Le département américain de la Justice a annoncé le 26 août la saisie, sur autorisation judiciaire, de domaines utilisés par les deux plateformes. Les autorités les attribuent à QTFY, un groupe qu'elles rattachent à Nanjing Xinjiuwei Network Technology, société basée en Chine.

Selon le DOJ, l'entreprise fournissait des services de piratage à des clients payants comprenant notamment le ministère chinois de la Sécurité d'État et l'Armée populaire de libération. Cette attribution est celle des autorités américaines. L'ambassade de Chine à Washington a répondu à Reuters que Pékin combattait les cyberattaques et accusé les États-Unis d'utiliser ces questions pour discréditer la Chine. Nanjing Xinjiuwei n'avait pas répondu à Reuters au moment de sa publication.

QScan trouvait les machines intéressantes avant que d'autres outils prennent le relais

QScan combine reconnaissance et exploitation. L'avis conjoint publié par la NSA, le FBI et le Cyber National Mission Force indique que la plateforme recherchait des vulnérabilités sur Internet, pouvait exploiter des appareils IoT exposés et contribuait à identifier des points d'entrée dans les réseaux ciblés.

Black Lotus Labs, l'équipe de renseignement de Lumen qui suivait cette infrastructure depuis environ un an, décrit un dispositif distribué plutôt qu'un simple scanner lancé depuis une poignée de serveurs. Des workers dispersés recevaient leurs tâches depuis un moteur central reposant notamment sur RabbitMQ, puis retournaient les informations récoltées vers une infrastructure d'agrégation utilisant Redis.

Le système collectait notamment des informations sur les ports ouverts, les applications exposées et certains états de configuration. Lumen indique que les scanners pouvaient faire tourner les blocs d'adresses utilisés afin de compliquer les détections basées sur le volume provenant d'une même source.

L'objectif n'était pas toujours de tenter immédiatement une intrusion. Les chercheurs ont aussi observé une cartographie régulière de périmètres militaires, gouvernementaux, médicaux, financiers et industriels afin d'identifier ce qui changeait ou devenait accessible au fil du temps.

QTRouter ajoutait la partie la plus utile à l'espionnage : ne pas avoir l'air de venir de Chine

Le DOJ décrit QTRouter comme un réseau d'obfuscation regroupant des appareils IoT compromis, des appareils intégrés à des services proxy commerciaux et des serveurs privés virtuels loués. Un opérateur pouvait alors faire transiter ses communications par ces nœuds plutôt que de contacter directement sa cible depuis une infrastructure facilement attribuable.

Une attaque pouvait donc apparaître comme provenant d'un appareil situé dans un autre pays, voire géographiquement proche du réseau visé. Les listes de blocage fondées sur une adresse IP connue ou sur son pays d'origine deviennent beaucoup moins efficaces dans ce scénario.

L'analyse de Black Lotus Labs détaille une architecture un peu plus large autour de QTRouter. Elle inclut notamment QTProxy pour administrer les relais et un réseau baptisé Fast Labyrinth, qui réutilisait aussi des infrastructures proxy commerciales. Les chercheurs parlent d'un rôle de « quartermaster » : une couche technique commune capable de fournir reconnaissance, routes et camouflage à plusieurs opérateurs en aval.

Cette mutualisation évite à chaque groupe d'espionnage de construire son propre réseau de sortie et de maintenir des milliers de relais. Elle crée aussi un point faible commun.

Le FBI n'a pas eu besoin de désinfecter chaque routeur compromis

La neutralisation annoncée cette semaine repose sur une caractéristique beaucoup plus banale du système. Le DOJ affirme que les domaines saisis étaient codés en dur dans QScan et QTRouter et qu'ils étaient indispensables à des fonctions comme les communications et l'authentification.

En prenant le contrôle de ces domaines, les autorités disent avoir rendu les deux plateformes inopérantes. Elles ne prétendent pas pour autant avoir nettoyé chaque appareil IoT qui avait servi de relais ni avoir neutralisé définitivement tous les acteurs ayant utilisé l'infrastructure.

Un réseau de ce type peut être reconstruit avec de nouveaux serveurs, de nouveaux domaines et de nouveaux appareils compromis. L'intérêt immédiat de la saisie est ailleurs : casser une infrastructure déjà opérationnelle et obliger ses utilisateurs à recréer une partie de leur chaîne.

La liste des organisations citées ne correspond pas à une liste de piratages tous réussis

Le communiqué du DOJ cite notamment la NASA, la Réserve fédérale, le Department of Energy, le Department of Justice, le Department of Health and Human Services, les National Institutes of Health et le Sénat américain parmi les organisations touchées ou ciblées dans cette activité.

Les documents publics donnent cependant un tableau plus nuancé. Reuters rapporte qu'une tentative visant le VPN de la NASA en août 2019 n'avait pas réussi. En mars 2026, des recherches de vulnérabilités et des tentatives contre le Sénat américain et un hôpital américain ont également échoué.

D'autres opérations ont abouti. L'affidavit évoque notamment des intrusions en septembre 2024 dans trois laboratoires du Department of Energy, aux NIH, dans une agence relevant de HHS et chez un fabricant américain d'équipements de sécurité. L'avis conjoint mentionne aussi des vols de données réussis chez des sous-traitants de la défense, des institutions financières et des universités en mai 2024.

Il faut donc distinguer reconnaissance, tentative d'exploitation, intrusion réussie et vol de données. Le fait qu'une adresse ou une organisation apparaisse dans les documents ne signifie pas automatiquement que l'attaquant a obtenu un accès complet.

Le correctif pratique commence par les appareils que personne ne regarde

L'avis NSA/FBI recommande d'appliquer les mises à jour logicielles et firmware, d'auditer les applications exposées sur Internet, de séparer les systèmes critiques des équipements de bord et de rechercher les indicateurs de compromission publiés avec l'avis.

La recommandation sur les équipements de bord est particulièrement pertinente ici. Les routeurs, équipements SOHO et objets connectés sont souvent laissés actifs pendant des années avec peu de supervision. Une fois compromis, ils possèdent pourtant une véritable adresse résidentielle ou professionnelle, un accès permanent à Internet et très peu de raisons d'attirer l'attention.

QTFY est suivi par les autorités américaines depuis des activités remontant au moins à 2018. Les indicateurs techniques publiés le 26 août permettent maintenant aux administrateurs de rechercher une partie de cette infrastructure dans leurs historiques DNS et réseau.