QTFY : le FBI met hors ligne QScan et QTRouter, les outils qui détournaient les objets connectés

Le FBI, la NSA et le Cyber National Mission Force ont publié le 26 août une alerte peu réjouissante pour tous ceux qui laissent un vieux routeur, une caméra ou un NAS exposé sur Internet. Le groupe baptisé QTFY, lié par les autorités américaines à une entreprise chinoise de Nanjing, exploitait deux briques complémentaires : QScan pour repérer et infecter des équipements vulnérables, puis QTRouter pour faire passer les intrusions par ces appareils compromis.

Le procédé est efficace parce qu’il est banal. QScan enrôle des objets connectés dans un réseau de relais. QTRouter y ajoute des routeurs compromis, des proxys commerciaux et des serveurs virtuels loués. Le trafic hostile semble alors venir d’un appareil situé dans le pays ciblé, plutôt que de l’infrastructure du groupe. Selon les documents judiciaires cités par le département de la Justice, QTFY proposait ces services à des clients payants, dont le ministère chinois de la Sécurité d’État et l’Armée populaire de libération. Les autorités précisent que l’activité remonte au moins à 2018 et a visé des réseaux américains et étrangers, notamment dans les télécoms, l’énergie, l’enseignement supérieur et les services publics.

Une saisie qui coupe la tête, pas forcément les tentacules

Le FBI a saisi les domaines utilisés par les deux plateformes. Ils étaient inscrits en dur dans les logiciels malveillants pour la communication et l’authentification, ce qui a rendu QScan et QTRouter inopérants après l’opération. C’est une coupure utile, pas une garantie de nettoyage : un équipement déjà compromis peut garder d’autres accès, et les opérateurs peuvent reconstruire leur infrastructure.

Il n’existe pas, dans l’avis public, de preuve d’une campagne visant spécifiquement la Belgique. Le risque n’est pas théorique pour autant. Un routeur livré par un opérateur, une caméra ou un NAS non maintenu peut devenir un simple morceau de l’infrastructure d’un autre. Dans un réseau domestique ou un homelab, vérifiez les mises à jour, désactivez l’administration depuis Internet, changez les identifiants par défaut, coupez l’UPnP si vous n’en avez pas besoin et séparez les objets connectés du reste du réseau. Examinez aussi les connexions sortantes inhabituelles et les appareils qui n’ont plus de support constructeur.

L’avis conjoint FBI-NSA-CNMF fournit les tactiques, les vulnérabilités et les indicateurs de compromission à vérifier. Le communiqué du département de la Justice rappelle toutefois qu’il s’agit d’allégations présentées dans des documents judiciaires, pas d’un jugement définitif.

Sources : U.S. Department of Justice · NSA · Lumen Black Lotus Labs

En bref :

Le cyberespionnage passe encore très bien par des appareils ordinaires laissés sans mise à jour. Un vieux routeur peut donc faire carrière dans un réseau d’attaque international, sans même avoir droit à un redémarrage de courtoisie!

Le Bien Heureux · Rédaction Capibara · Samedi 29 août 2026