Le FBI a saisi les domaines qu’un botnet lié à la Chine utilisait pour scanner et hameçonner

Le 8 octobre 2026, le ministère de la Justice et le FBI ont annoncé qu’un tribunal du district ouest de la Pennsylvanie avait autorisé la saisie de sept noms de domaine. Ces domaines étaient le moyen, pour des opérateurs d’Integrity Technology Group, une société de Pékin, d’atteindre deux de leurs outils. L’un, Microscan, scannait les réseaux d’autrui à la recherche de failles connues. L’autre, FishHub, envoyait des courriels d’hameçonnage ciblé, puis allait chercher d’autres logiciels sur des machines déjà ouvertes. Un botnet Mirai, fait de routeurs, de caméras et d’enregistreurs piratés, servait à cacher l’origine d’une partie de ces scans.

L’annonce se lit facilement comme une nouvelle mise hors service de ce botnet. Le canal de commande du botnet a été coupé le 11 septembre 2024. Ce que le FBI a pris ce mois-ci, ce sont les noms sur Internet qui pointaient encore vers le scanner et vers la livraison de l’hameçonnage. Un affidavit rendu public avec les mandats dit que la page de connexion de Microscan était encore en ligne le 9 septembre 2026.

Les allégations sont les motifs raisonnables d’un mandat de saisie. L’agent spécial du FBI Adam James les a prêtées sous serment le 6 octobre, devant la juge magistrate Maureen P. Kelly. Ce n’est pas une condamnation. Les chiffres plus bas sont ceux de cet affidavit, du communiqué du 8 octobre, et de l’avis conjoint publié le même jour. Là où les trois ne concordent pas, les deux chiffres sont ici.

Sept noms, et ce que fait vraiment une saisie

Le mandat, numéro de magistrate 26-1564, liste les domaines d’un bloc :

• c0cc[.]cc
• 98aiblog[.]com
• 98aicai[.]com
• 98aicode[.]com
• outlook3650[.]com
• youtubecard[.]com
• linkedinns[.]net

Le communiqué en nomme six et les classe par outil. c0cc[.]cc est le nom par lequel Integrity Tech ouvrait Microscan. Les cinq sosies, 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com et linkedinns[.]net, sont ceux que FishHub utilisait pour livrer le programme suivant. Le septième, 98aiblog[.]com, est celui que le communiqué ne place dans aucune des deux phrases. L’affidavit le met sur le VPN SoftEther que deux universités taïwanaises compromises utilisaient pour rappeler.

Trois de ces noms font un camouflage bon marché. outlook3650 est à un caractère d’un produit Microsoft. youtubecard emprunte YouTube. linkedinns emprunte LinkedIn et ajoute une lettre. Une personne qui survole un lien, ou un filtre écrit pour les vrais noms, peut les manquer. L’affidavit ne dit pas que les vraies sociétés ont quoi que ce soit à voir avec l’enregistrement.

Une saisie de domaine est un changement dans l’annuaire, pas une perquisition dans une salle de serveurs. Les deux bureaux d’enregistrement qui ont vendu les noms ont leur siège à Phoenix. Verisign, à Reston, en Virginie, gère les registres .com, .net et .cc. Le mandat dit à Verisign de pointer les noms vers des serveurs de noms que le FBI désigne, en commençant par ns1.fbi.seized.gov et ns2.fbi.seized.gov, et de refuser les transferts. La page qu’un visiteur obtient ensuite est une bannière de saisie. La bannière sur le mandat dit que l’action vise des acteurs de menace connus sous le nom d’Integrity Technology Group, en vertu d’un mandat pour avoir endommagé un ordinateur protégé, 18 U.S.C. § 1030(a)(5)(A).

L’affidavit traite aussi les noms comme des biens mêlés au transfert d’argent vers les États-Unis pour promouvoir cette intrusion, 18 U.S.C. § 1956(a)(2). La piste de paiement fait partie de la raison pour laquelle les noms pouvaient être saisis vite : un domaine peut être redirigé en quelques minutes, et c’est la raison que l’agent donne pour vouloir un mandat plutôt que d’attendre une confiscation plus lente.

c0cc[.]cc a été enregistré pour la première fois le 7 novembre 2018, et renouvelé le 31 août 2024, les deux fois en yuans par un compte Alipay que l’affidavit nomme Yuxin Ling, avec une adresse à Pékin. 98aiblog[.]com, 98aicai[.]com et 98aicode[.]com ont été achetés le 13 mars 2024, dans un lot de cinq noms à 139,50 $, sur un compte d’enregistrement que l’affidavit appelle asdown3389. La carte derrière ce paiement est une carte de crédit de Hong Kong, et l’affidavit dit que le compte de services financiers est enregistré au nom de Lin Kunzhong, avec une adresse de facturation à Hong Kong. L’adresse IP utilisée pour l’achat se géolocalise à Taipei. Cela identifie un payeur sur un dossier. Cela n’identifie pas, à lui seul, qui a écrit les outils.

outlook3650[.]com, youtubecard[.]com et linkedinns[.]net ont été enregistrés le 18 février 2025, sur un second compte, d527a8, lui aussi avec une adresse à Hong Kong. En février 2026, les deux comptes d’enregistrement ont été joints depuis 66.42.60[.]242, et les cinq noms FishHub ont été renouvelés avec AliPay. Le même compte de serveurs virtuels qui louait 66.42.60[.]242 louait aussi 108.61.181[.]104, le serveur que les clients SoftEther appelaient. C’est la raison, pour l’affidavit, de traiter les noms comme ceux d’un même opérateur.

La société, et les trois noms publics de l’activité

Integrity Technology Group est une société de cybersécurité de Pékin. L’affidavit du FBI dit que son site public, integritytech.com[.]cn, portait la marque KRLab, et que KRLab était une subdivision de la firme. La firme a des contrats avec le gouvernement chinois. L’annonce du ministère de la Justice de septembre 2024 la disait cotée en bourse. Le 3 janvier 2025, l’Office of Foreign Assets Control du Trésor américain a sanctionné Integrity Technology Group, Incorporated, dans le programme de sanctions cyber, pour une activité d’intrusion attribuée publiquement à Flax Typhoon. La fiche d’OFAC donne une date de création au 2 septembre 2010, une adresse dans le district de Haidian, et le symbole boursier 688244 CH.

Les noms du secteur privé pour cette activité ne désignent pas une seule personne. L’avis conjoint, AA26-281A, dit que les tactiques collent à ce qui a été publié sous les noms Flax Typhoon, Ethereal Panda et Red Juliett, puis dit que la correspondance n’est pas un pour un. Des acteurs qui entrent dans ces descriptions font aussi un travail que l’avis ne relie pas à Integrity Tech. Les sociétés de cybersécurité et le gouvernement américain ne tracent pas les frontières de la même façon. « Flax Typhoon » dans le communiqué est l’usage, par le FBI, de l’étiquette du secteur privé pour les outils de cette société, y compris le botnet Mirai. Ce n’est pas une conclusion que chaque rapport jamais classé sous ce nom était ce mandat.

La description de Microsoft, que le communiqué de 2024 du ministère de la Justice dit corroborée par le FBI, est un groupe basé en Chine, actif depuis 2021, intéressé par le gouvernement, l’éducation, la fabrication critique et les technologies de l’information à Taïwan et ailleurs. Le constat propre du FBI dans cette affaire, c’étaient des intrusions réussies contre des sociétés, des universités, des agences gouvernementales, des fournisseurs de télécommunications et des médias, aux États-Unis et à l’étranger.

La phrase du procureur général adjoint John A. Eisenberg, dans le communiqué du 8 octobre, est la revendication politique : les États-Unis ne laisseront pas la Chine ni ses intermédiaires agir impunément contre les intérêts américains, et la division de la sécurité nationale continuera de perturber l’infrastructure de Flax Typhoon. Le procureur Troy Rivetti, pour le district ouest de la Pennsylvanie, appelle ces saisies la deuxième perturbation d’Integrity Tech par le ministère en deux ans. La version de Brett Leatherman, directeur adjoint de la division cyber du FBI, sur l’annonce de la CISA le même jour, est la version structurelle : la RPC s’appuie sur des entreprises sous-traitantes et facilitatrices, et Integrity Tech en est une.

L’enquête est chez le FBI de San Diego et de Baltimore, coordonnée par la division cyber du FBI. Les procureurs nommés dans le communiqué sont le procureur adjoint Brendan McKenna, dans le district ouest de la Pennsylvanie, et l’avocat du procès Jacques Singer-Emery, à la section cyber de la sécurité nationale, avec l’aide du procureur adjoint Thomas Sullivan dans le district du Maryland et de l’Agence nationale de police du Japon.

Ce qu’était le botnet, et ce que septembre 2024 a vraiment éteint

Mirai est une famille de logiciels malveillants pour de petits appareils connectés : routeurs de bureau et de maison, caméras IP, enregistreurs vidéo numériques, stockage en réseau. Une copie qui rappelle peut recevoir l’ordre de scanner, d’attaquer, ou de relayer le trafic de quelqu’un d’autre pour que la victime voie une adresse proche au lieu d’un centre de données dans un autre pays. La variante de l’affidavit a fait ce travail pour Integrity Tech d’environ le 23 juillet 2021 jusqu’à environ le 13 septembre 2024.

En mai 2024, le FBI a regardé des échantillons que des sociétés privées avaient versés dans un dépôt de logiciels malveillants, et a trouvé des serveurs de commande sur des sous-domaines de w8510[.]com. En juillet 2024, du trafic recueilli sous une ordonnance de pen register montrait ces serveurs en train de gérer des milliers de bots. Les serveurs virtuels avaient une habitude de nommage. L’abonné les étiquetait avec kehu, le pinyin de 客户, « client », plus un numéro. L’affidavit lit kehu1036 comme le client 1036. L’argent pour les louer passait de la Chine à une société de serveurs virtuels à West Palm Beach, en Floride.

L’une de ces machines, 202.182.109[.]151, nommée kehu1036jp4, était un contrôleur en amont. Elle faisait tourner une application appelée Sparrow. La base de Sparrow, vers le 5 juin 2024, contenait des enregistrements de plus de 1,2 million d’appareils infectés, dont plus de 385 000 appareils uniques aux États-Unis. Plus de 260 000 de ces enregistrements, dont environ 126 000 appareils américains, étaient activement infectés ce jour-là. La première ligne du guide disait que KRLab fournirait dix nœuds réels pour les essais. Le code source utilisait des noms de fichiers qui contenaient « KRlab ».

Le chiffre public de la perturbation est plus petit, et plus tardif. L’annonce du ministère de la Justice de septembre 2024, que la note de sanctions du département d’État du 3 janvier 2025 date du 18 septembre, disait que le botnet comptait plus de 200 000 appareils grand public aux États-Unis et dans le monde. L’instantané du 5 juin dans l’affidavit est un compte, dans une base, d’enregistrements et d’appareils alors actifs. Le chiffre de presse est celui que le ministère a utilisé en annonçant la perturbation. Ce n’est pas la même mesure, et l’affidavit ne montre pas le calcul qui transforme 260 000 actifs en « plus de 200 000 ». Citez la phrase que vous voulez dire.

Le 11 septembre 2024, sous des mandats du même district, le FBI a saisi w8510[.]com, s’est connecté aux serveurs de commande, a changé les réglages pour que les administrateurs du botnet ne puissent plus rentrer, et a envoyé une commande qui a coupé le canal entre ces serveurs et les appareils infectés. Deux appareils infectés dans le district ouest de la Pennsylvanie sont ce qui a placé l’affaire là. Le logiciel malveillant sur une caméra n’a pas à disparaître pour que cette commande compte. La commande empêche ce serveur de donner de nouveaux ordres à la caméra. Un appareil qui a encore la variante est encore un appareil compromis. Il ne fait plus partie, en état de marche, de ce réseau-là.

Microscan était un site plein des bogues des autres

Microscan est une application web en Python. L’avis conjoint dit qu’elle est en usage depuis au moins 2017 et qu’elle contient plus de 1 300 scripts visant des vulnérabilités précises, y compris dans OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins et Apache Struts. Un opérateur se connecte, la pointe vers un réseau, et reçoit une liste de trous. La figure 1 de l’avis est ce tableau de bord.

Le FBI l’a trouvée sur 198.13.53[.]226. Des serveurs nommés selon le motif kehu1036 prenaient des tâches de scan de cette machine. Parfois ils envoyaient le scan à travers les bots Mirai, pour que les journaux de la cible montrent un routeur dans un autre pays plutôt que l’adresse du scanner. Le 9 septembre 2026, une vérification en source ouverte du FBI a trouvé la même page de connexion encore servie sur x.c0cc[.]cc. Des dossiers Cloudflare du 13 juillet 2025, et des dossiers de la société de serveurs virtuels du 3 juin 2026, montraient le trafic de ce nom allant vers 198.13.53[.]226. D’autres noms sous c0cc[.]cc résolvaient vers des serveurs loués par le même compte.

Les scans que l’affidavit détaille sont plus anciens que la dernière observation de la page de connexion. Entre le 26 avril et le 29 décembre 2022, Microscan visait une société d’électricité américaine en Caroline du Sud, une ONG multinationale, des aéroports au Japon et en Pologne, et au moins deux sociétés taïwanaises dans le gaz naturel et l’électricité. Une université à Hsinchu a été scannée le 21 mars 2023, et compromise peu après. Une université du canton de Puli a été scannée le 7 août 2022, et compromise peu après. Ce sont la victime 1 et la victime 2 du mandat. Le communiqué liste les mêmes organisations et ajoute que les cibles comprennent deux universités taïwanaises, qui sont celles-là. « Scanné » et « compromis » sont deux phrases différentes dans l’affidavit. La société d’électricité, l’ONG, les aéroports et les services publics taïwanais sont dans le paragraphe du scan. Les deux universités sont dans le paragraphe qui dit que l’intrusion a réussi.

FishHub envoyait le second programme, et SoftEther gardait la porte ouverte

FishHub, en mars 2026, était sur 207.148.92[.]220, un serveur que l’affidavit dit acheté par Flax Typhoon. La lecture du nom par l’agent, c’est que l’outil existait pour hameçonner. Le code source sur ce serveur disait à une machine victime de télécharger un fichier depuis l’un des cinq domaines sosies et de l’exécuter. L’analyse du FBI de ce qui suivait, c’est une liste de fichiers, une recherche de documents particuliers, une compression, et un envoi vers 207.148.92[.]220. La version plus simple du communiqué est le même tuyau, plus un second usage : un accès à distance pour les clients d’Integrity Tech, ou une recherche qui transfère des fichiers choisis vers des serveurs que la société contrôle.

Le serveur détenait des données et des fichiers de plus de 20 entités. Des commandes dessus montraient que six des entités ciblées étaient des universités à Taïwan. Le communiqué du 8 octobre dit que les victimes confirmées de FishHub comprenaient environ 20 universités taïwanaises. Les deux phrases sont publiées. Le « plus de 20 » de l’affidavit, ce sont des entités de toute sorte, avec six universités visibles dans les commandes que l’agent décrit. Le « environ 20 » du communiqué, ce sont des universités, et il les dit confirmées. Le mandat ne montre pas la liste qui permettrait à un lecteur de transformer un chiffre en l’autre.

Les victimes 1 et 2 montrent l’autre moitié du fait de rester à l’intérieur. Au 12 août 2024, l’université de Hsinchu avait SoftEther installé, un produit de VPN légitime, et ce client utilisait un sous-domaine de 98aiblog[.]com pour se connecter à 108.61.181[.]104. Le 19 août 2024, le client SoftEther de l’université de Puli utilisait le même sous-domaine pour joindre la même adresse. La description générale de cette habitude dans l’avis colle aux précisions du mandat. Les opérateurs téléchargent SoftEther avec PowerShell sous Windows et avec curl ou wget sous Linux, le règlent pour se reconnecter au démarrage, et nomment souvent l’installateur conhost.exe ou dllhost.exe, qui sont de vrais programmes Windows. Un produit de sécurité est moins pressé d’effacer un VPN que beaucoup d’organisations installent exprès. L’avis liste 98aiblog[.]com parmi les noms qui hébergeaient ces connexions, à côté d’autres (hmbcloud[.]com, hmbcloud[.]net, twimg.co[.]uk, et plusieurs encore) que ce mandat ne saisit pas.

Ce que l’avis ajoute, au-delà des deux outils

AA26-281A est la note technique du même jour, du FBI, de la CISA, de la NSA, du NCSC du Royaume-Uni, de l’ACSC de l’Australian Signals Directorate, du Centre canadien pour la cybersécurité, de l’Agence nationale de police du Japon et de son Bureau national de la cybersécurité, du NCSC de la Nouvelle-Zélande, et du Centro Nacional de Inteligencia de l’Espagne. Elle est écrite pour les défenseurs. Ce n’est pas une seconde copie du mandat.

Le scan n’est pas seulement Microscan. Les opérateurs utilisent aussi des outils ordinaires : BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe et wpscan. Les ports sur lesquels ils se concentrent sont 21, 22, 53, 80, 443 et 1080. Sur les sites, ils énumèrent les pages PHP et ASP.NET. La lecture de cette trousse dans l’avis, c’est que les opérateurs préfèrent trouver une cible déjà vulnérable plutôt que de construire un nouvel exploit pour une cible corrigée.

Les vulnérabilités que l’avis dit avoir retrouvées dans les scripts Microscan sont vieilles exprès. Ce sont le genre de bogue qui survit sur un appareil que personne ne met à jour :

Plusieurs lignes du tableau de l’avis portent un astérisque. Le texte récupéré ne le définit pas. La colonne « ce que cela permet » suffit à voir le motif : lecture de fichier, écriture de fichier, ou une commande, sur un logiciel qui a un correctif depuis des années.

Après une prise, l’avis décrit une charge de script intersite qui réécrit une page en formulaire de nom et de mot de passe, puis offre une archive zip protégée par mot de passe. Dedans, live700_v1.exe, qui démarre un processus nommé DiagTrack.exe (un vrai nom Windows) et parle, en HTTP, à dns.studiocloud[.]xyz, un domaine que le FBI attribue à Integrity Tech. L’exécutable peut interroger des boîtes de courriel. L’évaluation du FBI, c’est que le but est le courriel.

EBurst, un outil Python ouvert, arrose et devine des mots de passe contre Microsoft 365 et Exchange. Les interfaces que l’avis dit aux défenseurs de surveiller sont le panneau de contrôle Exchange, Exchange Web Services, le carnet d’adresses hors ligne, Outlook Web Access, RPC, l’API, MAPI, PowerShell, Autodiscover et ActiveSync. Un outil en ligne de commande plus tardif, office-cli, utilise un vrai enregistrement d’application (client_id, tenant_id, un secret) pour tirer le courrier dans le temps. Le courrier volé est aussi offert par une application web maison. Dans certains cas, l’accès au courrier volé était limité à des adresses IP de Xiamen.

Un script PHP que le FBI appelle Curlc4.txt parle à Exchange Web Services, compresse le courrier, et le chiffre parfois avec RC4 ou AES-128-CBC avant un envoi vers natcloudservice[.]com. L’avis imprime des chaînes de ce script, dont un mot de passe et une clé. Cela appartient à un jeu d’indicateurs pour les défenseurs, dans l’avis, et ce n’est pas recopié ici. DC.exe fait du DCSync : il demande à un contrôleur de domaine, par le protocole de réplication que les administrateurs utilisent pour des copies légitimes, de la matière d’identifiants. Une réplication inattendue est la ligne de journal qui compte.

Le vol de courriel que le FBI a retrouvé atteignait des organisations gouvernementales, des services de police, des systèmes de santé et des institutions religieuses en Asie du Sud-Est. Le public visé par l’avis, pour l’activité dans son ensemble, comprend aussi le gouvernement civil américain, les gouvernements des États et des localités, la fabrication critique et les technologies de l’information, en Amérique du Nord, en Asie du Sud-Est et en Afrique.

Ce n’est pas la saisie d’août

Le 26 août 2026, le même ministère a annoncé un autre jeu de saisies de domaines, dans le district sud de la Californie, contre QScan et QTRouter. Ces plateformes appartiennent à un groupe que le gouvernement appelle QTFY, employé par Nanjing Xinjiuwei Network Technology Company. Les noms de victimes dans ce communiqué comprennent la NASA, la Réserve fédérale, le ministère de l’Énergie et le Sénat. Le mécanisme est aussi un bassin d’appareils piratés, utilisé comme relais pour que le trafic n’ait pas l’air de venir de Chine. C’est une autre société, un autre dossier, et une autre paire d’outils. Un titre qui dit « botnet lié à la Chine » colle aux deux. Les domaines de ce texte sont la liste d’octobre d’Integrity Tech, et seulement cette liste.

Une chronologie que les documents soutiennent

• 2 septembre 2010. La fiche d’OFAC : Integrity Technology Group est créée.
• 2017. Microscan est en usage. C’est la date la plus ancienne que l’avis avance. Le mandat ne date pas la première copie.
• 7 novembre 2018. c0cc[.]cc est enregistré.
• 23 juillet 2021. La date de début, dans l’affidavit, de l’opération de cette variante Mirai.
• 26 avril au 29 décembre 2022. Scans Microscan de la société d’électricité de Caroline du Sud, de l’ONG, des aéroports japonais et polonais, et des sociétés taïwanaises de gaz et d’électricité. Le 7 août, à l’intérieur de cette fenêtre, une université du canton de Puli a été scannée et compromise peu après.
• 21 mars 2023. Université de Hsinchu scannée. Compromise peu après.
• 5 juin 2024. Base de Sparrow : plus de 1,2 million d’enregistrements d’appareils, plus de 260 000 actifs, dont environ 126 000 aux États-Unis.
• 12 et 19 août 2024. SoftEther dans les deux universités appelle 108.61.181[.]104 à travers 98aiblog[.]com.
• 11 septembre 2024. Le FBI saisit w8510[.]com, verrouille les opérateurs hors des serveurs de commande, et coupe le canal vers les bots.
• 13 septembre 2024. La date de fin, dans l’affidavit, de l’usage du botnet.
• 18 septembre 2024. La date que le département d’État a ensuite utilisée pour l’annonce publique de cette perturbation.
• 3 janvier 2025. OFAC sanctionne Integrity Technology Group.
• 18 février 2025. Les trois domaines sosies sont enregistrés.
• 13 juillet 2025. Cloudflare montre x.c0cc[.]cc dirigé vers le serveur Microscan.
• 10 février 2026. 66.42.60[.]242 joint les deux comptes d’enregistrement et renouvelle les cinq domaines FishHub avec AliPay.
• Mars 2026. FishHub est sur 207.148.92[.]220.
• 3 juin 2026. La société de serveurs virtuels montre le même nom dirigé vers le même serveur. L’affidavit utilise ce dossier, avec celui de Cloudflare de juillet 2025, comme appui sur qui contrôlait le nom.
• 26 août 2026. Les saisies séparées de QScan et QTRouter.
• 9 septembre 2026. La connexion Microscan est encore sur x.c0cc[.]cc. 98aiblog[.]com est encore sur le compte d’enregistrement d’origine.
• 6 octobre 2026. La juge Kelly signe les mandats.
• 8 octobre 2026. Le ministère de la Justice annonce les saisies. AA26-281A est publié.

Si l’un de ces noms apparaît, ou si vous faites tourner quelque chose qu’ils ont scanné

1. Un routeur, une caméra ou un enregistreur qui a gardé le mot de passe par défaut, ou une mise à jour de micrologiciel en attente depuis un an, est le genre d’appareil que ce botnet utilisait. La commande de septembre 2024 a coupé un canal de commande. Ce n’est pas une remise à zéro de chaque caméra infectée. Remplacez le mot de passe par défaut, mettez à jour le micrologiciel depuis le site du fabricant, et retirez la page d’administration de l’Internet ouvert. Un appareil que vous ne pouvez pas mettre à jour est un appareil à remplacer ou à débrancher du réseau.
2. Sur un réseau que vous administrez, la liste courte de l’avis est celle qui vaut d’être faite en premier. Éteignez les services que vous n’utilisez pas, surtout l’administration à distance et le partage de fichiers en périphérie. Exigez un second facteur sur le courriel web, le VPN, et tout ce qu’un administrateur peut utiliser. Corrigez les huit vulnérabilités du tableau là où ces produits existent encore dans l’environnement, et remplacez tout ce que le fournisseur ne met plus à jour.
3. Cherchez SoftEther, ou un client VPN, installé sous le nom conhost.exe ou dllhost.exe, réglé pour démarrer avec la machine, appelant un nom que vous n’avez pas choisi. Cherchez une réplication Active Directory inattendue. Cherchez un arrosage de mots de passe contre les interfaces Exchange et Microsoft 365 listées plus haut, et un processus nommé DiagTrack.exe qui parle à un domaine que vous ne reconnaissez pas. Un export de boîte qui part d’un nouvel enregistrement d’application, c’est le motif office-cli.
4. Les sept noms saisis ne devraient pas résoudre vers votre infrastructure, et vos machines ne devraient pas les appeler. La liste d’indicateurs de l’avis est bien plus longue que ces sept noms, et elle comprend des concentrateurs SoftEther que ce mandat a laissés en place. La CISA publie les indicateurs en STIX à côté d’AA26-281A. Un nom saisi qui apparaît dans vos journaux est une raison de regarder. Une absence ne veut pas dire que le reste de la liste d’indicateurs est propre.
5. Si vous êtes au Canada, le Centre canadien pour la cybersécurité est l’une des agences de l’avis. Le signalement va vers eux, et vers l’IC3 du FBI à www.ic3.gov pour le versant américain de la même activité. La bannière de saisie pointe aussi vers l’IC3.

Sources

• Ministère de la Justice des États-Unis, annonce de la saisie, 8 octobre 2026.
• Affidavit de l’agent spécial Adam James, numéro de magistrate 26-1564, district ouest de la Pennsylvanie, serment du 6 octobre 2026, publié par le bureau du procureur.
• CISA et partenaires, AA26-281A, 8 octobre 2026, et le communiqué de la CISA le même jour.
• Département du Trésor des États-Unis, annonce des sanctions, 3 janvier 2025, et la désignation d’OFAC.
• Département d’État des États-Unis, note sur les sanctions, 3 janvier 2025, pour la date du 18 septembre 2024 de l’annonce précédente.
• Ministère de la Justice des États-Unis, perturbation du botnet de septembre 2024.
• Ministère de la Justice des États-Unis, saisies de QScan et QTRouter, 26 août 2026.