Les États-Unis démantèlent un réseau de piratage mandaté par la Chine ciblant la NASA, la Fed et le Sénat

Démantèlement fédéral de l'infrastructure proxy

Le département de la Justice des États-Unis et le Federal Bureau of Investigation ont saisi les noms de domaine Internet alimentant deux plateformes de piratage, QScan et QTRouter, que les procureurs fédéraux disent avoir été utilisées par des acteurs parrainés par l'État chinois pour cibler des agences gouvernementales américaines et des infrastructures critiques. Selon des documents judiciaires et des affidavits, l'infrastructure était exploitée par le groupe QTFY sous un sous-traitant du gouvernement chinois nommé Nanjing Xinjiuwei Network Technology Company. L'entreprise fournissait des services de piratage et de relais proxy à des clients incluant le ministère de la Sécurité d'État, le service de renseignement civil chinois, et l'Armée populaire de libération. Des responsables américains ont déclaré que les saisies de domaines ont rendu les deux plateformes de piratage inopérantes. Le procureur général Todd Blanche a qualifié cette action de faisant partie de l'application fédérale continue contre les intrusions étrangères.

Les pirates parrainés par l'État qui ciblent les infrastructures critiques américaines seront arrêtés et traduits en justice. Nous sommes ici pour assurer la sécurité des Américains et utiliserons tous les outils disponibles pour tenir cette promesse.

Portée des brèches gouvernementales et sectorielles

Les documents judiciaires révèlent que les outils proxy ont facilité des cyberintrusions et des campagnes de reconnaissance remontant au moins à 2018. Les entités fédérales ciblées incluent la National Aeronautics and Space Administration, la Réserve fédérale, le département de la Justice, le Sénat américain, le département de l'Énergie, le département de la Santé et des Services sociaux, et les National Institutes of Health. Les pirates ont tenté sans succès d'accéder aux réseaux de la NASA en août 2019, tandis qu'une brèche de portée limitée a eu lieu à la Réserve fédérale en 2019. En septembre 2024, les pirates ont réussi à pénétrer les réseaux de trois laboratoires du département de l'Énergie, des NIH, du HHS et d'un fabricant américain de dispositifs de sécurité. La campagne a également touché des secteurs civils critiques, ciblant des compagnies d'électricité, des fournisseurs de télécommunications, des hôpitaux, des institutions financières, des entrepreneurs de la défense et quatre entreprises non nommées aux États-Unis et en Corée du Sud.

Mécanismes techniques du réseau proxy

Les outils perturbés fonctionnaient ensemble pour masquer l'origine géographique des cyberintrusions. La plateforme QScan identifiait et compromettait des milliers d'appareils connectés à Internet, tels que des routeurs commerciaux et du matériel Internet des objets. Ces systèmes compromis étaient ensuite agrégés via QTRouter en un réseau de proxies botnet distribué. En acheminant le trafic d'attaque par l'intermédiaire de pays tiers ou d'appareils locaux proches des victimes, les opérateurs déguisaient les connexions pour les faire apparaître comme domestiques plutôt que provenant de Chine. Des chercheurs en cybersécurité de Black Lotus Labs de Lumen Technology et de SecurityScorecard ont assisté les autorités fédérales dans l'analyse technique.

Lorsqu'une intrusion semble provenir d'un appareil situé dans la même rue que la cible plutôt que de l'étranger, cela donne du temps à l'opérateur et rend l'attribution lente.

Déni de Pékin et friction diplomatique

Le gouvernement chinois a rejeté les allégations jeudi, déclarant que les accusations manquaient de preuves. Le porte-parole du ministère chinois des Affaires étrangères, Lin Jian, a exprimé une forte opposition lors d'un point de presse à Pékin, accusant Washington d'abuser de l'application de la loi à des fins politiques et qualifiant les États-Unis de plus grande source de piratage et d'espionnage au monde. Lin a cité des rapports chinois antérieurs concernant des opérations présumées de la National Security Agency contre le National Time Service Center de la Chine pour affirmer que Washington mène des sabotages cybernétiques contre des infrastructures étrangères. Les saisies de domaines font suite à des accusations précédentes impliquant des groupes comme Volt Typhoon et Salt Typhoon, qui ciblaient les infrastructures américaines et des candidats politiques. Le président chinois Xi Jinping doit se rendre à Washington en septembre 2026.