Ils s'appellent Eleonore, Liberty, Yes, ou Neon... Installés sur des sites Web infectés, ces kits de piratage complets pour hackers malveillants, des "exploit packs", exploitent les vulnérabilités des navigateurs, de certains programmes très utilisés, ou des systèmes d'exploitation des ordinateurs. Ces logiciels malicieux en pleine prolifération, qui permettent d'obtenir les données personnelles des internautes à leur insu ou de lancer de vastes campagnes de spams, sont-ils pour autant invulnérables ?

Tel n'est pas l'avis de Laurent Oudot, responsable de l'entreprise Tehtri-Security, qui a présenté ses travaux à la mi-juin, lors d'une conférence sur la sécurité informatique à Singapour. Le chercheur estime ainsi que les programmes comme Eleonore disposent aussi de failles de sécurité exploitables, et qu'il est littéralement possible de "hacker les hackers". Pour le chercheur français, qui avait déjà échafaudé un système de contre-attaque envers le virus MS Blast, en 2003, il est en effet possible d'utiliser des pièges ou d'attaquer à distance les cyber-délinquants qui utilisent ces programmes malicieux ou contrôlent des réseaux d'ordinateurs infectés.

Contre "Eleonore", par exemple, les "contre-attaquants" peuvent, théoriquement, s'immiscer dans l'interface de contrôle du programme, et particulièrement accéder aux cookies du cyber-délinquant, ces fichiers textes qui contiennent de nombreuses données sur les internautes piratés. "Quand la protection du programme malicieux est mal faite, il est possible d'écrire dans la base de données du pirate. S'il n'utilise pas un logiciel d'anonymisation comme Tor, on peut même directement connaître son adresse IP et lui intimer l'ordre de détruire son propre système", souligne M. Oudot.

FLOU JURIDIQUE ?

Le schéma de contre-attaque n'est-il que théorique ? Lors de sa démonstration à Singapour, le responsable de Tehtri-Security a présenté treize failles de sécurité critiques "0 day", sur les principaux systèmes que sont Eleonore, Zeus ou Liberty. "D'un programme malicieux à l'autre, les types de failles évoluent beaucoup. Certains ont de très grosses vulnérabilités, qui permettent parfois même de prendre la main sur le serveur du pirate ; pour d'autres, il faut un travail d'orfèvrerie fine de plusieurs heures pour les pirater", précise Laurent Oudot.

Le succès de la contre-attaque peut s'avérer plus aléatoire avec certains "exploit packs", plus élaborés, qui font l'objet de mises à jour régulières, comme n'importe quel logiciel ordinaire. "La difficulté, avec des programmes comme Zeus, est qu'ils sont modifiés par de nombreux groupes, et existent en plusieurs versions", poursuit le chercheur français. Il faut toutefois compter en moyenne 700 dollars (570 euros) pour une version de "base" d'un logiciel, puis quelques centaines de dollars pour des mises à jour de sécurité. Une somme que tous les hackers ne sont pas prêts à débourser.

Outre les difficultés techniques, l'adoption d'une stratégie de contre-attaque pose aussi des incertitudes d'ordre juridique. "Mettre en œuvre un tel système est un processus lourd. Les Américains se disent prêts à lancer une réflexion sur ce thème. Mais en cas de réelle contre-attaque, quelle valeur donner aux traces qui justifient la contre-offensive", interroge Laurent Oudot.

Les Britanniques et les Américains semblent néanmoins les plus ouverts à ces techniques. "Les premiers à s'approprier ces techniques pourraient être, dans un premier temps, les services de défense et de renseignement, puis les grands acteurs de l'informatique, comme Google et Microsoft", conclut le chercheur français.

Il s’appelle Opuntia Ficus Indica (connu sous le nom de figuier de barbarie) et il pourrait résoudre les problèmes d’eau potable dans le Tiers-Monde ! C’est du moins la conviction de chercheurs américains et mexicains.

Petit rappel de l’enjeu : aujourd’hui deux milliards de personnes souffrent d’un manque d’accès à l’eau potable, qui cause nombre de maladies et de décès dans les pays en voie de développement. En cause, des structures d’assainissement trop chères à construire et -surtout- à entretenir. Alors, si on laissait travailler la nature ?

Le figuier de barbarie, originaire du Mexique, avait déjà pas mal d’utilisations traditionnelles là-bas. C’est un cactus qui pique, il fait donc une bonne clôture pour protéger le bétail. Il est comestible, de ses racines jusqu’à ses fruits (notamment en confitures). Son mucilage (la pâte que l’on peut en extraire) était aussi utilisé pour faire de la teinture, du répulsif anti-moustique, du ciment et… pour purifier l’eau.

Un cactus miracle et pas cher

C’est donc ce dernier usage traditionnel que nos chercheurs de l’USF (University of South Florida) voudraient utiliser à grande échelle. Concrètement, cette substance, d’une consistance proche de la gomme, est issue des tiges du figuier de barbarie.

Vous en jetez dans une grande cuve d’eau pleine de bactéries indésirables.

Elle va alors y agglomérer ces bactéries entre elles, les “sédimenter”. Du coup, toutes ces impuretés vont tomber d’elles-mêmes au fond de la cuve, y laissant une eau purifiée de 97 à 98% de ses cochonneries dangereuses pour la santé. Les expériences ont ainsi vues éliminer des traces d’arsenic, de cadmium, de chromium ou de selenium.

Bonne nouvelle : ce cactus magique peut se cultiver facilement partout où il fait chaud, en l’occurrence en Amérique Latine, en Afrique ou au Moyen-Orient, où ses vertus purificatrices pourraient faire beaucoup de bien à la santé. Naturellement et pour pas cher !

Une firme suisse permet d’écouter les conversations en direct et de lire les SMS à distance. L’efficacité du système est remarquable. Pour s’en prémunir, mieux vaut garder son mobile à l’œil ou le verrouiller.

Vingt-cinq minutes. Voilà le temps qu’il aura fallu pour installer un logiciel espion dans cet iPhone. Il ne reste aucune trace visible. Et désormais, ce téléphone sera sous surveillance permanente. SMS reçus et envoyés, communications vocales, géolocalisation… Il sera possible de tout connaître à distance et en direct. L’explosion du nombre de smartphones, ces téléphones multifonctions, facilite l’installation de programmes mouchards. Sur le Web, de nombreuses sociétés prétendent vendre, à prix d’or, de tels logiciels. Il s’agit presque toujours d’arnaques. Mais depuis quelques jours, une société basée en Suisse commercialise réellement un logiciel espion à l’efficacité redoutable.

Cette société, c’est ProMibs, basée à Martigny. Nous avons rencontré cette semaine son directeur, Michel B. Il souhaite rester discret sur son identité, conscient que son activité est limite du point de vue de la loi. A cette condition, il a accepté d’en donner des détails. En effet, son logiciel flirte dangereusement avec l’illégalité (lire ci-dessous). «Sur notre site web, nous avertissons clairement nos futurs clients des risques encourus, explique-t-il. A eux de décider. Certaines personnes sont consentantes pour être surveillées. Je pense à cet homme que sa femme, très jalouse, harcelait en permanence par téléphone pour savoir ce qu’il faisait. Pour être tranquille, il a finalement décidé de la laisser enclencher le micro de son téléphone, quand elle le désirait.»

Mais Michel B. le reconnaît volontiers: ses clients sont surtout des femmes ou hommes traquant l’infidélité supposée de leur conjoint. «En Suisse, nous avons vendu une dizaine de logiciels. En France, après trois mois d’activité, nos clients se comptent déjà par centaines.» Chacun a payé le logiciel 299 euros – soit 433 francs – pour une licence valable un an.

Disponible sur des Sony Ericsson, Samsung ou Nokia, le logiciel a donc été testé sur un iPhone. Pour le téléphone d’Apple, il y a un prérequis: il faut d’abord le déverrouiller («jailbreaker») pour installer librement le programme. Ensuite, grâce au document PDF de 16 pages richement illustré fourni par Promibs, l’installation s’effectue sans accroc. Il faut bien sûr pouvoir subtiliser le téléphone pendant un moment…
A la fin, l’on peut choisir avec précision ce qui sera espionné: e-mails, SMS, appels… L’on décide si l’on veut intercepter les appels provenant d’un seul numéro. Ensuite, il faut choisir le numéro du téléphone qui recevra toutes ces informations. Un dernier clic pour masquer totalement le logiciel sur le portable espionné, et c’est fini.

Le test est concluant. Dès que le téléphone visé émet ou reçoit un appel, l’on reçoit, sur un autre téléphone, un SMS avertissant de l’établissement de la communication. Il suffit alors d’appeler immédiatement le téléphone espionné pour entendre en direct la conversation – en prenant bien sûr soin de couper son propre micro. Pour la personne visée, impossible de se rendre compte de cette mise sur écoute…

Tous les SMS sont aussi lisibles. Pour les consulter, il suffit de se connecter (via un login et un mot de passe) à un site web fourni par ProMibs. Le contenu des messages est entièrement archivé. Ce n’est pas tout. Comme le GPS du téléphone espionné peut être activé à distance, l’on peut reconstituer, sur une carte, tous les déplacements de la personne visée. Que ce soit via les satellites (en terrain découvert) ou en effectuant une triangulation avec les antennes de téléphonie (en terrain couvert), le positionnement est établi avec précision. Il est possible de reconstituer le déplacement du téléphone durant les dernières heures. Quant au GPS, il peut diffuser sa position toutes les minutes, cinq minutes ou 10 minutes – tout est paramétrable.

Le logiciel de ProMibs n’est pas exempt de bugs. Ainsi, l’interception des e-mails n’a pas fonctionné. Quant à l’alerte par SMS lors de l’établissement de communications vocales, elle ne s’est parfois déclenchée qu’après 30 secondes. «Le logiciel fonctionne bien, poursuit Michel B. Nous avons rarement des soucis sur certains iPhone. Il arrive aussi, mais très rarement, que le logiciel ne puisse pas être installé sur des BlackBerry d’entreprise. Nous développons actuellement notre logiciel pour les téléphones dotés d’Android, le système de Google.»
Le marché de l’espionnage à distance est une jungle. «La plupart des soi-disant concurrents n’existent en fait pas», sourit Michel B. Beaucoup de sites web promettant des logiciels espion pour téléphone ne font en effet que récolter les coordonnées de carte de crédit des internautes qui se font ainsi plumer. Un coup d’œil à plusieurs forums de discussions spécialisés donne vite une idée du désarroi des personnes recherchant de tels logiciels. Déjà sous le poids de la tromperie, elles se font parfois en plus arnaquer. Et quand elles utilisent un logiciel espion qui fonctionne, c’est parfois pour découvrir une vérité qui dérange.

Contactée par Le Temps après avoir posté un message sur un forum, une femme explique sa démarche. Elle soupçonnait une liaison entre son conjoint et l’une de ses collègues et a testé un logiciel espion après avoir vu une publicité sur le Net: «Une amie m’a prêté un BlackBerry identique à celui de mon conjoint et j’ai pu m’entraîner dessus. Je n’ai plus eu de doute quand j’ai vu les SMS et entendu une conversation. Je suis heureuse de ne plus avoir de doutes. Mon couple a explosé et j’ai retrouvé ma paix sociale.»


Si la loi plaide clairement en défaveur de l’espionnage, les opérateurs de téléphonie s’avouent démunis face à ces pratiques. «Nous parvenons à filtrer les MMS qui ont pour but d’infecter des téléphones à distance, précise Christian Neuhaus, porte-parole de Swisscom. Par contre, il nous est impossible de filtrer les logiciels téléchargés via Internet sur des téléphones mobiles.»

La percée de ces logiciels n’étonne pas Christian Raemy, directeur technique auprès de la société de sécurité E-Secure: «De plus en plus d’entreprises se méfient de l’apparition de ces nouvelles techniques d’espionnage. Lors de certaines réunions de haut niveau, tels des conseils d’administration, il est parfois demandé de retirer la batterie des téléphones, pour être certain que rien ne sera écouté à distance.»

De son côté, le patron de ProMibs est serein. Il affirme que l’argent récolté avec son logiciel d’espionnage permet de développer des programmes aux visées plus louables: «Nous proposerons bientôt des logiciels permettant de suivre ses enfants à distance. Et nous vendons déjà un programme qui efface totalement les données de son portable en cas de vol.»
vendredi9 avril 2010