Le FBI saisit sept noms de domaine liés à des outils de piratage chinois visant des universités taïwanaises et des réseaux énergétiques

Sept noms de domaine saisis, une vingtaine d’universités taïwanaises confirmées parmi les victimes

Le FBI et le ministère américain de la Justice ont annoncé le 8 octobre 2026 la saisie de sept noms de domaine utilisés par des outils de piratage exploités par Integrity Technology Group, une entreprise chinoise de cybersécurité qui travaille pour le gouvernement. L’un de ces outils, Microscan, recherchait des failles dans les réseaux d’entreprises énergétiques taïwanaises, d’aéroports au Japon et en Pologne, ainsi que d’une compagnie d’électricité de Caroline du Sud. Un autre, FishHub, a été associé à des intrusions avérées dans une vingtaine d’universités taïwanaises.

L’opération visait les infrastructures liées à la campagne de piratage connue sous le nom de Flax Typhoon. Selon l’annonce du ministère de la Justice du 8 octobre, des documents judiciaires rendus publics dans le district ouest de Pennsylvanie allèguent qu’Integrity Technology Group a conçu et exploité des outils utilisés par ses clients pour repérer des réseaux vulnérables, y accéder sans autorisation et dérober des fichiers.

Le FBI a indiqué que l’opération avait rendu les outils inopérants. Cela ne signifie pas pour autant que tous les réseaux compromis sont désormais sécurisés : la saisie des noms de domaine interrompt l’infrastructure des attaquants, mais ne supprime pas automatiquement les logiciels malveillants, les identifiants volés ou les outils d’accès à distance déjà présents dans les systèmes des victimes.

Les éléments de preuve distinguent également les réseaux analysés de ceux qui ont effectivement été compromis. Les autorités ont identifié comme cibles de Microscan des entreprises taïwanaises de gaz naturel et d’électricité, la compagnie d’électricité de Caroline du Sud, des aéroports japonais et polonais ainsi qu’une organisation non gouvernementale multinationale. Elles n’ont pas précisé si chacune de ces organisations avait été compromise.

Les éléments concernant les universités sont plus précis. Une déclaration sous serment du FBI fait état d’intrusions réussies après des analyses de Microscan dans deux universités taïwanaises, en août 2022 et en mars 2023. Par ailleurs, le ministère de la Justice a identifié une vingtaine d’universités taïwanaises comme victimes avérées d’activités liées à FishHub. Les établissements n’ont pas été nommés publiquement et il est impossible d’additionner simplement les deux groupes, leur éventuel chevauchement n’ayant pas été précisé.

Ce que l’opération judiciaire a réellement mis hors service

Un juge d’instruction fédéral a autorisé les saisies le 6 octobre, deux jours avant l’annonce publique. Le mandat ordonnait aux registres de noms de domaine de verrouiller les domaines, de les rediriger vers des serveurs contrôlés par le FBI et d’y afficher des avis de saisie. Les opérateurs ont ainsi perdu l’accès à des adresses qui facilitaient les analyses, la diffusion de logiciels malveillants et le maintien d’un accès aux réseaux compromis.

L’annonce de saisie du bureau du procureur fédéral du district ouest de Pennsylvanie précise les sept noms de domaine. L’un d’eux, c0cc[.]cc, donnait accès à Microscan. Cinq autres servaient à diffuser le logiciel malveillant FishHub : 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com et linkedinns[.]net. Le dernier, 98aiblog[.]com, était associé au logiciel SoftEther, utilisé pour maintenir un accès à distance.

La déclaration sous serment qui étaye la demande de saisie allègue des violations de la loi américaine sur la fraude et les abus informatiques, qui encadre l’accès non autorisé aux ordinateurs. Elle indique également que l’achat ou le renouvellement des noms de domaine a été financé par de l’argent provenant de l’étranger. Aucune arrestation ni inculpation pénale n’a été annoncée en même temps que les saisies. Les allégations figurant dans les documents judiciaires ne constituent pas des déclarations de culpabilité.

Microscan a transformé des appareils infectés en réseau de reconnaissance

Microscan était une application web écrite en Python, un langage de programmation très répandu, qui comprenait plus de 1 300 scripts destinés à tester des failles de sécurité. De tels scripts peuvent être utilisés légitimement lors d’audits de sécurité autorisés. Dans cette affaire, les enquêteurs allèguent qu’ils ont servi à examiner les systèmes d’autres organisations afin de repérer des failles que les clients d’Integrity Tech pouvaient exploiter.

Le logiciel analysait des sites web et des services utilisant notamment OpenSSL, Oracle WebLogic Server, WordPress, Jenkins et Apache Struts. Les enquêteurs ont indiqué que Microscan était encore accessible via c0cc[.]cc le 9 septembre 2026 et qu’il pourrait avoir été utilisé dès 2017.

Certaines analyses transitaient par des appareils grand public infectés par une variante du logiciel malveillant Mirai. Ensemble, ces appareils formaient un botnet, c’est-à-dire un ensemble de machines compromises contrôlées par un opérateur. En faisant transiter le trafic par les appareils d’autres personnes, les attaquants pouvaient dissimuler l’origine des analyses et s’appuyer sur une infrastructure répartie en de nombreux endroits.

L’avis de cybersécurité qui accompagne l’annonce recense huit vulnérabilités fréquemment ciblées, dont les identifiants couvrent la période de 2014 à 2023. Elles concernent notamment GNU Bash, Apache Struts, Pulse Secure VPN et GitLab. Certaines permettent à un attaquant de lire des fichiers sans autorisation ou d’exécuter des commandes sur un système vulnérable. Ces dates montrent que la campagne ne s’est pas limitée aux failles récemment découvertes : des logiciels anciens et non mis à jour offraient eux aussi des possibilités d’attaque.

FishHub a facilité l’accès aux réseaux et le vol de données après l’intrusion initiale

FishHub avait une fonction différente de celle de Microscan. Selon les autorités, il servait à mener des attaques par hameçonnage ciblé, c’est-à-dire des messages trompeurs adressés à des destinataires précis, et à télécharger d’autres logiciels malveillants après une première compromission du réseau. Ces logiciels pouvaient fournir aux clients d’Integrity Tech un accès à distance ou rechercher des fichiers précis avant de les transmettre à des serveurs contrôlés par l’entreprise.

Le processus de vol de fichiers allégué comprenait le recensement des documents, la recherche de contenus précis, la compression des fichiers et leur envoi hors du réseau de la victime. FishHub ne servait donc pas uniquement à diffuser des outils : il facilitait aussi la collecte et l’exfiltration d’informations après l’intrusion.

La déclaration sous serment du FBI décrit des données et des fichiers appartenant à plus de 20 organisations sur un serveur associé à FishHub, dont six universités taïwanaises. Ce constat est plus limité que le décompte d’une vingtaine d’universités taïwanaises victimes communiqué par le ministère de la Justice. Les six universités correspondent aux éléments trouvés sur un serveur, tandis que le chiffre plus élevé concerne les activités de FishHub confirmées. Aucun de ces décomptes ne permet d’établir le nombre total d’organisations touchées dans le monde.

Les réseaux universitaires peuvent contenir des travaux de recherche, des dossiers administratifs et des correspondances, mais les autorités n’ont pas précisé quelles catégories d’informations avaient été dérobées aux établissements taïwanais. Les informations communiquées au public ne quantifient pas non plus le volume de données volées et ne nomment pas les personnes dont les données ont pu être touchées.

Des logiciels légitimes ont aidé les attaquants à rester dans les réseaux

L’avis conjoint du FBI, de l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), de l’Agence nationale de sécurité et de partenaires internationaux décrit plusieurs méthodes utilisées par les acteurs pour obtenir des identifiants et maintenir leur accès. Ils ont notamment eu recours au cross-site scripting, une technique qui peut exploiter un site web vulnérable pour récupérer des informations auprès de ses utilisateurs, ainsi qu’à des attaques par pulvérisation de mots de passe contre des systèmes Microsoft Exchange. La pulvérisation de mots de passe consiste à essayer quelques mots de passe courants sur de nombreux comptes, plutôt que de multiplier les tentatives sur un seul compte.

Les enquêteurs ont également décrit l’installation du logiciel VPN SoftEther sur des systèmes compromis afin de maintenir l’accès, parfois sous l’apparence de fichiers Windows légitimes. Un VPN établit une connexion réseau qui peut servir au télétravail ordinaire. Installé sans autorisation, il peut offrir à un attaquant un accès durable aux systèmes d’une organisation.

D’autres outils ont servi à récupérer des identifiants Active Directory et à extraire des courriels de comptes Exchange et Microsoft 365. Active Directory gère les identités des utilisateurs et leurs droits d’accès dans de nombreuses organisations ; des identifiants volés peuvent donc ouvrir l’accès à des systèmes allant au-delà du premier ordinateur compromis. Les enquêteurs ont également découvert une application web personnalisée qui permettait à des tiers de consulter les courriels volés sans accéder directement aux comptes touchés.

Chen Yun-nung, professeur d’informatique à l’Université nationale de Taïwan, a expliqué pourquoi les activités malveillantes reposant sur des logiciels déjà présents peuvent être difficiles à repérer :

Le programme malveillant se dissimule dans des logiciels de gestion existants et utilise des logiciels légitimes à des fins malveillantes. Par exemple, il peut télécharger et exporter vos données, ce qui le rend plus difficile à détecter : aucun programme supplémentaire ne s’exécute, seulement les programmes déjà présents.

Cette distinction est importante pour le nettoyage des systèmes. Une recherche limitée aux programmes inconnus peut ne pas détecter l’utilisation non autorisée de logiciels habituellement considérés comme fiables par les administrateurs.

Une entreprise au cœur de la campagne, et pas seulement des pirates isolés

Les autorités américaines présentent Integrity Technology Group comme une entreprise qui soutient des opérations cybernétiques liées au gouvernement chinois. Basée à Pékin, elle a des contrats avec le gouvernement chinois. Le FBI la considère comme l’organisation à l’origine des activités connues dans le secteur privé sous le nom de Flax Typhoon.

Brett Leatherman, directeur adjoint de la division cyber du FBI, a décrit le rôle de l’entreprise dans l’annonce du ministère de la Justice :

La République populaire de Chine s’appuie sur des entreprises sous contrat et des sociétés de soutien pour étendre la portée et l’ampleur de ses activités cyber malveillantes. En exposant et en neutralisant ces facilitateurs, nous compliquons les tentatives de la RPC visant les réseaux et les infrastructures américains.

L’avis décrit des activités qui recoupent des opérations suivies sous les noms de Flax Typhoon, Ethereal Panda et Red Juliett. Il précise que les activités présentant ces recoupements ne sont pas toutes nécessairement attribuables à Integrity Tech. Ces noms de campagne ne doivent donc pas être considérés comme la preuve que chaque intrusion associée a été menée par la même entreprise.

Jason Bilnoski, directeur adjoint adjoint de la division cyber du FBI, a décrit sans détour la stratégie d’application de la loi :

Notre objectif est de priver les acteurs de la menace de leurs capacités. Nous ciblons leur infrastructure, leur argent et leurs outils.

Bilnoski a qualifié l’opération de piratage d’« indiscriminée et irresponsable ». L’avis plus général des agences décrit des cibles dans les secteurs de l’administration, de l’industrie, de la santé, des technologies de l’information, des forces de l’ordre, de l’éducation et des organisations religieuses, dans des régions allant de l’Asie du Sud-Est à l’Afrique et à l’Amérique du Nord.

Comment la dernière saisie s’inscrit dans la suite des opérations

L’opération d’octobre est la deuxième perturbation technique rendue publique par le ministère de la Justice contre l’infrastructure de piratage d’Integrity Tech. La première, en septembre 2024, visait un botnet Mirai comprenant plus de 200 000 appareils grand public dans le monde, notamment des caméras, des enregistreurs vidéo et des routeurs domestiques et professionnels.

Les éléments de l’enquête donnent un aperçu plus détaillé de la situation au 5 juin 2024. Une base de données contenait plus de 1,2 million d’enregistrements d’appareils infectés, dont plus de 385 000 appareils appartenant à des victimes différentes aux États-Unis. Plus de 260 000 appareils étaient activement infectés à cette date, dont environ 126 000 aux États-Unis. Les enregistrements de la base de données et les infections actives mesurent des réalités différentes : le chiffre de 1,2 million ne correspond donc pas au nombre d’appareils simultanément sous le contrôle des opérateurs.

Les principales dates illustrent une campagne et une riposte des autorités qui s’étendent sur plusieurs années :

• Août 2022 et mars 2023 : selon la déclaration sous serment du FBI, des analyses de Microscan ont précédé des intrusions réussies dans deux universités taïwanaises.
• Septembre 2024 : les autorités américaines ont neutralisé le botnet Mirai d’Integrity Tech, qui regroupait plus de 200 000 appareils grand public.
• Janvier 2025 : le département du Trésor américain a sanctionné Integrity Technology Group pour son implication dans des cyberintrusions visant des infrastructures américaines.
• 2025 et 2026 : le Royaume-Uni et l’Union européenne ont également sanctionné l’entreprise pour ses activités liées à des cyberattaques.
• 9 septembre 2026 : les enquêteurs ont confirmé que Microscan était toujours accessible via c0cc[.]cc.
• 6 octobre 2026 : un juge d’instruction fédéral a autorisé la saisie des noms de domaine.
• 8 octobre 2026 : le ministère de la Justice et le FBI ont annoncé l’opération et la publication d’un avis conjoint de cybersécurité.

La dernière opération visait l’infrastructure d’analyse, de diffusion de logiciels malveillants et d’accès à distance ; elle n’annonçait pas une nouvelle neutralisation d’un vaste botnet d’appareils grand public. Les interventions ont ciblé différentes composantes de l’opération présumée.

Les alertes sur les infrastructures critiques ne prouvent pas qu’une panne a eu lieu

La présence d’entreprises d’électricité et de gaz naturel ainsi que d’aéroports parmi les cibles potentielles donne à cette campagne une portée qui dépasse le vol de données. Chris Butera, directeur exécutif adjoint par intérim chargé de la cybersécurité à la CISA, a mis en garde contre les objectifs possibles d’un accès à des systèmes critiques :

Des acteurs affiliés au gouvernement chinois continuent de prendre position au sein de réseaux d’infrastructures critiques, notamment des systèmes de technologie opérationnelle (OT), afin de pouvoir perturber des fonctions essentielles au moment de leur choix.

La technologie opérationnelle désigne les systèmes qui surveillent ou contrôlent des processus physiques, comme les équipements industriels. L’accès à ces systèmes présente des risques différents de ceux liés à la messagerie de bureau classique.

L’avertissement de Butera décrit une menace ; il ne signifie pas que cette campagne a provoqué une coupure d’électricité, perturbé un aéroport ou interrompu l’approvisionnement en gaz de Taïwan. Les autorités n’ont pas révélé si toutes les infrastructures nommées avaient été compromises et leur annonce n’établit pas que les systèmes opérationnels de ces organisations aient été touchés.

Les éléments publics attestent surtout d’analyses de réseaux, d’accès non autorisés et de vols d’informations. Distinguer ces faits du risque de perturbations futures permet de ne pas exagérer ce que les enquêteurs ont démontré.

Les vérifications à effectuer après la saisie

L’avis conjoint comprend des noms de domaine, des adresses IP, des empreintes de logiciels malveillants et des descriptions d’outils pour aider les organisations à rechercher d’éventuelles intrusions. Des agences des États-Unis, du Royaume-Uni, d’Australie, du Canada, du Japon, de Nouvelle-Zélande et d’Espagne ont participé à la rédaction de l’avis.

Parmi les mesures recommandées figurent l’application de correctifs aux systèmes exposés à Internet, l’obligation d’utiliser l’authentification multifacteur pour accéder à la messagerie web et aux VPN, la désactivation des services inutilisés et l’examen des journaux des applications web pour repérer des tentatives d’analyse ou d’exploitation. Les administrateurs sont également invités à surveiller les logiciels d’accès à distance non autorisés et les opérations inattendues de réplication Active Directory, qui peuvent signaler des tentatives de copie des données d’identité.

Certains indicateurs remontent à 2016. Ils doivent être examinés dans leur contexte et ne pas être automatiquement considérés comme la preuve d’une compromission en cours. Des indices historiques peuvent aider à reconstituer une intrusion, mais un indicateur ancien ne prouve pas, à lui seul, qu’un système est encore contrôlé par des attaquants.

Wang Po-chi, professeur associé de justice pénale à l’Université Ming Chuan, a averti que les sanctions et les opérations techniques ne suffiraient peut-être pas à empêcher les opérateurs de revenir :

Même si cette entreprise est sanctionnée, elle pourrait mettre en place une autre opération et reprendre les mêmes activités. Elle peut penser qu’elle a peu à craindre parce que l’entreprise est basée à un endroit, alors que les serveurs qui lancent les attaques peuvent se trouver ailleurs.

Brett Lally, agent spécial superviseur du FBI à San Diego, a déclaré que le bureau surveillerait toute reconstruction de l’infrastructure par l’entreprise. Les antennes du FBI à San Diego et Baltimore enquêtent avec la division cyber du FBI, avec l’aide de l’Agence nationale de la police du Japon. Les procureurs Brendan McKenna et Jacques Singer-Emery sont chargés de l’affaire. Aucune date ni échéance pour une prochaine audience n’a été annoncée.

Points clés

• Le FBI a saisi sept noms de domaine liés à Microscan, FishHub et à des accès à distance non autorisés associés à Integrity Technology Group.
• Une vingtaine d’universités taïwanaises ont été confirmées comme victimes d’activités liées à FishHub.
• Microscan a ciblé des entreprises énergétiques taïwanaises, une compagnie d’électricité de Caroline du Sud, des aéroports au Japon et en Pologne, des universités et une organisation non gouvernementale multinationale.
• Les autorités n’ont pas précisé si toutes les infrastructures nommées avaient effectivement été compromises.
• Les saisies font suite à la neutralisation d’un botnet en septembre 2024 et aux sanctions imposées par les États-Unis, le Royaume-Uni et l’Union européenne.
• La saisie des noms de domaine interrompt l’infrastructure des attaquants, mais ne supprime pas les logiciels malveillants ni les identifiants volés déjà présents dans les réseaux des victimes.
• Aucune arrestation, inculpation pénale ni date de prochaine audience n’a été annoncée dans le cadre de l’opération.