Le FBI américain a démantelé une infrastructure que le ministère de la Justice a déclarée liée à une entité technologique fournissant des services de reconnaissance, de gestion des relais et de routage des communications pour des opérations d’espionnage informatique liées à la Chine. Les cibles annoncées comprenaient des réseaux d’agences gouvernementales américaines et des infrastructures sensibles, notamment la NASA, la Réserve fédérale, les ministères de l’Énergie et de la Justice, le ministère de la Santé et des Services sociaux, les Instituts nationaux de la santé et le Sénat américain.
L’entité est connue sous les noms de QTFY, QT ou QTCYBER, et le dossier indique qu’elle a créé et exploité les plateformes QScan et QTRouter. Les documents décrivent QScan comme une plateforme d’analyse et d’exploitation, tandis que QTRouter fonctionnait comme un réseau destiné à dissimuler le chemin des communications. Les autorités ont saisi les domaines qtproxy[.]xyz, qt-proxy[.]org et qt-team[.]com, qui affichent désormais une bannière d’un organisme chargé de l’application de la loi.
Une plateforme de services plutôt qu’un outil isolé
Selon une étude de Black Lotus Labs, le pôle de recherche en sécurité de Lumen Technologies, l’infrastructure fournissait un ensemble de services interconnectés. QScan recueillait des informations sur des cibles de grande valeur, telles que les ports ouverts, les bannières des applications, les empreintes des systèmes d’exploitation et les données de configuration. Fast Labyrinth était quant à lui un réseau de relais chiffrés destiné à dissimuler les communications à destination et en provenance des organisations ciblées.
QTRouter fournissait un appareil physique préconfiguré permettant d’accéder à l’infrastructure des relais et au système de gestion des nœuds, tandis que QTProxy permettait de sélectionner les relais et de créer des itinéraires personnalisés via Fast Labyrinth. Les résultats indiquent que ces éléments ont été conçus pour réduire l’effort opérationnel nécessaire à la reconnaissance et à la dissimulation de l’origine du trafic, plutôt que de reposer sur un seul outil de piratage.
Lumen a déclaré que l’infrastructure avait été utilisée pour cibler des organisations militaires et de défense, des réseaux gouvernementaux, des universités et des centres de recherche, des entreprises aéronautiques et du secteur des technologies de l’information, le secteur de la santé, des institutions financières, des entreprises énergétiques et des infrastructures critiques, ainsi que des fournisseurs de logiciels d’entreprise.
Que révèle l’opération de démantèlement ?
Black Lotus Labs affirme avoir surveillé l’infrastructure de QTFY pendant un an et avoir partagé des informations sur la menace avec des organismes gouvernementaux américains. Le laboratoire a également neutralisé des points connus en y redirigeant le trafic vers des itinéraires inefficaces. Lumen estime que le chevauchement entre les cibles analysées par QScan et les organisations contactées ultérieurement par le réseau Fast Labyrinth constitue l’indicateur le plus solide d’un passage de l’activité de la reconnaissance à des opérations ultérieures.
L’entreprise estime que les communications bidirectionnelles observées pourraient refléter des tentatives d’exploitation, des mouvements latéraux, l’établissement d’un accès ou la collecte de données. Les documents judiciaires indiquent quant à eux que le groupe comprenait d’anciens membres d’une branche militaire de l’Armée populaire de libération chinoise et que Nanjing Xinjiuwei Network Technology Company avait reçu des paiements du ministère chinois de la Sécurité d’État, ce que le ministère de la Justice utilise comme indicateur de l’exécution d’activités malveillantes pour le compte du gouvernement chinois.
Pourquoi cette information est-elle importante pour les défenseurs ?
L’importance de l’opération réside dans le fait qu’elle vise un modèle commercial de fourniture d’infrastructures opérationnelles, et non un simple serveur. Fast Labyrinth s’appuyait sur des nœuds payants du service commercial de relais fastlink.ws et mélangeait le trafic d’espionnage avec celui d’utilisateurs légitimes, tout en faisant tourner l’infrastructure d’où provenaient les communications. QTFY vendait également à d’autres entités l’accès à QScan et à QTRouter, permettant d’analyser des appareils vulnérables de l’Internet des objets et de les intégrer à des réseaux de relais masquant l’origine du trafic.
Lumen avertit toutefois que le simple blocage statique ne suffira pas, car le trafic transite par des services commerciaux de relais qui changent constamment. Les données opérationnelles recommandent de suivre les orientations de la CISA et du NCSC concernant les menaces liées à la Chine, de mettre à jour les routeurs, les pare-feu et les appareils de l’Internet des objets, tout en sécurisant leur configuration. La saisie ne prouve pas à elle seule la fin de la menace : les contraintes imposées par la rotation des relais et la possibilité de reconstruire l’infrastructure au moyen d’autres services restent deux questions ouvertes pour les équipes de défense.