En bref
Le 26 août 2026, le DOJ et le FBI ont annoncé la saisie, autorisée par le tribunal, de trois domaines alimentant QScan et QTRouter — deux plateformes de hacking exploitées par le groupe chinois parrainé par l’État QTFY (Nanjing Xinjiuwei Network Technology), agissant pour le compte du Ministère de la Sécurité d’État de Chine et de l’Armée populaire de libération. QScan compromettait automatiquement des milliers d’appareils IoT dans le monde entier ; QTRouter acheminait le trafic d’attaque via ces appareils pour masquer les origines. Les victimes confirmées comprennent la NASA, la Réserve fédérale, les départements de l’Énergie et de la Justice, le HHS, le NIH, le Sénat américain, des hôpitaux et des institutions financières. L’opération a fonctionné en continu de 2018 à 2026. Les CVE exploitées couvrent Fortinet, Citrix, Exchange, F5, Log4j, Confluence, Ivanti et BeyondTrust — des produits de périmètre d’entreprise standard.
Comment fonctionnaient QScan et QTRouter
QScan était un scanner automatisé qui sondait en permanence Internet à la recherche d’appareils IoT vulnérables — routeurs, caméras, appliances réseau et serveurs commerciaux. Lorsqu’il détectait un appareil exposé correspondant à une CVE connue, il l’infectait automatiquement sans intervention humaine. Les appareils compromis étaient ensuite ajoutés à QTRouter, un botnet proxy qui acheminait le trafic d’attaque de QTFY via des systèmes situés physiquement en dehors de la Chine.
L’architecture à deux plateformes résolvait un problème opérationnel persistant pour les attaquants parrainés par un État : l’attribution. Lorsque le trafic d’intrusion réel transite par un routeur résidentiel dans l’Ohio ou un VPS cloud en Allemagne, l’organisation cible voit une adresse IP d’apparence locale, et non chinoise. Le renseignement sur les menaces basé sur les IP est aveugle à ce schéma. Le FBI a décrit QTRouter comme faisant apparaître les attaques « comme provenant d’une source locale plutôt qu’originaires de Chine ».
Les deux plateformes dépendaient de trois domaines codés en dur — qtproxy.xyz, qt-proxy.org et qt-team.com — pour l’authentification et le commandement et contrôle. Cette décision architecturale a causé leur perte : la saisie des domaines a rendu les deux plateformes simultanément inopérantes, sans nécessiter d’arrestations ni d’accès physique à l’infrastructure.
Qui a été ciblé — et pendant combien de temps
L’opération a duré de 2018 à 2026 — huit ans d’accès continu aux infrastructures critiques américaines. Les cibles confirmées divulguées dans les documents judiciaires comprennent la NASA, la Réserve fédérale, les départements de l’Énergie, de la Justice et de la Santé et des Services sociaux, les Instituts nationaux de la santé et le Sénat américain. Au-delà des agences fédérales, les victimes incluent des hôpitaux, des institutions financières, des opérateurs télécom et des sous-traitants de la défense.
L’étendue est délibérée. Les clients de QTFY — le Ministère de la Sécurité d’État et l’APL — utilisent un accès persistant à plusieurs secteurs simultanément. Un hôpital fournit des données sur les patients et des pipelines de recherche. Une institution financière fournit des flux de transactions et des rapports réglementaires. Un opérateur télécom offre une capacité d’interception des communications. Il ne s’agit pas d’intrusions opportunistes ; ce sont des opérations de collecte à long terme.
La liste CVE : vos logiciels d’entreprise y figurent
La communauté des tests d’intrusion a documenté les cibles d’exploitation de QTFY dans les dossiers judiciaires. Les CVE couvrent des produits présents dans presque tous les inventaires de périmètre d’entreprise :
- Fortinet SSL-VPN — la passerelle VPN utilisée par des dizaines de milliers d’organisations pour l’accès à distance
- Citrix ADC — livraison d’applications et équilibrage de charge, souvent exposé sur Internet
- Microsoft Exchange — serveurs de messagerie sur site, cible récurrente en raison de la complexité et des cycles de correction lents
- F5 BIG-IP — équilibreurs de charge et systèmes de gestion du trafic dans les environnements financiers et de santé
- Apache Log4j — la vulnérabilité de bibliothèque qui a dominé les divulgations de 2021 et est apparemment restée non corrigée dans certains environnements jusqu’en 2026
- Atlassian Confluence — documentation interne et wikis de projet, courants dans les organisations de développement logiciel
- Passerelles Check Point — appliances de pare-feu et de sécurité réseau
- CrushFTP — serveurs de transfert de fichiers, courants dans les secteurs réglementés traitant de grands ensembles de données
- Appliances Ivanti — systèmes VPN et de gestion des terminaux, avec un historique d’exploitation de type zero-day en 2024–2026
- BeyondTrust Remote Support — gestion des accès à privilèges pour les opérations informatiques à distance
Le schéma commun à cette liste est cohérent : des appliances exposées sur Internet avec des cycles de correction retardés. Aucune de ces vulnérabilités ne nécessitait une recherche zero-day sophistiquée. Il s’agissait de failles connues, référencées par CVE, corrigées par les éditeurs, où l’écart entre la disponibilité du correctif et son déploiement a ouvert la porte.
Comment le FBI a neutralisé les plateformes
Le FBI a obtenu des mandats auprès du District Sud de Californie pour saisir les trois domaines C2 codés en dur. Une fois saisis, QScan ne pouvait plus authentifier les appareils infectés, et QTRouter a perdu son infrastructure de commandement. Les deux plateformes se sont éteintes simultanément. Il n’y a pas eu d’arrestations ; l’attribution a été confirmée via les enregistrements de paiement du MSS à Nanjing Xinjiuwei, qui compte d’anciens membres de l’APL dans ses effectifs.
L’approche de saisie — ciblant l’infrastructure partagée plutôt que les machines individuelles infectées — est en train de devenir la pratique standard des forces de l’ordre américaines pour contrer les botnets parrainés par des États. Elle est opérationnellement plus rapide que de tenter de nettoyer des milliers d’appareils IoT individuellement compromis dans de multiples juridictions, et elle oblige les adversaires à reconstruire depuis zéro plutôt que de simplement ré-enregistrer un domaine.
Ce que cela signifie pour les équipes logicielles US et UE
Les appliances de périmètre non corrigées sont le point d’entrée de référence des acteurs étatiques. La liste CVE de QTFY doit être traitée comme un inventaire de correctifs prioritaires, et non comme une curiosité historique. Log4j y figurait en 2026 — près de cinq ans après la divulgation initiale. Les organisations qui affirment « ne pas être une cible gouvernementale » devraient reconsidérer leur position : la Réserve fédérale et le NIH figuraient sur cette liste aux côtés d’hôpitaux et de sous-traitants de la défense. Les données de la chaîne d’approvisionnement et financières de toute organisation en contact avec un secteur réglementé constituent des cibles de collecte attractives.
Les appareils IoT de votre environnement sont du matériel de botnet. QTRouter a été construit à partir de caméras, de routeurs et d’appliances compromis — la même catégorie d’appareils que l’on trouve dans les laboratoires de développement, les réseaux de bureau et les environnements de staging. Une caméra IP non gérée dans une salle serveur n’est pas un risque théorique ; c’est l’infrastructure qui rend possible le routage proxy des attaques comme celle de QTFY. La segmentation réseau qui isole les appareils IoT des systèmes traitant des données sensibles réduit le rayon d’impact lorsqu’un appareil est compromis.
L’attribution basée sur les IP est peu fiable pour le trafic étatique. QTRouter a spécifiquement contourné les listes blanches d’IP et le blocage par pays en transitant par des IP domestiques. Pour les équipes cloud et DevOps qui maintiennent des règles de groupes de sécurité et des politiques WAF : le trafic en provenance de régions géographiques attendues n’est pas équivalent à du trafic de confiance. La détection d’anomalies comportementales, la télémétrie des terminaux et les politiques réseau Zero Trust fournissent les couches que les règles IP brutes ne peuvent pas offrir.
Les équipes FinTech et HealthTech font face au même profil de menace que la Réserve fédérale et le NIH. Les cibles de cette opération sont exactement les industries dans lesquelles opèrent les clients de YuSMP. Les délais de notification de violation RGPD et HIPAA supposent que les incidents sont détectés en jours ou semaines ; QTFY a opéré pendant huit ans avant la saisie. Les intrusions à long terme, à faible volume, ne déclenchent pas les alertes à seuil que la plupart des configurations SIEM sont réglées pour détecter.
Ce que cela signifie pour le marché français : L’ANSSI (Agence nationale de la sécurité des systèmes d’information) classe les groupes APT chinois parmi les menaces prioritaires pour la France, notamment dans les secteurs de l’aéronautique, de l’énergie et de la défense. Les CVE exploitées par QTFY — Fortinet, Citrix, Ivanti, BeyondTrust — figurent régulièrement dans les bulletins de sécurité de l’ANSSI. Pour les OIV (Opérateurs d’Importance Vitale) et les OES (Opérateurs de Services Essentiels) soumis à la loi de programmation militaire 2024–2030 et à la transposition de NIS2, toute compromission significative d’un système d’information doit être déclarée à l’ANSSI dans les meilleurs délais. Un appareil IoT compromis servant de nœud de proxy dans le style de QTRouter constitue un incident de sécurité déclarable. Par ailleurs, toute atteinte aux données à caractère personnel déclenche une notification à la CNIL dans un délai de 72 heures, conformément au RGPD. Les équipes françaises de FinTech et de HealthTech, qui opèrent dans les mêmes secteurs que les victimes de QTFY, doivent traiter la liste CVE comme un inventaire d’audit prioritaire.
Votre périmètre figure-t-il sur la liste CVE de QTFY ?
Nos ingénieurs réalisent des audits de sécurité et des tests d’intrusion qui cartographient votre surface d’attaque exposée sur Internet en regard des schémas d’exploitation connus, y compris les CVE utilisées dans les opérations étatiques. Nous livrons une feuille de route de remédiation priorisée avec des délais de correction adaptés à votre cycle de déploiement. Les missions durent généralement deux à quatre semaines.
Demander un audit de sécuritéCe que les équipes dev doivent faire maintenant
| Action | Calendrier | Notes |
|---|---|---|
| Corriger Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP, Ivanti et BeyondTrust Remote Support vers les versions actuelles | Cette semaine | Les cinq figurent sur la liste d’exploitation QTFY et disposent tous de correctifs éditeur actuels ; tout délai après une opération de compromission divulguée est indéfendable lors d’un audit de conformité |
| Auditer tous les déploiements Exchange sur site pour les mises à jour cumulatives appliquées | Cette semaine | Exchange sur site reste une cible de haute valeur ; si votre organisation ne peut pas maintenir un rythme mensuel de mises à jour cumulatives, la migration vers le cloud représente une posture à moindre risque que l’auto-hébergement continu |
| Rechercher les dépendances Log4j dans tous les services, y compris les dépendances transitives | Ce sprint | La présence de Log4j dans une opération de 2026 signifie que des organisations l’exécutent encore ; un scan du graphe de dépendances coûte moins qu’une mission de réponse à incident |
| Inventorier et segmenter les appareils IoT sur tous les réseaux | Ce sprint | La segmentation réseau isolant les caméras, le matériel de contrôle d’accès et les appliances non gérées des systèmes internes limite le potentiel de pivotement de tout appareil compromis |
| Réviser les seuils d’alerte SIEM pour les anomalies à longue durée et faible volume | Sprint suivant | Les alertes standard à seuil manquent une persistance de huit ans ; les bases de référence comportementales et l’analyse des entités utilisateurs (UEBA) détectent les anomalies que les règles de volume ne capturent pas |
| Appliquer les politiques réseau Zero Trust sur les charges de travail connectées au cloud | Prochain trimestre | Zero Trust supprime la confiance implicite basée sur la localisation réseau, annulant l’avantage d’usurpation d’IP de l’infrastructure proxy de type QTRouter |
Sources : Département américain de la Justice — Le DOJ et le FBI saisissent les plateformes exploitées et utilisées par des hackers parrainés par l’État chinois pour cibler les infrastructures critiques américaines (Bureau des affaires publiques du DOJ, 26 août 2026) ; Security Affairs — Le FBI saisit les plateformes de hacking liées à la Chine QScan et QTRouter (Security Affairs, 27 août 2026) ; UPI — Le DOJ saisit 2 plateformes utilisées par des hackers soutenus par la Chine (UPI, 26 août 2026).
FAQ
Que sont QScan et QTRouter ?
QScan est un scanner automatisé de vulnérabilités IoT et un infesteur exploité par le groupe chinois parrainé par l’État QTFY. Il scannait Internet à la recherche d’appareils IoT exposés et les compromettait automatiquement par milliers. Ces appareils compromis étaient ajoutés à QTRouter, un botnet proxy qui acheminait le trafic d’attaque malveillant via des systèmes situés en dehors de la Chine, masquant l’origine réelle des attaques contre les infrastructures critiques américaines.
Quels organismes et organisations américains ont été ciblés ?
Les cibles confirmées comprennent la NASA, la Réserve fédérale, les départements de l’Énergie, de la Justice et de la Santé et des Services sociaux, les Instituts nationaux de la santé et le Sénat américain, ainsi que des hôpitaux, des institutions financières, des opérateurs télécom et des sous-traitants de la défense. L’opération a duré de 2018 à 2026.
Quelles CVE QTFY a-t-il exploitées pour compromettre ces organisations ?
Le groupe a exploité des vulnérabilités connues dans des produits de périmètre d’entreprise courants : Fortinet SSL-VPN, Citrix ADC, Microsoft Exchange, F5 BIG-IP, Apache Log4j, Atlassian Confluence, passerelles Check Point, CrushFTP, appliances Ivanti et BeyondTrust Remote Support. Des vulnérabilités corrigées comme nouvellement divulguées ont été utilisées, indiquant que les organisations ont régulièrement échoué à appliquer les mises à jour dans les délais.
Comment le FBI et le DOJ ont-ils démantelé les plateformes ?
Le FBI a obtenu des mandats autorisés par le tribunal pour saisir trois domaines codés en dur dans les deux variantes du logiciel malveillant : qtproxy.xyz, qt-proxy.org et qt-team.com. Ces domaines géraient l’authentification et le commandement et contrôle. Leur saisie a rendu QScan et QTRouter simultanément inopérants, sans nécessiter d’arrestations ni d’accès physique à l’infrastructure outre-mer.
Que doivent faire les équipes logicielles d’entreprise en réponse ?
Trois priorités immédiates : (1) Auditer et corriger toutes les appliances exposées sur Internet figurant dans la liste CVE — notamment Fortinet SSL-VPN, Citrix ADC, F5 BIG-IP, Ivanti et BeyondTrust Remote Support. (2) Inventorier et segmenter les appareils IoT sur les réseaux de développement, de staging et de bureau — les caméras et routeurs compromis sont les éléments constitutifs des botnets proxy de type QTRouter. (3) Examiner les schémas de trafic proxy sortant à la recherche d’anomalies comportementales ; QTRouter achemine le trafic via des IP externes d’apparence légitime, donc l’attribution basée sur les IP seules est insuffisante.