Washington offre jusqu'à 10 millions de dollars pour localiser Zhang Yu

Le département d'État américain offre une récompense pouvant atteindre 10 millions de dollars pour toute information permettant d'établir l'identité ou la localisation de Zhang Yu, ressortissant chinois inculpé dans le cadre de la campagne de piratage HAFNIUM visant Microsoft Exchange Server, rapporte dailysecu.com.

Zhang Yu est notamment accusé d'intrusions contre des universités américaines menant des recherches sur la COVID-19 et d'exploitation de vulnérabilités d'Exchange Server. Il n'a pas été arrêté. Les procureurs américains le présentent comme un directeur de la société Firetech, basée à Shanghai, agissant sous la direction du bureau de la sécurité de l'État de Shanghai, rattaché au ministère de la Sécurité d'État chinois.

Xu Zewei est accusé d'avoir coordonné ces attaques avec Zhang Yu et travaillait à l'époque chez Shanghai Powerock Network. Arrêté à Milan, en Italie, en juillet 2025 à la demande des États-Unis, il a été extradé vers les États-Unis en avril et a comparu devant un tribunal fédéral à Houston. L'acte d'accusation comportant neuf chefs, rédigé en novembre 2023, a été dévoilé en juillet 2025.

Contexte de la campagne HAFNIUM

En 2021, Microsoft a divulgué la campagne HAFNIUM et publié le 2 mars 2021 des correctifs pour quatre vulnérabilités d'Exchange Server. L'éditeur a attribué les attaques à un groupe de pirates parrainé par l'État chinois, aujourd'hui suivi sous le nom de Silk Typhoon. Les vulnérabilités concernaient les serveurs Exchange installés sur site, le service cloud Exchange Online n'étant pas affecté. Le FBI a indiqué que plus de 12 700 organisations américaines avaient été compromises. En avril 2021, le FBI a obtenu l'autorisation d'un tribunal de copier et de supprimer des web shells spécifiques sur des centaines de serveurs aux États-Unis.