Le FBI neutralise deux outils liés à des intrusions chinoises
Le département américain de la Justice et le FBI ont annoncé la saisie judiciaire de trois domaines qui faisaient fonctionner QScan et QTRouter. Selon les autorités américaines, ces deux plateformes ont servi à des intrusions contre des réseaux sensibles, dont ceux de la NASA et de la Réserve fédérale. L'opération bloque des outils, mais ne permet pas à elle seule de conclure que toutes les machines compromises ont été nettoyées.
Trois domaines saisis pour rendre les outils inopérants
Le 27 août, le département de la Justice des États-Unis a annoncé, avec le FBI, la saisie autorisée par un tribunal de trois noms de domaine. Les autorités expliquent que ces domaines étaient indispensables au fonctionnement de QScan et QTRouter, deux services complémentaires employés dans des opérations d'intrusion.
Selon le communiqué, les domaines étaient inscrits directement dans les programmes malveillants et servaient notamment aux communications et à l'authentification. Leur saisie devait donc empêcher QScan et QTRouter de fonctionner. Il s'agit d'une perturbation technique de l'infrastructure, pas de l'arrestation publique d'individus annoncée dans ce communiqué.
Des objets connectés transformés en relais
La mécanique décrite par la justice américaine mérite l'attention. QScan recherchait puis infectait automatiquement des milliers d'objets connectés dans le monde. Ces appareils pouvaient être des équipements connectés mal sécurisés, utilisés ensuite comme points de passage plutôt que comme cibles finales.
QTRouter regroupait ces appareils compromis, des services de proxy commerciaux et des serveurs privés loués. Ce réseau de relais permettait de faire paraître les communications malveillantes comme venant d'ordinateurs situés hors de Chine, parfois même à proximité de la cible. Pour les enquêteurs, masquer ainsi l'origine d'une connexion complique considérablement l'attribution et la détection.
NASA, Réserve fédérale et autres organismes cités
Le département de la Justice cite parmi les victimes d'activités d'intrusion attribuées à ce groupe la NASA, la Réserve fédérale américaine, les départements de l'Énergie, de la Justice et de la Santé, les National Institutes of Health ainsi que le Sénat américain. Le communiqué confirme que ces organisations ont été visées, mais ne détaille pas, pour chacune, les données consultées, extraites ou modifiées.
Les autorités américaines attribuent l'exploitation de ces plateformes au groupe QTFY, qu'elles présentent comme soutenu par l'État chinois et employé par l'entreprise Nanjing Xinjiuwei Network Technology Company. Elles indiquent que ce groupe proposait des services de piratage à des clients, dont le ministère chinois de la Sécurité d'État et l'Armée populaire de libération. Cette attribution est celle du gouvernement américain.
Une activité suivie depuis au moins 2018
L'opération ne porte pas sur une attaque apparue cette semaine. La justice américaine indique que le FBI et la NSA ont publié le même jour un avis technique fondé sur leur analyse d'activités de QTFY remontant au moins à 2018. Le communiqué replace aussi cette saisie dans plusieurs opérations américaines contre des réseaux d'appareils compromis associés à des groupes liés à la Chine.
En 2025, le FBI avait retiré le logiciel de surveillance PlugX de plus de 4 000 ordinateurs américains. En 2024, il avait neutralisé un botnet composé de centaines de milliers d'objets connectés, attribué au groupe Flax Typhoon. Ces précédents ne prouvent pas que les mêmes appareils ou les mêmes victimes soient concernés ici, mais ils montrent pourquoi les botnets d'objets connectés restent une priorité pour les autorités.
Pourquoi cette affaire concerne aussi les particuliers
L'élément le plus concret pour le public n'est pas une fuite de données annoncée chez un service français. C'est le rôle des objets connectés oubliés : un appareil qui reste connecté, avec son logiciel ancien ou ses identifiants par défaut, peut devenir un relais discret pour des activités visant d'autres organisations.
La saisie de domaines peut couper un outil précis, sans mettre automatiquement à jour les équipements vulnérables. Vérifier les mises à jour de sa box, caméra, routeur ou autre objet connecté administrable, changer les identifiants d'origine et désactiver l'accès distant inutile restent donc des mesures cohérentes avec le mécanisme décrit par les autorités. Si un équipement ne reçoit plus de correctifs, il mérite une attention particulière.
Ce que nous ne pouvons pas vérifier
Le communiqué du département de la Justice ne précise pas le nombre total d'appareils infectés par QScan, ni les dates exactes des intrusions concernant chaque organisation citée. Il ne détaille pas non plus les conséquences concrètes pour la NASA, la Réserve fédérale ou les autres victimes, ni l'éventuelle exfiltration de données.
Nous ne pouvons pas vérifier de manière indépendante l'attribution à QTFY, les liens organisationnels allégués avec les autorités chinoises, ni le périmètre réel de chaque intrusion. Ces éléments sont présentés ici comme les conclusions des autorités américaines, pas comme des faits établis par une enquête indépendante accessible au public.
Le déroulé
- Depuis au moins 2018 · Le FBI et la NSA situent les activités analysées de QTFY au moins à cette date.
- 27 août 2026 · Le département de la Justice et le FBI annoncent la saisie judiciaire de trois domaines associés à QScan et QTRouter.
Ce qu'il faut faire
- Mettez à jour vos objets connectés. Un équipement non corrigé peut devenir un relais à l'insu de son propriétaire.
- Remplacez les identifiants d'origine. Les mots de passe par défaut restent un point d'entrée évitable sur les équipements administrables.
- Désactivez l'accès distant inutile. Réduire les services accessibles depuis Internet limite les possibilités d'exploitation.
Sources : Département de la Justice des État… ↗ · FBI et NSA ↗
Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.