Le département de la Justice des États-Unis et le FBI saisissent 7 domaines d'outils de piratage du sous-traitant du gouvernement chinois « Integrity Tech »... Une vingtaine d'universités taïwanaises confirmées parmi les victimes

Le département de la Justice des États-Unis et le Federal Bureau of Investigation (FBI) ont coupé les accès à deux types d'outils de piratage exploités par « Integrity Technology Group » (ci-après « Integrity Tech »), une société basée en Chine sous contrat avec le gouvernement chinois. Sept domaines Internet ont été saisis. Le même jour, la National Security Agency (NSA), le FBI, la Cybersecurity and Infrastructure Security Agency (CISA) et des agences de pays alliés ont publié un avis conjoint de cybersécurité (CSA) détaillant les méthodes des pirates informatiques liés à cette entreprise.

Cette mesure ne constitue pas l'annonce d'inculpations individuelles. Le fondement de la saisie des domaines repose sur des documents judiciaires rendus publics par le tribunal fédéral du district ouest de Pennsylvanie, et le département de la Justice a présenté le contenu de ces documents comme des « allégations » (as alleged) et non comme des faits définitivement établis. Dans un communiqué de presse daté du 8 octobre 2026, heure de l'Est des États-Unis (9 octobre en heure de Corée), le département de la Justice a déclaré : « Grâce à des saisies autorisées par la justice, nous avons empêché des cyberacteurs malveillants d'accéder à deux outils de piratage nommés "Microscan" et "FishHub". » Le département de la Justice a précisé que ces outils étaient « utilisés pour scanner et, dans certains cas, pirater des systèmes d'infrastructures critiques aux États-Unis et à l'étranger ». Le département de la Justice a également mentionné qu'Integrity Tech est « sous contrat avec le gouvernement de la République populaire de Chine ».

La division cyber du FBI a déclaré sur son compte officiel X : « Le FBI et le département de la Justice ont neutralisé des outils de piratage utilisés par le groupe de cybermenace "Flax Typhoon" », ajoutant : « Nous avons saisi plusieurs domaines et bloqué l'accès à une plateforme servant à scanner et, dans certains cas, à infiltrer des infrastructures critiques américaines. »

https://x.com/FBICyberDiv/status/2108256413084422599

Ce qui change

Cette mesure revêt une importance particulière car le gouvernement américain traque désormais le cyberpiratage chinois non seulement au niveau des « pirates étatiques », mais également au niveau des entreprises privées sous contrat avec le gouvernement, en coupant leurs équipements. Un précédent remonte à septembre 2024. Le département de la Justice avait alors annoncé avoir démantelé, avec l'autorisation d'un tribunal, un botnet basé sur le malware Mirai exploité par Integrity Tech. Le département de la Justice avait précisé que ce botnet était composé de « plus de 200 000 appareils grand public aux États-Unis et à travers le monde ». Cette saisie représente, selon le département de la Justice, la « deuxième neutralisation technique publique » visant l'infrastructure de piratage d'Integrity Tech.

Ce que faisaient les deux outils

Selon les documents judiciaires publiés par le département de la Justice, Integrity Tech a créé et exploité un botnet composé d'appareils de l'Internet des objets (IoT) infectés par une variante de Mirai.

• Microscan : un outil de reconnaissance et d'analyse de vulnérabilités développé par Integrity Tech. Le département de la Justice a indiqué qu'il était utilisé par les « clients » de l'entreprise pour trouver des vulnérabilités destinées à être exploitées ultérieurement. Parmi les cibles scannées révélées par le département de la Justice figurent une compagnie d'électricité américaine en Caroline du Sud, des organisations non gouvernementales (ONG) multinationales, des aéroports au Japon et en Pologne, des entreprises d'infrastructures des secteurs du gaz naturel et de l'électricité à Taïwan, ainsi que deux universités taïwanaises. Integrity Tech accédait à Microscan par l'intermédiaire de l'un des domaines saisis, c0cc[.]cc.
• FishHub : un outil d'hameçonnage ciblé (spear phishing). Selon le département de la Justice, il servait à télécharger des malwares supplémentaires après une intrusion initiale ; ces malwares ouvraient un accès à distance non autorisé ou recherchaient des fichiers spécifiques pour les transmettre aux serveurs de contrôle d'Integrity Tech. Parmi les victimes confirmées par le département de la Justice figurent « environ 20 universités taïwanaises ». Cinq des domaines saisis (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) étaient utilisés pour distribuer ces logiciels malveillants.

Le communiqué du bureau du procureur des États-Unis pour le district ouest de Pennsylvanie a précisé que le dernier domaine restant était lié à un logiciel de gestion à distance non autorisé qui connectait les réseaux des victimes aux serveurs d'Integrity Tech.

Le bureau de terrain du FBI à San Diego a annoncé sur son compte X qu'il avait dirigé cette enquête.

https://x.com/FBISanDiego/status/2108252514365653376

Avis de la NSA : « Un large éventail de secteurs touchés »

Dans un communiqué publié le même jour, la NSA a indiqué que l'avis conjoint s'intitulait « Des cyberacteurs malveillants liés au gouvernement chinois combinent des outils de piratage automatisés et manuels pour dérober des données sensibles ». Citant l'avis, la NSA a expliqué qu'Integrity Tech avait « permis à des acteurs menaçants liés au gouvernement chinois d'exploiter les réseaux d'organisations américaines et étrangères dans divers secteurs, notamment les services et installations gouvernementaux, l'industrie manufacturière critique, la santé et la santé publique, ainsi que les technologies de l'information ». Les cibles comprenaient également des agences d'application de la loi, des établissements éducatifs et des organisations religieuses aux États-Unis, ainsi que des organisations en Asie du Sud-Est, en Afrique et en Amérique du Nord, selon la NSA.

Le compte officiel NSA Cyber a également publié : « Integrity Tech a permis à des acteurs menaçants liés au gouvernement chinois d'exploiter les réseaux d'organisations mondiales et d'exfiltrer des données critiques ». La CISA a également annoncé sur son compte X avoir publié l'avis conjointement avec le FBI.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

Concernant les désignations, la NSA a indiqué qu'une partie de ces activités correspondait à des méthodes désignées dans l'industrie sous les noms de « Flax Typhoon », « Storm 919 », « Ethereal Panda » et « Red Juliet ». Il s'agit d'appellations attribuées par l'industrie privée de la cybersécurité, et le gouvernement américain a circonscrit cette portée en précisant « certains » (some).

Déclarations des autorités

John Eisenberg, procureur général adjoint à la sécurité nationale au département de la Justice, a déclaré : « Les États-Unis ne permettront pas à la Chine ou à ses mandataires d'agir dans le cyberespace contre les intérêts américains en toute impunité. » La division de la sécurité nationale du département de la Justice a également partagé cette déclaration sur son compte officiel X.

Troy Rivetti, procureur fédéral par intérim pour le district ouest de Pennsylvanie, a déclaré : « Cette saisie représente la deuxième fois en deux ans que nous neutralisons une opération à grande échelle d'Integrity Tech. » Brett Leatherman, directeur adjoint de la division cyber du FBI, a affirmé : « La Chine s'appuie sur des sous-traitants et des entreprises de soutien pour étendre la portée et l'ampleur de ses cyberactivités malveillantes », ajoutant : « En démasquant et en neutralisant ces facilitateurs, nous rendons plus difficile pour la Chine de cibler les réseaux et les infrastructures américains. »

La séquence d'attaque révélée par l'avis conjoint AA26-281A

L'identifiant officiel de l'avis conjoint de cybersécurité rendu public le même jour est AA26-281A. Il a été rédigé conjointement à l'échelle internationale par le FBI, la CISA et la NSA, rejoints par le National Cyber Security Centre du Royaume-Uni (NCSC-UK), le Centre australien de cybersécurité de l'Australian Signals Directorate (ASD ACSC), le Centre canadien pour la cybersécurité, l'Agence nationale de la police japonaise et le Cabinet national de la cybersécurité, le Centre national de cybersécurité de Nouvelle-Zélande, ainsi que le Centre national d'intelligence espagnol (CNI). L'avis note que le point de départ de l'analyse repose sur des preuves techniques obtenues et observées par le FBI au cours de multiples enquêtes liées à Integrity Tech. Si la saisie de domaines par le département de la Justice relève des procédures pénales et judiciaires, cet avis constitue un document technique diffusant aux défenseurs les indicateurs de compromission et les modes opératoires issus de cette même enquête.

La phase de reconnaissance détaillée dans l'avis est plus précise que le communiqué de presse du département de la Justice. Il est mentionné que les assaillants utilisent des outils de scan publics tels que BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe et wpscan pour repérer les vulnérabilités sur les réseaux et les applications web. Les ports principalement surveillés sont les ports 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) et 1080 (SOCKS). Concernant Microscan, l'avis précise qu'il est utilisé depuis 2017 environ et qu'il contenait plus de 1 300 scripts de tests d'intrusion au sein d'une application web basée sur Python visant à détecter des vulnérabilités spécifiques. Parmi les services ciblés par ces scripts figuraient OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins et Apache Struts.

Les méthodes d'accès initial et de persistance sont également décrites étape par étape. L'avis indique que le FBI a récupéré des charges utiles utilisées par les assaillants pour mener des attaques de cross-site scripting (XSS) via JavaScript et HTML, affichant des champs de saisie de nom d'utilisateur et de mot de passe afin de dérober des identifiants. Un autre outil, EBurst, effectue des attaques par pulvérisation de mots de passe (password spraying) et par devinette de mots de passe contre des serveurs Microsoft Exchange, utilisant dix interfaces comme vecteurs d'attaque, notamment l'Exchange Control Panel (ECP), les Exchange Web Services (EWS), l'Offline Address Book (OAB) et Outlook Web Access (OWA). Après pénétration, les attaquants téléchargeaient les fichiers d'installation d'un logiciel VPN légitime, SoftEther, sur l'appareil de la victime pour le configurer afin qu'il se reconnecte automatiquement au démarrage, et renommé les fichiers avec des noms d'exécutables Windows courants tels que conhost.exe ou dllhost.exe pour échapper à la détection, selon l'analyse de l'avis.

Durant la phase de collecte de données, un fichier nommé DC.exe exécutait la technique de réplication Active Directory (AD) DCSync pour copier les identifiants de compte, l'appartenance aux groupes et les informations de relation d'approbation, explique l'avis. Un script PHP nommé Curlc4.txt accédait à l'API Microsoft EWS pour extraire des contenus tels que des courriels, des calendriers et des contacts, les compressait ou les chiffrait à l'aide de RC4 ou AES-128-CBC avant de les transférer vers des serveurs distants. Un outil en ligne de commande nommé office-cli était utilisé pour accéder de manière répétée à des comptes Outlook 365 afin d'exfiltrer des courriels par périodes. L'avis note également que les cas confirmés de vol de données de messagerie comprenaient des organismes gouvernementaux, des services répressifs, des systèmes de santé et des organisations religieuses en Asie du Sud-Est, et que dans certains cas, l'accès aux données exfiltrées était limité exclusivement à des adresses IP provenant de Xiamen, en Chine. Ces méthodes détaillées complètent la description de « FishHub » donnée par le département de la Justice, mais l'ampleur des dommages confirmés touchant une vingtaine d'universités taïwanaises ne doit pas être extrapolée à tous les cas cités dans l'avis.

Éléments dont la vérification immédiate est recommandée aux défenseurs

Les directives défensives de l'avis ne se limitent pas à de simples mises en garde générales. Les agences rédactrices recommandent de désactiver les ports et services inutilisés et de minimiser les informations exposées par les bannières et pages de connexion aux requêtes externes. La validation des entrées des applications web afin d'empêcher l'injection de charges utiles XSS, ainsi que l'application de l'authentification multifacteur (MFA) à tous les services — en particulier pour les comptes d'accès aux messageries web, aux VPN et aux systèmes critiques — sont expressément indiquées. Sont également énoncées des consignes visant à remplacer les mots de passe par défaut par des mots de passe robustes, à restreindre et auditer les comptes à privilèges d'administrateur en appliquant le principe du moindre privilège, et à activer la vérification de réputation des téléchargements et des domaines ainsi que le DNS sécurisé dans les navigateurs.

Dans la section relative aux correctifs, un tableau présente huit vulnérabilités identifiées dans des cas réels d'exploitation réussie : CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 et CVE-2023-22894. L'avis précise que certaines d'entre elles ont été récemment ajoutées au catalogue des vulnérabilités exploitées connues (KEV) de la CISA. Côté détection, il est conseillé de surveiller les signes d'utilisation non autorisée de techniques « living-off-the-land » (détournant des outils système légitimes), les réplications AD inattendues, les scans et trafics d'envoi anormaux, les connexions en dehors des heures de travail ainsi que les connexions simultanées physiquement impossibles. Concernant le plan de reprise, il est prescrit de conserver plusieurs copies des données sensibles et des serveurs dans des emplacements sécurisés et physiquement isolés, et de protéger les sauvegardes hors ligne par mot de passe.

L'avis décrit également la procédure à suivre en cas de suspicion de compromission : isoler ou mettre hors ligne les hôtes dont l'infection est confirmée, collecter les journaux et artefacts pour déterminer les méthodes de l'attaquant, la portée de l'infection et le calendrier d'activité, signaler l'incident conformément aux directives nationales, puis renforcer le réseau en appliquant des mesures d'éviction. Pour les organisations américaines, les guichets de signalement indiqués sont le Centre de plainte contre les crimes sur Internet (IC3) du FBI, le bureau local compétent du FBI, ainsi que le centre d'opérations 24h/24 de la CISA (contact@cisa.dhs.gov, 1-844-Say-CISA). L'adresse de contact pour les demandes d'assistance en cybersécurité de la NSA est CybersecurityReports@nsa.gov. Les agences sud-coréennes ne sont pas répertoriées comme destinataires directs de signalement dans cet avis.

Différence entre le démantèlement du botnet de 2024 et cette saisie

Le 18 septembre 2024, le département de la Justice a annoncé avoir démantelé, au cours d'une opération autorisée par un tribunal, un botnet de plus de 200 000 appareils grand public aux États-Unis et dans le monde. Les appareils infectés étaient alors des routeurs pour petites entreprises et bureaux à domicile (SOHO), des caméras IP, des enregistreurs vidéo numériques (DVR) et des systèmes de stockage en réseau (NAS). Le département de la Justice a écrit qu'Integrity Tech contrôlait les appareils infectés via une application en ligne sous la marque « KRLab » et fournissait un catalogue de commandes malveillantes via un outil baptisé « vulnerability-arsenal » (arsenal de vulnérabilités). L'opération autorisée par la justice consistait à prendre le contrôle de l'infrastructure des pirates pour envoyer ensuite, via cette infrastructure, un ordre de désactivation aux malwares des appareils infectés ; le département de la Justice a indiqué qu'une tentative de perturbation par déni de service distribué (DDoS) ciblant l'infrastructure de remédiation du FBI avait eu lieu pendant l'opération, mais s'était soldée par un échec.

L'action actuelle de 2026 s'inscrit dans cette suite, mais plutôt que d'employer la même méthode, son périmètre a été resserré. En 2024, l'axe principal consistait à envoyer des commandes directement aux appareils grand public infectés pour couper la connexion au botnet, le FBI ayant procédé à des tests préalables pour s'assurer que ces commandes n'altéraient pas le fonctionnement normal des appareils et ne collectaient pas de données sur les contenus, tout en indiquant que les propriétaires d'appareils aux États-Unis seraient notifiés via leurs fournisseurs d'accès à Internet. En 2026, l'accent a été mis sur la saisie de sept voies d'accès aux outils, dont 1 domaine d'accès à Microscan, 5 domaines liés à FishHub et 1 domaine de connexion pour la gestion à distance. Les procureurs chargés de l'affaire sont le procureur fédéral adjoint Brendan McKenna du bureau du procureur des États-Unis pour le district ouest de Pennsylvanie et le procureur Zach Singer-Emery de la division de cybersécurité de la sécurité nationale au sein de la division de la sécurité nationale du département de la Justice, le département de la Justice mentionnant également le soutien significatif apporté par le procureur adjoint Thomas Sullivan du district du Maryland et par l'Agence nationale de la police japonaise. L'agent spécial responsable Mark Remily, du bureau du FBI à San Diego, a également affirmé : « Nous mobiliserons tous nos pouvoirs d'enquête aux côtés de nos partenaires de maintien de l'ordre », une position émanant du responsable de terrain local publiée séparément des déclarations du procureur Rivetti et du directeur adjoint Leatherman citées plus haut.

La Chine, Taïwan et la Corée

Les documents du département de la Justice et de la NSA ne contiennent aucune réaction du gouvernement chinois ni d'Integrity Tech. Les éléments rendus publics par les deux organismes ne comportent pas les positions des parties adverses. Aucune institution sud-coréenne ne figure sur la liste des cibles et victimes divulguée par le département de la Justice. Toutefois, l'Agence nationale de la police japonaise a été mentionnée dans le communiqué du département de la Justice comme une institution ayant apporté « une aide substantielle » à l'enquête, et des aéroports japonais figuraient parmi les cibles de scans.

Prochaines étapes

Le département de la Justice a rendu publics l'affidavit du FBI et les mandats de saisie. L'enquête est menée par les bureaux du FBI de San Diego et de Baltimore ainsi que par la division cyber du FBI, tandis que les poursuites sont confiées au bureau du procureur des États-Unis pour le district ouest de Pennsylvanie et à la division de cybersécurité de la sécurité nationale du département de la Justice. Le département de la Justice n'a pas annoncé d'inculpations individuelles lors de cette communication. Les administrateurs de réseau peuvent procéder à leurs propres vérifications en recoupant les indicateurs de compromission (IoC) figurant dans l'avis conjoint.

Sources

• Communiqué de presse du Bureau des affaires publiques du département de la Justice des États-Unis, 8 octobre 2026 : https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• Communiqué de presse du bureau du procureur des États-Unis pour le district ouest de Pennsylvanie, 8 octobre 2026 : https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• Communiqué de presse de la National Security Agency des États-Unis, 8 octobre 2026 : https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• Avis conjoint de cybersécurité CISA, FBI, NSA et al. AA26-281A, 8 octobre 2026 : https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• Communiqué de presse du Bureau des affaires publiques du département de la Justice des États-Unis, 18 septembre 2024 (neutralisation du botnet d'Integrity Tech) : https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• Toutes les publications X citées dans le texte proviennent des comptes officiels d'agences gouvernementales.