Le DOJ demande une infrastructure d'attaque QScan et QTRouter liée à QTFY et Nanjing

Le ministère de la Justice des États-Unis a annoncé l'interruption judiciaire d'une infrastructure d'attaque composée des plateformes connues sous le nom de QScan et QTRouter, utilisé par un groupe lié à l'État chinois identifié comme QTFY et prétendument exploité par Nanjing Xinjiuwei Network Technology Company. Selon la communication officielle et la recherche partagée avec des partenaires du secteur, cette infrastructure a été utilisée pour compromettre les dispositifs IoT et les acheminer vers un maillage proxy qui a dissimulé l'origine réelle des intrusions dirigées vers des réseaux sensibles des États-Unis. États-Unis, y compris les organismes fédéraux et les entités du secteur essentiel.

En termes techniques, la confirmation des autorités décrit un ensemble modulaire : QScan agit comme scanner automatique et opérateur de dispositifs vulnérables sur Internet - principalement des caméras, des routeurs et d'autres équipements embarqués - et les intègre dans un botnet. QTRouter est la couche d'obfuscation : logiciel basé sur OpenWrt qui convertit les routeurs compromis (et les combinaisons de périphériques compromis avec VPS et les services proxy commerciaux) en nœuds de transit. La plate-forme utilise l'outil Clash pour chaîner les nœuds et mélanger le trafic malveillant avec le trafic légitime, compliquant l'attribution par géolocalisation des PI. Les autorités ont en outre indiqué que certains domaines clés étaient encodés dans les binaires et que les actions judiciaires engagées dans ces domaines avaient conduit à la paralysie des plateformes concernées.

L'enquête du FBI et des sociétés de cybersécurité - en particulier Lumen Black Lotus Labs, qui a suivi l'activité depuis 2018 et collaboré avec le FBI - a attribué des attaques QTFY à plusieurs organisations, dont la NASA, la Réserve fédérale, les Départements de l'énergie et de la justice, HHS, NIH et le Sénat américain. États-Unis. Le ministère de la Justice a inscrit ces victimes parmi les objectifs de la campagne. Lumen a également fait remarquer que QTFY a montré une tendance soutenue à cibler les communautés universitaires et les centres de recherche pour sa valeur collaborative en sciences avancées.

Chaîne d'attaque et vulnérabilités exploitées. Les autorités ont détaillé le cycle d'exploitation: QScan fait la reconnaissance et le fonctionnement des défaillances (à la fois zéro jour et N-jour), les attaquants établissent la persistance à travers les TAR, les obus web ou les lettres de créance légitimes, puis utilisent QTRouter pour pivoter à partir des dispositifs IoT proches des victimes et ainsi «voler sous le radar». Les vulnérabilités mentionnées dans les rapports publics incluent les CVE récents et anciens couvrant Ivanti, Fortinet, Citrix, Microsoft Exchange, F5, Apache Log4j et d'autres. Ces références sont conformes aux tactiques connues : exploiter les portes d'entrée publiques dans les applications, puis utiliser l'infrastructure de transit pour cacher les activités malveillantes.

Ce qui est confirmé et ce qui reste incertain. Il est confirmé par le ministère de la Justice qu'une action judiciaire a été menée contre des domaines qui faisaient partie du contrôle botnet et que, par conséquent, ces outils ont cessé de fonctionner comme ils l'avaient fait jusqu'ici. L'attribution opérationnelle à QTFY et le lien avec l'entreprise de Nanjing comme facilitateur selon les allégations sont également confirmés. Ce qui reste incertain au niveau public, c'est la portée totale du vol de données (exactement quelles informations ont été exfiltrées, si l'exfiltration était massive ou sélective), le nombre précis d'appareils commis au niveau mondial et le degré d'implication directe des entités étatiques au-delà des relations commerciales et opérationnelles affirmées dans les allégations. Plusieurs déclarations au sujet de la participation aux réseaux de courtage d'exploitations et de contrats liés aux anciens membres de l'APL proviennent d'enquêtes du FBI et d'analyses de Lumen; ces liens ont été présentés dans le cadre de l'acte d'accusation, mais certains détails opérationnels n'ont pas été vérifiés de manière indépendante par des tiers.

Une conséquence pratique mise en évidence par les chercheurs est l'« industrialisation » de ce type d'outils : au lieu de campagnes ad hoc, il existe une architecture multi-locataires qui offre aux acteurs étatiques et non étatiques une utilité partagée dans la conduite rapide et anonyme des opérations. Cela change la défense: les blocages IP statiques ou les listes noires géographiques sont insuffisants lorsque le trafic malveillant brisé par des procurations commerciales et des dispositifs légitimes situés en dehors du pays de l'agresseur.

Pour les organisations et les gestionnaires, les mesures concrètes et vérifiables à prendre sont claires et urgentes. Tout d'abord, vérifier l'inventaire des appareils connectés et appliquer des correctifs aux applications et aux services exposés; bon nombre des routes exploitées sont des défaillances parcheminables qui continuent d'être exploitées par des acteurs sophistiqués. Deuxièmement, pour segmenter les réseaux: séparer les IoT et les équipements embarqués des réseaux utilisateurs et des systèmes critiques; limiter l'accès à la gestion à distance aux bastions contrôlés et MFA. Troisièmement, renforcer la détection de l'exfiltration et des proxys : surveiller les schémas inhabituels de trafic sortant, les connexions en chaîne ou l'utilisation de services proxy commerciaux et analyser les en-têtes TLS et SNI pour identifier les tunnels. Quatrièmement, examiner les références et les sessions actives, faire pivoter les clés et les mots de passe, et rechercher les shells Web et les RAT en utilisant EDR / anti-malware et l'analyse médico-légale. Ces recommandations sont conformes aux guides publiés par les agences et institutions qui étudient le risque d'IoT et la cyberdéfense; des documents pratiques peuvent être trouvés sur les portails du ministère de la Justice et dans les rapports techniques des sociétés de sécurité comme Lumen Black Lotus Labs pour mettre en œuvre des contrôles spécifiques ( https: / / www.justice.gov / opa, https: / / www.lumen.com / fr-us / sécurité / black-lotus-labs.html). Il est également prudent de revoir les guides de bonnes pratiques sur les dispositifs connectés et la segmentation des réseaux publiés par des organismes tels que le NIST et le CISA.

Pour les utilisateurs nationaux et les PME, les mesures pratiques comprennent la modification des mots de passe par défaut dans les routeurs et les caméras, la désactivation d'UPnP lorsque ce n'est pas nécessaire, la mise à jour du firmware de l'appareil et, si possible, l'isolement des caméras et des domotiques dans un VLAN distinct. Pour les organisations responsables de l'infrastructure essentielle, il est essentiel de coordonner avec les autorités et les fournisseurs de services de sécurité afin d'effectuer une analyse médico-légale complète et, si un engagement est détecté, de procéder à des mesures d'atténuation du confinement, y compris le nettoyage des nœuds et la révocation des titres de compétence.

Enfin, bien que l'intervention judiciaire ait interrompu des éléments clés, l'architecture décrite - une boîte de relais opérationnelle composée de dispositifs compromis, de VPS loués et de services de procuration commerciale - peut être recréée par des acteurs disposant de ressources similaires. La leçon est que la défense doit évoluer vers des commandes de sortie dynamiques, la télémétrie enrichie et la segmentation stricte, parce que les techniques modernes d'utilisation réduisent l'efficacité des réponses réactives basées uniquement sur le blocage IP ou des listes noires.