Les autorités américaines ont perturbé deux plateformes de piratage liées à une opération d’espionnage cybernétique parrainée par l’État chinois qui visait des compagnies d’électricité, des aéroports, des universités et d’autres infrastructures critiques à travers le monde. L’opération consistait à saisir sept domaines internet et à couper l’accès aux outils utilisés pour identifier les réseaux vulnérables et lancer des attaques.
Le FBI et le ministère de la Justice ont annoncé cette action le 8 octobre, identifiant le groupe de piratage comme étant Flax Typhoon. Les enquêteurs ont relié l’opération à Integrity Technology Group, une société chinoise de cybersécurité ayant des contrats avec le gouvernement chinois.
Selon des responsables américains, l’entreprise exploitait deux plateformes connues sous les noms de Microscan et FishHub. Ces outils permettaient aux attaquants de rechercher des failles de sécurité, d’accéder sans autorisation aux systèmes informatiques et de collecter des informations sensibles.
Microscan a été conçu pour scanner les sites web et les réseaux à la recherche de vulnérabilités que les pirates pourraient exploiter. Les enquêteurs ont découvert qu’il contenait plus de 1 300 scripts capables de détecter les faiblesses des logiciels et équipements réseau largement utilisés.
FishHub a soutenu des attaques plus ciblées, y compris des campagnes de phishing qui trompaient les victimes pour qu’elles ouvrent des fichiers malveillants ou leur donnent accès à leurs systèmes. Une fois les attaquants entrés, des malwares supplémentaires pouvaient leur permettre de rechercher des documents et de transférer les informations volées vers des serveurs externes.
Ces outils ont été utilisés contre des organisations dans plusieurs pays. Les cibles identifiées comprenaient une compagnie d’électricité en Caroline du Sud, des aéroports au Japon et en Pologne, des entreprises et universités énergétiques taïwanaises, ainsi qu’une organisation internationale à but non lucratif.
Les autorités ont confirmé que certaines opérations avaient conduit à des intrusions réseau réussies. Parmi les victimes documentées figuraient des universités taïwanaises dont les systèmes ont été compromis après avoir été ciblées par les activités de scan du groupe.
Flax Typhoon fait l’objet d’une enquête depuis des années. En septembre 2024, les autorités américaines ont perturbé un botnet associé au même groupe qui avait infecté plus de 200 000 appareils connectés à Internet, y compris des routeurs domestiques et des caméras de sécurité.
La dernière opération représente une nouvelle tentative de démanteler l’infrastructure soutenant les cyberattaques du groupe. En saisissant les domaines utilisés par Microscan et FishHub, les enquêteurs ont empêché les opérateurs de continuer à accéder à ces plateformes via leur infrastructure existante.
Les responsables américains estiment que les contractants du gouvernement chinois jouent un rôle important dans le soutien aux opérations de cyberespionnage en développant des outils et en identifiant des cibles potentielles. La Chine a à plusieurs reprises nié toute implication dans des piratages parrainés par l’État.
Parallèlement aux saisies, des agences de cybersécurité américaines et internationales ont publié des directives pour aider les organisations à identifier les signes de compromission associés à Integrity Technology Group. Cette perturbation limite l’accès aux outils identifiés, bien qu’elle n’établisse pas que l’opération de piratage plus large soit terminée.