Mettre un smartphone sur écoute, un jeu d'enfant

Oubliez le temps des filatures, des traqueurs GPS collés aux bas de caisse des véhicules ou des bureaux truffés de mouchards durant la nuit. Aujourd’hui, vous avez un nid d’espions au creux de votre main. Deux ans après les révélations de l’affaire Pegasus (ce logiciel israélien de piratage déployé par différents États pour surveiller des journalistes, militants des droits humains et leaders politiques, dont plusieurs Belges) par le consortium d’investigation Forbidden Stories, les mouchards pour smartphones refont surface. Les cyberflics de la Computer Crime Unit, apprend la RTBF, ont détecté des traces d’un logiciel espion dans les portables de certains de nos policiers et magistrats, dont le juge d’instruction Michel Claise. Au mois d’avril, les experts de Microsoft et de la plateforme canadienne Citizen Lab mettaient également au jour une vaste affaire d’espionnage menée par QuaDream, une autre société israélienne, via son logiciel Reign. Face au ­scandale, cette firme s’apprête aujourd’hui à ­cesser ses activités. Avant qu’une autre ne prenne le relais?

Contre-offensives belge et européenne

C’est que ces mouchards, également appelés “stalkerwares” ou logiciels de traque, sont redoutables. Une fois installés, ils permettent d’enregistrer les conversations téléphoniques de la ­victime et d’écouter ce qui se passe autour d’elle, de prendre des photos, de localiser l’appareil, de récupérer des messages chiffrés, des mots de passe et même de déjouer l’authentification à deux facteurs des services de sauvegarde en ligne. Avant d’effacer derrière eux toute trace de leur passage. “Ces logiciels utilisent la technique du "fuzzing", explique Guillaume Deterville, hacker éthique pour le spécialiste en cybersécurité Cresco. Ils bombardent le téléphone de données aléatoires jusqu’à la découverte d’une faille. Si une ligne de code fait chauffer le smartphone, par ­exemple, cela signifie qu’il y a un bug qui peut être exploité pour prendre le contrôle de l’appareil.” Contrairement à la plupart des logiciels espions qui doivent être installés manuellement sur le portable de la cible ou via une technique de ­phishing, ces nouveaux mouchards sont “zéro clic”, c’est-à-dire qu’ils infectent un smartphone sans que leur utilisateur ait besoin de cliquer sur le moindre lien.

De quoi filer des sueurs froides aux agences ­gouvernementales. Pour contrer ces nouvelles attaques sournoises, le ministre de la Justice ­Vincent Van Quickenborne annonce un investissement de 30 millions d’euros dans un nouveau réseau de communication sécurisé, rapporte la RTBF. Il sera actif avant la fin de cette année et permettra à toutes les personnes occupant des postes sensibles de communiquer entre elles de manière sécurisée. “Ces réseaux ultra-protégés vont se généraliser, poursuit le hacker éthique. Ils pourraient même disposer de leurs ­propres antennes GSM et fonctionner de manière indépendante.” Un peu comme la ligne d’urgence 112 qui peut être jointe même si on ne capte pas le réseau auquel on est abonné.

Le Parlement européen se saisit également de l’affaire et vient d’adopter une série de recommandations pour contrer l’utilisation abusive de ces mouchards. Car les interdire serait utopique - la plupart des États, démocrates ou totalitaires, les utilisent très probablement déjà. Mais entre fliquer un terroriste et espionner un juge d’instruction ou un président, il y a un pas. “Ce n’est pas seulement une atteinte à notre vie privée, c’est aussi une atteinte à la démocratie, a déclaré la rapporteuse néerlandaise Sophie in ‘t Veld. Parce que nous avons besoin de journalistes capables d’enquêter, d’opposants politiques, d’ONG, de juristes. Nous avons besoin de personnes qui ­peuvent librement examiner le pouvoir et demander des comptes aux responsables. C’est ça la ­démocratie.”

Les députés européens veulent donc légiférer pour encadrer ces logiciels espions et autoriser leur utilisation uniquement lorsque des conditions strictes sont remplies, des enquêtes sont menées sur les abus présumés et une aide est fournie aux personnes ciblées. Et de prôner la création d’un “EU Tech Lab” (laboratoire de technologie de l’UE) pour mieux détecter ce nouveau type d’espionnage. “On en parle très peu, mais la directive européenne NIS-2 qui va entrer en vigueur au plus tard fin 2024 devrait aussi changer la donne, pointe Guillaume ­Deterville. Ces nouvelles normes vont en effet ­contraindre de nombreux secteurs à sécuriser davantage leurs réseaux. Administrations, infra­structures énergé­tiques, transports, santé, banques, opérateurs de communication…” Avec de solides amendes et même des poursuites pénales à la clé en cas de manquement à ces obligations.

Un virus nommé Moustique

Les logiciels professionnels de type Pegasus ou Reign ne sont pas à la portée de tous. En 2016, le New York Times révélait ainsi le montant des factures Pegasus. Les clients devaient d’abord régler 500.000 $ de frais d’installation, puis un forfait de 650.000 $ pour 10 iPhone ou 10 Android piratés… Mais que peut-on déjà faire avec des solutions d’espionnage gratuites? Démonstration au QG de Cresco. “Je vais d’abord utiliser cette plateforme libre d’accès pour créer un virus que nous appellerons Moustique et le signer afin qu’il soit homologué pour le système Android du téléphone cible”, explique Guillaume Deterville. Précisons que cet outil clé en main ne se trouve pas sur un forum obscur du Darknet mais bien sur le Web grand public, référencé par Google et expliqué dans de nombreux tutoriels. Il est donc utilisable par n’importe quelle ­personne dotée d’un minimum de connaissances en informatique.

L’opération est expédiée en moins d’une minute. “Je vais ensuite infecter ce smartphone. Pour que ce programme malveillant s’installe, il faut que la victime l’autorise manuellement. Ce qui n’est pas très compliqué puisque la plupart des applications aujourd’hui demandent des accès. Pour ne pas éveiller de soupçons, on peut glisser ce programme malveillant dans la mise à jour d’un logiciel légitime, comme l’appli TV de votre opérateur, par exemple.” Trois secondes plus tard, le smartphone ciblé est sur écoute. Il suffit alors d’actionner l’une des commandes proposées par la plateforme depuis un ordinateur pour activer le micro ou la caméra, lire les SMS reçus ou ­géolocaliser la victime. Un jeu d’enfant.