if ( !emtpy($headline_subheadline ) ) : ?>
Le démantèlement de QTFY par le FBI révèle comment la dépendance de la Chine à l’égard de cyberentrepreneurs privés donne aux pirates informatiques de l’ampleur et de la furtivité. Cela souligne également pourquoi les RSSI ne peuvent plus se fier uniquement à la réputation IP.
endif; ?>
La semaine dernière, le ministère américain de la Justice et le FBI ont annoncé des saisies autorisées par les tribunaux de domaines codés en dur dans deux plates-formes de piratage complémentaires connues sous le nom de « QScan » et « QTRouter », utilisées par des pirates informatiques parrainés par l’État chinois pour cibler les infrastructures critiques américaines et d’autres réseaux sensibles.
Un groupe parrainé par l’État de la République populaire de Chine (RPC) connu sous le nom de « QTFY », employé par une société basée en Chine. Nanjing Xinjiuwei Network Technology Company, a créé et exploité QScan et QTRouter.
Parmi les cibles de QTFY figurent la National Aeronautics and Space Administration, la Réserve fédérale, le ministère de l’Énergie, le ministère de la Justice, le ministère de la Santé et des Services sociaux, les National Institutes of Health et le Sénat américain.
Les forces de l’ordre ont déclaré que QTFY propose des services de piratage informatique à ses clients payants, notamment le ministère de la Sécurité d’État de la RPC et l’Armée populaire de libération. Les services de piratage incluent QScan et QTRouter, avec QScan analysant et infectant automatiquement des milliers d’appareils Internet des objets (IoT) dans le monde, qui sont ensuite ajoutés au réseau QTRouter d’appareils contrôlés par QTFY.
« Pendant près d’une décennie, QTFY a exploité les vulnérabilités logicielles pour lancer des cyberattaques contre les agences gouvernementales américaines, les compagnies d’électricité, les opérateurs de télécommunications et les principaux systèmes hospitaliers », a déclaré Brett Leatherman, directeur adjoint du FBI en matière de cybersécurité. « QTFY opère au sein d’un réseau complexe de pirates informatiques pour compte d’autrui et de clients gouvernementaux en République populaire de Chine. »
Le FBI a une longue expérience dans la lutte contre les activités de piratage informatique en RPC. Les actions précédentes incluent la suppression des logiciels malveillants de surveillance PlugX de plus de 4 000 ordinateurs américains après qu’ils aient été infectés par le groupe de piratage parrainé par la RPC, Mustang Panda.
En 2024, le FBI a désactivé un botnet composé de centaines de milliers d’appareils Internet des objets infectés, que le groupe de piratage parrainé par la RPC, Flax Typhoon, fournissait à ses clients du gouvernement chinois. En 2023, le FBI a démantelé un autre botnet utilisé par le groupe de piratage informatique parrainé par la RPC, Volt Typhoon, pour dissimuler son exploitation des infrastructures critiques américaines et étrangères.
«C’est un peu comme un point d’étranglement, où plusieurs équipes utilisent le même réseau pour mener des opérations offensives», dit-il. « Si vous supprimez ce réseau, ils devront tous trouver de nouvelles infrastructures pour masquer leur activité. »
Le modèle de piratage du quartier-maître
Pendant un an avant le démantèlement, les Black Lotus Labs de Lumen ont suivi QTFY alors qu’il fonctionnait comme un « quartier-maître », intégrant la reconnaissance, l’orchestration de proxy et le routage opérationnel dans « une couche de service réutilisable, permettant aux acteurs malveillants de valider les routes d’accès et de masquer leurs activités à l’aide d’une infrastructure partagée ».
Rouse a comparé le rôle de Nanjing Xinjiuwei à celui d’un entrepreneur de défense. « Il y a une tonne de ces entreprises en Chine qui sont généralement créées directement après que les gens ont quitté l’APL », dit-il. « En raison de leurs liens avec l’APL, ils ont un statut spécialisé pour faire certaines choses pour le gouvernement de la RPC. Et cela donne au gouvernement un déni plausible car cela ne vient pas réellement de leurs unités. »
La Chine a commercialisé le piratage d’État
Le rôle d’entrepreneur privé de Nanjing Xinjiuwei illustre la manière dont Pékin tire sa capacité opérationnelle d’un écosystème commercial plus large.
« L’entreprise sait qu’elle facilite les opérations offensives des pirates informatiques », déclare Cary de SentinelOne. « Cette activité existe parce que les équipes de hackers ont besoin de ce type d’infrastructure, et la Chine a très bien su utiliser le capitalisme pour créer une grande partie de son infrastructure pour les cyberopérations. »
Le FBI, dans ses enquêtes, a pu suivre le flux de ce système de piratage étatique commercialisé. « Le FBI est formidable dans l’art de suivre l’argent et de créer des cartes très élaborées des clients, des paiements et de toutes sortes de bonnes choses », explique Rouse de Lumen. « C’est ainsi qu’ils ont pu éliminer un grand nombre de ces clients très haut de gamme de cette société, y compris les unités PLA, les unités MSS et d’autres sociétés chinoises très, très bien connectées qui sont dans le domaine du piratage informatique. »
En bref, la Chine a développé un marché d’entrepreneurs privés fournissant des capacités spécialisées aux équipes de piratage de l’État. « Ils ont été très efficaces dans l’utilisation des incitations du marché afin de faciliter le développement d’activités qui répondent à leurs besoins opérationnels », explique Cary.
L’efficacité crée le point d’étranglement
Cette efficacité comparable à celle du marché donne à Pékin une ampleur, une rapidité et un déni plausible. Mais cela concentre également les risques, ce qui permet aux forces de l’ordre américaines de supprimer facilement un service partagé, obligeant chaque équipe qui l’utilise à se démener pour de nouvelles infrastructures.
Cependant, l’opération n’apporte pas de réponse permanente à la dépendance de la Chine à l’égard des entreprises privées et des infrastructures partagées.
Même si des réseaux proxy résidentiels et commerciaux plus furtifs ont remplacé l’ancien modèle « whack-a-mole », « il serait naïf de dire qu’il n’y aura pas une autre entreprise ou 10 autres entreprises qui feront quelque chose de très similaire à celui-ci pour prendre leur relais ou pour les remplacer », dit Rouse.
Il est même possible que Nanjing Xinjiuwei reste dans les parages, comme l’a fait une société chinoise de cybersécurité, Chengdu 404, inculpée par les autorités américaines et internationales comme société écran du groupe de piratage parrainé par l’État APT41.
« Chengdu 404 est un très bon exemple », déclare Cary. « Ils ont été inculpés, et il était très clair que le DOJ et le FBI disaient : ‘Nous savons qui vous êtes. Nous savons où vous travaillez. Nous savons où vous habitez.’ Chengdu 404 est toujours en activité. Ils opèrent toujours à la même adresse. Ils s’en moquent. »
Cependant, Cary compare la situation avec i-Soon, une entreprise privée de cybersécurité basée à Shanghai qui a mené des opérations de piratage et d’espionnage à grande échelle parrainées par l’État pour le compte des agences gouvernementales chinoises. « À l’autre extrémité du spectre se trouve i-Soon, où i-Soon a eu ces fuites en février 24, et ils ont complètement fermé », dit-il. « Je veux dire, ils ont fermé tous leurs bureaux. C’était fini, fini, fini. »
Les leçons pour les RSSI
L’une des principales leçons opérationnelles tirées de cette dernière action est que le blocage des adresses IP basé sur la géographie et la réputation est de plus en plus inadéquat, car l’activité parrainée par l’État chinois semble provenir d’appareils apparemment ordinaires et d’infrastructures commerciales légitimes en dehors de la Chine.
L’infrastructure plus large d’obscurcissement QTRouter et Fast Labyrinth acheminait le trafic via des routeurs de petits bureaux et des appareils IoT, une infrastructure proxy commerciale, des serveurs privés virtuels loués et des adresses IP à rotation dynamique, sapant ainsi le blocage basé sur la géographie et la réputation.
Comme l’a déclaré Leatherman du FBI : « Au lieu de paraître provenir de Chine, le trafic est acheminé via des appareils quotidiens dans plus de 130 pays – potentiellement via des systèmes situés juste à côté du propre réseau de la victime. »
Rouse prévient que le trafic chinois malveillant pourrait ressembler « à du trafic en provenance des États-Unis, provenant par exemple de Charter Communications. Il est donc très difficile de voir que c’est néfaste ».
Les experts incitent les RSSI à ne pas se fier à l’origine et à la réputation de l’adresse IP, en mettant l’accent sur la visibilité comportementale, une sécurité périphérique plus stricte et une base de référence claire sur le trafic légitime.
« Même si l’appareil ou l’adresse IP ne correspond pas à un ASN en Chine, cela ne veut pas dire qu’il n’est pas malveillant », explique Cary.
Rouse conseille aux RSSI : « Assurez-vous que (les appareils de périmètre sont) corrigés ; assurez-vous que vos cycles de vie de correctifs sont raccourcis au plus court possible. »
Il ajoute : « Assurez-vous d’avoir une journalisation adéquate autour de vos pare-feu, de votre périmètre, et recherchez le trafic provenant d’objets résidentiels. Si vous disposez de ce type de référence, vous comprenez à quoi devrait ressembler le trafic et vous pouvez vraiment faire un meilleur travail en examinant les anomalies. »
