectible du ministère de la Justice à passer à l'offensive contre les cybermenaces à la sécurité nationale », a déclaré le procureur général adjoint à la sécurité nationale John A. Eisenberg. « Ces saisies autorisées par les tribunaux empêchent les pirates informatiques liés à la RPC d'accéder aux outils qu'ils utilisent pour lancer des attaques en ligne contre les infrastructures critiques de notre pays. »

Le ministère de la Justice a déclaré que la perturbation de QTFY faisait partie d'une série plus large d'opérations américaines ciblant les réseaux de piratage sponsorisés par la Chine. Le FBI et la NSA ont également publié des indicateurs de compromission pour aider les organisations à identifier les activités du groupe.

Avertissement : Ce contenu a été partiellement produit à l'aide d'outils d'IA et a été révisé et publié par les éditeurs de Benzinga.