De nouveaux documents d’Edward Snowden montrent comment la NSA et ses agences alliées proches ont mis au point un programme qui visait l’interception des communications entre les smartphones Android et certaines boutiques. Objectif : s’insinuer dans la connexion et provoquer le téléchargement d’un code espion.

Faire des boutiques d'applications des plateformes de lancement

En janvier 2014, nous relations comment certaines applications avaient été infiltrées par la NSA et d’autres agences de renseignement pour atterrir plus facilement sur les smartphones. La NSA s’était particulièrement servi des réseaux de publicités pour s’infiltrer dans Angry Birds ou encore dans Google Maps. On ne savait pas en revanche comment les analystes et ingénieurs avaient procédé pour parvenir à ce résultat.

On en sait désormais davantage, grâce à la publication de nouveaux documents dérobés par Snowden à la NSA. On y apprend ainsi que l’agence, ainsi que les structures équivalentes des Five Eyes (États-Unis, Canada, Royaume-Uni, Nouvelle-Zélande et Australie), ont travaillé sur la mise au point de plusieurs techniques pour s’infiltrer dans les connexions qui s’établissent entre les smartphones Android d’une part, et les boutiques d’applications de Google et Samsung d’autre part.

Ce programme particulier se nomme « IRRITANT HORN » et s’utilise de pair avec XKEYSCORE, décrit un temps comme le « Google du renseignement », en fait un moteur de recherche interne pour retrouver rapidement des informations et des mises en relation. Les analystes peuvent ainsi s’en servir pour repérer un flux de données en particulier sur les câbles Internet et le suivre, littéralement, jusqu’à la porte d’entrée des boutiques. De là, la méthode consiste à se faufiler dans la place et à implanter un malware dans un téléchargement vers le smartphone visé.

Récolter des données et transmettre de fausses informations

Une fois en place, ces implants ont la même mission que la plupart des malwares finalement : trouver, récolter et communiquer des informations sur l’activité de l’appareil. On peut imaginer que les appels téléphoniques, messages ou encore les frappes sur le clavier virtuel peuvent être communiqués à la NSA. Et la méthode est apparemment efficace puisqu’elle revient à mettre en place une attaque de type « homme du milieu » où la boutique d’applications sert d’intermédiaire.

On ne sait en fait pas dans quelle mesure la Network Tradecraft Advancement Team (constituée d’ingénieurs des cinq agences) est parvenue à ses fins. La possibilité de s’introduire dans les boutiques d’applications (seules celles de Google et de Samsung sont abordées) aurait dans tous les cas permis à la NSA et ses alliées de faire d’une pierre deux coups. Non seulement il devenait possible d’injecter du code, mais également d’envoyer de fausses informations pour susciter un « trouble » chez les victimes. L’intégralité du programme aurait été décidée en 2010 lors des prémices du Printemps arabe en Tunisie, évènements durant lesquelles les agences ont jugé qu’elles étaient relativement aveugles.

Des failles trouvées et exploitées dans le navigateur UC Browser

L’un des plus gros problèmes soulevés par ces documents concerne UC Browser. Ce navigateur mobile n’est pas nécessairement connu en Occident, mais il est très utilisé en Asie, surtout en Chine et en Inde, avec une base confortable de plus de 500 millions d’utilisateurs. Or, dans les travaux menés par les agences de renseignements, plusieurs vulnérabilités  ont été trouvées dans l’application et utilisées pour récupérer des informations.

Ces failles dans UC Browser ont été analysées et confirmées par Citizen Lab, qui les considère comme très sérieuses. Un rapport complet a d’ailleurs été émis hier pour recentrer l’ensemble des problèmes et montrer comment l’application pouvait être utilisée pour organiser des fuites de données : recherches, numéros de cartes SIM, historique ou encore identifiants uniques des smartphones étaient ainsi récupérables.

Citizen Lab a indiqué avoir averti en avril l’éditeur d’UC Browser, qui n’est autre que le géant chinois Alibaba. L’entreprise a répondu qu’une mise à jour avait été déployée depuis pour corriger l’ensemble des failles décrites. Elle a par ailleurs affirmé ne pas être au courant de la moindre fuite de données des utilisateurs. Cela étant, et connaissant les capacités de la NSA qui n’en finissent plus d’être décrites depuis bientôt deux ans, il y a de grandes chances pour que de telles fuites n’aient de toute manière pas été détectables.

La NSA continue de militariser les failles de sécurité

Et malheureusement, ce type d’action, qui consiste ni plus ni plus qu’à « armer » des failles de sécurité existantes, est particulièrement dommageable pour les internautes. Cette thématique est régulièrement abordée puisque des figures comme Tim Berners-Lee et de nombreux experts en sécurité ont accusé la NSA de s’attaquer aux fondations d’Internet en gardant pour elles les failles de sécurité qu’elle collecte, comme autant de missiles dans un arsenal.

Ron Deibert, directeur de Citizen Lab, résume la situation : « Évidemment, les agences de sécurité ne révèlent pas ce genre d’information. À la place, elles récoltent les vulnérabilités puis les militarisent ». De fait, profiter de ces failles dans une application peut servir leurs intérêts, « mais cela se fait au détriment de la vie privée et de la sécurité de centaines de millions d’utilisateurs dans le monde ».

Il est donc reproché une fois de plus à la NSA d’être en possession d’informations importantes pour la sécurité de nombreux utilisateurs. En ne rapportant pas ces failles à leurs éditeurs respectifs, le risque augmente avec le temps qu’elles soient découvertes par des groupes nettement plus mal intentionnés.

The Intercept a contacté les cinq agences de renseignement, et toutes ont répondu soit qu’elles n’avaient pas de commentaires particuliers à faire sur ce type d’information, soit qu’elles agissaient dans un strict cadre légal. Des réponses entendues de nombreuses fois depuis deux ans à la NSA ou chez son équivalent anglais, le GCHQ. Google et Samsung, de leur côté, n’ont pas souhaité répondre.