Les États-Unis démantèlent un botnet proxy chinois ciblant la NASA, le Sénat et les agences fédérales

Neutralisation de l'infrastructure

Le département de la Justice des États-Unis a annoncé le 26 août 2026 que les autorités fédérales avaient saisi les domaines utilisés par deux plates-formes de piratage chinoises, QScan et QTRouter. Les documents judiciaires identifient l'opérateur comme étant QTFY, une unité de piratage gérée par le sous-traitant chinois Nanjing Xinjiuwei Network Technology Company. La société fournissait des services numériques offensifs à des entités étatiques chinoises, dont le ministère de la Sécurité d'État et l'Armée populaire de libération. Les enquêteurs ont déclaré que l'infrastructure était utilisée depuis au moins 2018 pour pénétrer les réseaux gouvernementaux et les infrastructures critiques aux États-Unis et à l'étranger. Le procureur général Todd Blanche a décrit la réponse fédérale en matière de poursuites à la suite de l'opération.

Les pirates soutenus par des États qui ciblent les infrastructures critiques de l'Amérique seront arrêtés et tenus pour responsables. Nous sommes ici pour assurer la sécurité des Américains et nous utiliserons tous les outils disponibles pour tenir cette promesse.

Agences infiltrées et secteurs critiques

Les documents judiciaires détaillent des intrusions dans plusieurs organismes fédéraux et entreprises privées. En août 2019, les opérateurs ont tenté de pénétrer les systèmes de la NASA, tandis qu'une intrusion de portée limitée a touché la Réserve fédérale la même année. En septembre 2024, la campagne a infiltré les réseaux de trois laboratoires du département de l'Énergie, du département de la Santé et des Services sociaux, des National Institutes of Health, et d'un fabricant américain de dispositifs de sécurité. Les affidavits judiciaires montrent que le Sénat des États-Unis a subi des compromissions de systèmes aussi récemment qu'en 2026. La liste ciblée comprend également quatre entreprises non nommées aux États-Unis et en Corée du Sud, ainsi que des services publics d'électricité, des fournisseurs de télécommunications, des entrepreneurs de la défense et des hôpitaux.

Routage par proxy et contournement de la détection

L'infrastructure saisie reposait sur une architecture réseau à deux niveaux conçue pour masquer les activités malveillantes. QScan analysait Internet pour identifier et compromettre des milliers d'appareils connectés, comme des routeurs et du matériel réseau. Ces appareils infectés étaient ensuite regroupés dans un réseau proxy via QTRouter, permettant aux opérateurs étrangers d'acheminer le trafic d'attaque via du matériel civil situé à proximité des organisations cibles. Étant donné que les noms de domaine étaient codés en dur directement dans le logiciel du botnet, les saisies de domaine autorisées par le tribunal ont coupé les communications de commande, rendant le réseau proxy inopérant. Richard Hummel, vice-président de la société de cybersécurité SecurityScorecard, a expliqué les défis défensifs créés par le routage proxy localisé.

Lorsqu'une intrusion semble provenir d'un appareil situé dans la même rue que la cible plutôt que de l'étranger, cela donne du temps à l'opérateur et rend l'attribution lente. Mettre hors ligne deux plates-formes de cette taille coûte aux opérateurs des capacités réelles qu'ils utilisaient chaque jour.

Écosystème de sous-traitants dans les opérations cybernétiques

L'opération a impliqué l'assistance d'équipes privées de renseignement sur les menaces, notamment Black Lotus Labs de Lumen Technology, qui a suivi le ciblage par le groupe d'entités de défense, d'aérospatiale et gouvernementales au cours de l'année écoulée. Les analystes décrivent Nanjing Xinjiuwei comme un sous-traitant fournissant des botnets prêts à l'emploi et une infrastructure de relais aux agences de renseignement chinoises. Les représentants diplomatiques chinois à Washington n'ont pas répondu aux demandes de commentaires concernant l'acte d'accusation, et Pékin a toujours rejeté les accusations de cyberattaques dirigées par l'État. Dakota Cary, analyste Chine à la société de cybersécurité SentinelOne, a noté l'expansion plus large des vendeurs de piratage privés soutenant les appareils de renseignement d'État.

Au cours de la dernière décennie, le nombre d'entreprises proposant des services offensifs de niche a augmenté de façon exponentielle.