Le FBI désactive les outils de piratage liés à la Chine utilisés contre les agences américaines

Le FBI a saisi mercredi trois domaines Internet que les procureurs affirment que des pirates informatiques soutenus par le gouvernement chinois utilisaient pour cibler des agences américaines, des infrastructures critiques et d’autres réseaux.

Le ministère de la Justice a attribué les outils, connus sous les noms de QScan et QTRouter, à un groupe de piratage informatique appelé QTFY. Les archives judiciaires indiquent que le groupe opère par l’intermédiaire de Nanjing Xinjiuwei Network Technology Company, une société privée chinoise qui vendait des services de piratage à la principale agence de renseignement civile chinoise et à son armée.

Le groupe a ciblé des réseaux appartenant à la NASA, à la Réserve fédérale, aux National Institutes of Health, au Sénat américain et aux départements de l’Énergie, de la Justice, de la Santé et des Services sociaux, selon un affidavit du FBI. Des hôpitaux, des fournisseurs de télécommunications, des compagnies d’électricité, des banques et des entreprises du secteur de la défense ont également été visés.

Le dossier ne dit pas que chaque tentative d’attaque a réussi. Une tentative contre la NASA en 2019, par exemple, a échoué parce que l’agence avait déjà corrigé la faille de sécurité que les pirates avaient tenté d’exploiter.

L’ambassade de Chine à Washington, DC, n’a pas immédiatement répondu à une demande de commentaires. Les responsables chinois ont nié à plusieurs reprises les opérations de piratage informatique menées par Pékin contre les États-Unis.

QScan a été utilisé pour rechercher les points faibles tandis que QTRouter a aidé les pirates à se cacher. QScan a recherché sur Internet des systèmes vulnérables et a tenté de s’y introduire. QTRouter a envoyé le trafic des pirates via des routeurs piratés et d’autres appareils connectés à Internet, des services proxy commerciaux et des serveurs loués. Cette configuration visait à donner l’impression que l’activité venait d’ailleurs que de Chine.

QScan transportait le code de plus de 200 attaques différentes et pouvait fonctionner à grande échelle. En une journée de 2024, il a traité plus de 2 millions de tâches d’analyse ou d’exploitation, selon l’affidavit.

Lumen Technologies, qui a suivi la même infrastructure pendant environ un an, a décrit l’opérateur comme un « quartier-maître de l’infrastructure » qui fournissait à d’autres pirates informatiques liés à la Chine un service prêt à l’emploi pour trouver des cibles et masquer leurs traces. Lumen a déclaré que les réseaux examinés pour la première fois par QScan ont ensuite été vus communiquant via le réseau caché du groupe, suggérant que certaines opérations étaient passées de la reconnaissance de cibles à des tentatives d’intrusion. Le système a également mélangé le trafic malveillant avec celui des utilisateurs Internet ordinaires, le rendant plus difficile à repérer et à bloquer.

« Ces outils ont été utilisés par les cyber-acteurs de la RPC pour cacher l’origine de leurs attaques », a déclaré mercredi le directeur du FBI, Kash Patel.

Les enquêteurs ont déclaré que QTFY pourrait profiter rapidement et à grande échelle des failles de sécurité récemment découvertes. En mai 2024, le groupe aurait exploité une faille dans l’équipement de sécurité de Check Point peu après qu’elle ait été rendue publique, volant les paramètres de serveur et les informations de compte utilisateur de plus de 300 organisations américaines, selon des documents judiciaires.

Plusieurs mois plus tard, les pirates auraient utilisé une faille jusqu’alors inconnue dans un produit Ivanti pour accéder à trois laboratoires nationaux, au NIH, à une autre agence du HHS et à un fabricant américain de dispositifs de sécurité.

Les enquêteurs ont également lié l’infrastructure du groupe à des tentatives d’attaque contre un centre médical de l’Ohio pendant la pandémie de COVID-19, des organisations financières du Michigan et de la Corée du Sud et une organisation d’assurance du Missouri.

Cette affaire montre à quel point les services de renseignement et les agences militaires chinoises continuent de s’appuyer fortement sur des entreprises privées pour leurs opérations et services cybernétiques.

L’annonce de mercredi fait suite à des années d’opérations similaires du FBI contre les infrastructures de piratage chinoises. L’année dernière, le bureau a supprimé le logiciel malveillant de surveillance PlugX de plus de 4 200 ordinateurs américains infectés par un autre groupe de piratage soutenu par l’État.

Les autorités fédérales ont également démantelé un réseau de routeurs, caméras et autres appareils compromis associés à Flax Typhoon et perturbé un réseau distinct utilisé par l’éminent collectif de hackers chinois Volt Typhoon pour dissimuler les attaques contre les infrastructures critiques américaines.