Le ministère de la Justice et le FBI ont annoncé, le 26 août 2026, la saisie de domaines utilisés par deux plateformes de piratage, QScan et QTRouter. Ces outils, codés dans des malwares, auraient servi des opérations d’espionnage affectant des agences fédérales sensibles.
Justice Department saisit les domaines QScan et QTRouter
La saisie judiciaire vise à couper l’accès aux domaines qui servaient d’infrastructure pour les campagnes de QTFY. QScan et QTRouter ont été répertoriés dans les documents déposés dans le district sud de Californie, autorisant la confiscation des URLs et des serveurs associés.
Le DOJ indique que ces domaines étaient codés en dur dans les binaires des malwares, rendant leur rôle central à l’opération. Les autorités ont obtenu des ordonnances de maintien pour rediriger le trafic et empêcher de nouvelles communications entre opérateurs et systèmes compromis.
Le mouvement vise aussi à préserver des preuves numériques afin d’étayer des poursuites potentielles. Les procureurs cherchent à démontrer que les infrastructures n’ont pas servi d’acteurs non étatiques, mais ont soutenu des activités liées à un acteur parrainé par l’État.
Selon les responsables, l’action permettra de neutraliser temporairement les capacités d’opérations massives de balayage et d’infection automatisée, limitant la propagation et la réutilisation de ces outils contre des cibles américaines.
Nanjing Xinjiuwei lié au ministère de la Sécurité de l’État
Les documents de justice identifient la société chinoise Nanjing Xinjiuwei Network Technology Company comme opératrice commerciale des plateformes. Le DOJ affirme que la clientèle inclut le Ministère de la Sécurité de l’État et l’Armée populaire de libération.
Selon l’acte judiciaire, Nanjing Xinjiuwei offrait des services de piratage à la demande, dont la fourniture et la maintenance de QScan et QTRouter. Les contrats auraient permis d’orienter des campagnes ciblées contre entités gouvernementales et industrielles.
Les autorités américaines estiment que la relation commerciale entre la société et des organes d’État a facilité des opérations à grande échelle, y compris l’accès persistant à des réseaux sensibles. Les documents fournis détaillent échanges techniques et facturations internes.
Les sanctions et actions judiciaires cherchent à isoler l’entité et à restreindre son accès aux infrastructures Internet commerciales. Les enquêtes internationales auprès d’hébergeurs et de fournisseurs de services cloud sont en cours pour tracer les flux et contrats.
Victimes : NASA, Réserve fédérale, Sénat et agences fédérales
Parmi les entités compromises, le DOJ cite la NASA, la Réserve fédérale, le Sénat des États-Unis et plusieurs départements fédéraux, dont l’Énergie et la Santé. Ces intrusions ont visé données sensibles et accès réseau.
Les documents précisent que les intrusions ont parfois exploité des vulnérabilités IoT pour obtenir des points d’appui initiaux, puis déplacé latéralement vers des segments plus sensibles. Des réseaux militaires, des hôpitaux et des opérateurs électriques figurent aussi parmi les cibles.
Les conséquences opérationnelles varient : exfiltration partielle de données, accès persistant, et mise en place de portes dérobées. Les agences affectées ont lancé des réponses techniques et des revues de sécurité renforcées, avec rotations de clés et audits réseau.
Le DOJ note que la diversité des victimes illustre la portée transversale de la campagne, mêlant espionnage stratégique et collecte d’informations utiles pour des opérations militaires ou économiques.
Mode opératoire : IoT compromis et réseau d’obfuscation QTRouter
Le duo QScan/QTRouter combinait des fonctions complémentaires : QScan automatisait le balayage et l’infection d’appareils IoT, tandis que QTRouter organisait un réseau d’obfuscation à base d’appareils compromis et de serveurs loués.
QScan a permis d’ajouter « des milliers » d’appareils à un pool contrôlé, offrant une échelle massive pour acheminer le trafic malveillant. QTRouter mélangeait ces points d’appui avec des proxys commerciaux pour masquer l’origine des connexions.
La technique rendait difficile l’attribution immédiate, les communications semblant provenir d’instances dispersées mondialement. Le DOJ a toutefois reconstitué des chaînes techniques reliant les opérations à la société opératrice basée à Nanjing.
En privant QTFY de ses domaines centraux, les autorités espèrent réduire l’efficacité opérationnelle et gagner du temps pour renforcer la défense des infrastructures critiques et poursuivre des actions judiciaires ciblées.
| Caractéristique | QScan | QTRouter |
|---|---|---|
| Rôle | Balayage et infection IoT | Réseau d’obfuscation |
| Échelle | Des milliers d’appareils compromis | Combinaison d’IoT et serveurs loués |
| Objectif | Propagation automatique | Masquage de l’origine du trafic |
