Le FBI désactive QScan et QTRouter, le réseau d’obfuscation des hackers chinois

26 août 2026. QScan. QTRouter. Le ministère américain de la Justice et le FBI ont annoncé la saisie, sur décision de justice, des noms de domaine de QScan et QTRouter, deux plateformes d’intrusion complémentaires opérées par un groupe chinois nommé QTFY. Employé par la société Nanjing Xinjiuwei Network Technology Company, ce groupe vendait ses services à des clients étatiques, dont le ministère de la Sécurité d’État (MSS) et l’Armée populaire de libération (PLA). La saisie a rendu les deux outils inopérants du jour au lendemain, pour une raison simple : les domaines saisis étaient codés en dur dans le malware.

L’infrastructure, pas l’intrusion

Ce qui est neutralisé ici n’est pas un exploit, mais l’infrastructure réseau qui le rend indétectable. QScan et QTRouter ne compromettent pas directement une cible ; ils fabriquent la couche d’anonymat qui permet à d’autres attaquants de le faire sans être attribués. C’est ce que Black Lotus Labs, l’équipe de renseignement de Lumen Technologies, décrit comme le modèle du « fourrier » — quartermaster en anglais : un acteur qui fournit, à la manière d’un prestataire logistique, la reconnaissance, le routage et l’obfuscation en tant que service réutilisable, loué à plusieurs clients à la fois.

L’architecture repose sur quatre briques. QScan mène la reconnaissance et infecte des milliers d’objets connectés à travers le monde. QTRouter est le dispositif d’accès physique préconfiguré qui connecte les opérateurs à ces relais. QTProxy administre les nœuds d’un réseau relais chiffré, et Fast Labyrinth récupère de l’infrastructure de proxy commerciale pour en faire un maillage de transit. Ensemble, ces composants transforment la découverte de cibles, le routage et l’accès opérationnel en un produit clé en main.

Comment une origine chinoise devient invisible

Le cœur du problème est la couche transport. Quand un analyste voit une intrusion arriver d’une adresse IP, il suppose que cette adresse désigne l’attaquant. QTRouter casse cette hypothèse : le trafic malveillant ressort par des machines compromises — routeurs, caméras, box — situées hors de Chine, parfois dans le réseau même de la victime. Selon les documents judiciaires, les victimes de QTFY comptent la NASA, la Réserve fédérale, le département de l’Énergie, le département de la Justice, le département de la Santé, les National Institutes of Health et le Sénat américain.

Black Lotus Labs a documenté le mécanisme en détail. Plutôt que de compromettre des milliers d’appareils un par un pour monter un réseau relais, le « fourrier » achète des abonnements haut de gamme à des réseaux proxy commerciaux chinois, les « Airport » (机场), pensés à l’origine pour contourner le Grand Pare-feu. Le trafic y circule via des protocoles d’obfuscation comme V2Ray, Shadowsocks ou Trojan, sur des liaisons dédiées à faible latence et des routes BGP multi-domiciliées. Les nœuds de sortie de Fast Labyrinth — identifiables par les sous-domaines flanycast-*.yotocloud.com et flnode-*.yotocloud.com — sont ceux qui entrent réellement en contact avec les cibles.

Ce glissement s’inscrit dans une tendance documentée par la CISA : les groupes d’État abandonnent les serveurs privés virtuels statiques et attribuables au profit de réseaux de relais opérationnels (operational relay boxes, ORB), un maillage décentralisé de routeurs grand public, d’objets connectés et de VPS loués. Le trafic y tourne entre des IP changeantes, se fond dans le bruit du réseau et contourne les listes de blocage comme les politiques de géolocalisation.

Pourquoi la saisie de domaines a fonctionné

Les opérations de ce type échouent souvent parce que l’infrastructure est redondante : on coupe un serveur, l’attaquant en rallume un autre. Ici, la saisie a fonctionné pour une raison technique précise — les domaines saisis étaient codés en dur dans QScan et QTRouter et servaient à des tâches essentielles comme la communication et l’authentification. Sans eux, le malware ne sait plus joindre son centre de commandement.

C’est une leçon de fond sur la fragilité des réseaux d’obfuscation : plus un réseau relais est industrialisé, plus il dépend de points de contrôle centralisés — ici, les noms de domaine. C’est exactement le maillon que le FBI et le DOJ ont ciblé, avec le concours de Lumen, qui a neutralisé le trafic vers les nœuds connus.

Ce n’est pas la première opération du genre. En 2025, le FBI avait retiré le malware PlugX de plus de 4 000 ordinateurs américains infectés par Mustang Panda. En 2024, il désactivait un botnet de plusieurs centaines de milliers d’objets connectés opéré par Flax Typhoon. En 2023, il perturbait un botnet de Volt Typhoon. Le FBI et la NSA ont publié en parallèle un avis conjoint avec les indicateurs de compromission, fondé sur une analyse de l’activité de QTFY remontant à 2018 au moins.

Ce que ça change pour la défense réseau

Pour un défenseur, cette affaire déplace la question. On ne chasse plus seulement l’exploit ; on chasse l’infrastructure de transit. Trois signaux méritent d’être surveillés : des flux sortants vers des plages de proxy commerciales ou des sous-domaines d’« Airport », des connexions entrantes dont l’adresse source ne correspond à aucune géolocalisation cohérente, et des machines locales qui se mettent soudain à relayer du trafic chiffré.

Le point de bascule est là : un réseau d’obfuscation partagé est un goulot d’étranglement. Démanteler un « fourrier » dégrade d’un coup plusieurs campagnes qui en dépendent. C’est la conclusion de Black Lotus Labs, et c’est aussi la raison pour laquelle les défenseurs ont intérêt à remonter la chaîne plutôt qu’à neutraliser une IP à la fois.

Un marché de l’anonymat, en couches

La saisie du 26 août s’inscrit dans une économie souterraine que les défenseurs connaissent encore mal. Le « fourrier » ne travaille pas pour une seule campagne : il vend de la discrétion à la demande à plusieurs groupes, qui n’ont plus besoin de construire leur propre infrastructure. Black Lotus Labs relie ce modèle à des opérations antérieures comme KV-botnet et Raptor Train, deux botnets documentés par la CISA qui louaient déjà du transit à des acteurs chinois.

La conséquence opérationnelle est directe. Attaquer ce type de réseau nœud par nœud est un travail sans fin : chaque relais est une machine compromise parmi des milliers, et l’attaquant en ajoute sans cesse. Le saisir par ses points de contrôle — domaines, certificats, plages d’annonce BGP — le fait tomber d’un bloc. C’est exactement la stratégie retenue ici.

Trois contrôles concrets méritent d’être mis en place :

• Journaliser les résolutions DNS sortantes vers des sous-domaines de services d’obfuscation connus (yotocloud.com, fastlink.ws) et alerter sur les domaines nouvellement enregistrés.
• Corréler la géolocalisation des adresses entrantes avec leur réputation : une IP « domestique » qui initie des sessions vers vos services sensibles est un signal fort.
• Réviser les objets connectés du parc : un appareil qui relaie du trafic chiffré vers l’étranger doit être isolé, pas seulement patché.

Aucun de ces contrôles ne demande un outil coûteux ; ils demandent surtout d’admettre que l’adresse IP d’origine n’est plus une preuve.

Verdict

Si votre organisation est une cible d’intérêt stratégique, ajoutez à votre veille la détection des nœuds de sortie de proxy commerciaux et des sous-domaines de type « Airport » : c’est là que l’attribution échoue, et donc là que l’attaquant investit. La surveillance des flux DNS sortants vers des domaines fraîchement enregistrés ou des sous-domaines de services d’obfuscation est le contrôle le plus rentable que vous puissiez déployer cette semaine.

Si vous êtes un opérateur de réseau, vérifiez vos routeurs et objets connectés : un appareil domestique qui relaie du trafic chiffré vers l’étranger n’est plus votre appareil, c’est un relais de l’adversaire. La protection des origines de routage (RPKI et ROV) et l’hygiène des appareils exposés (routeurs transformés en relais) sont les deux faces d’une même exigence : garder la maîtrise de ce qui transite par votre réseau.

Références

• Justice Department and FBI Seize Platforms Operated and Used by China State-Sponsored Hackers — DoJ, 26 août 2026
• FBI Disrupts China-Linked QTFY Infrastructure Used to Steal Data From U.S. Organizations — The Hacker News, 26 août 2026
• The infrastructure quartermaster: inside a China-nexus state enablement model — Lumen Black Lotus Labs, 26 août 2026