Le logiciel espion « secret défense » de la DGSI était un fork d’un exploit disponible sur GitHub
Un exploit « très peu sophistiqué »
Ayant permis plus de 6 000 arrestations, la saisie de 900M d’euros et de 270 tonnes de drogues, le piratage du cryptophone Encrochat reposait sur un logiciel espion « secret défense » développé par la DGSI. Il avait en fait été bidouillé à partir d’un logiciel open source et d’un exploit téléchargés sur GitHub. Il reposait aussi sur une faille « zero day » identifiée par Google comme étant exploitée par le logiciel espion Pegasus de NSO.
Le 2 juillet 2020, Europol et Eurojust annonçaient que la gendarmerie nationale française avait réussi à pirater et démanteler EncroChat, « un réseau téléphonique crypté largement utilisé par les réseaux criminels » dénombrant 60 000 clients, a priori fortunés. Ses terminaux sécurisés étaient en effet vendus la bagatelle de 1 000 euros, auxquels il fallait ajouter 1 500 euros d’abonnement, à renouveler tous les 6 mois.
Initiée en 2017, l’enquête avait mobilisé 60 enquêteurs réunis en France dans une « cellule Emma 95 », et permis plusieurs centaines d’arrestations un peu partout en Europe. Trois ans plus tard, Europol se félicitait du fait que cette opération avait permis l’arrestation de 6 558 personnes dans le monde entier (dont 197 « high value targets »), la saisie de 740 millions d’euros de cash et le gel de 154,1 millions d’euros sous forme d’actifs ou de comptes bancaires, 164,4 tonnes de cannabis, 103,5 de cocaïne, 3,3 d’héroïne, 30,5 millions de comprimés de drogues chimiques, 971 véhicules, 923 armes (plus 21 750 cartouches et 68 explosifs), 271 domaines ou maisons, 83 bateaux et 40 avions.
Europol ne précisait pas combien de personnes avaient alors été condamnées, mais celles qui l’avaient été totalisaient alors une durée cumulée de 7 134 années de prison. Europol précisait également que 35 % des affaires relevaient du crime organisé, 33 du trafic de drogue, 14 du blanchiment d’argent, 12 de projets de meurtres, et 6 de trafic d’armes.
À l’époque, la gendarmerie n’avait pas détaillé son modus operandi, reconnaissant toutefois avoir eu recours à trois « dispositifs techniques », dont deux couverts par le « secret défense ». La loi d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) de 2010 autorise en effet la « captation de données informatiques, une technique spéciale d’enquête prévue par le droit français » afin de « contourner l’obstacle du chiffrement et ainsi d’accéder à des données informatiques de manière invisible pour l’utilisateur ».
Les journalistes d’investigation Bill Goodwin et Duncan Campbell (un ancien hacker radio connu pour avoir révélé l’existence du GCHQ et du programme anglo-saxon Echelon de surveillance satellite des communications) viennent néanmoins de révéler, dans Computer Weekly (CW) qu’à la demande de la justice britannique, une entreprise de cybersécurité tchèque a réussi, par rétro-ingénierie, à reconstituer le logiciel espion.
Il aurait été développé par le « service technique national de captation judiciaire » (STNCJ), un service à compétence nationale rattaché au directeur technique de la direction générale de la sécurité intérieure (DGSI), créé en 2018 et chargé de la conception, de la centralisation et de la mise en œuvre de dispositifs techniques permettant l’activation à distance d’un appareil électronique, qui sont cela dit couvertes par le secret de la défense nationale.
Une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes
Encrochat aurait été développé par Paul Kursky, un Canadien d’une cinquantaine d’années vivant en République dominicaine. D’après The Globe and Mail, il y avait été arrêté en 2022, avant d’être extradé en février 2024 en France, où, mis en examen pour une quinzaine de chefs d’accusation, il encourt une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes.
[Communiqué de presse] L’un des principaux dirigeants de la structure #EncroChat a été remis à la France le 02/02/24 à la suite d'un important travail de coopération avec @Eurojust et les autorités dominicaines.
— Samuel Finielz, procureur de Lille (@ProcureurLille) February 7, 2024
▶️Mis en examen, il a été placé en détention provisoire par le JLD. https://t.co/9JAuQ7tqwj pic.twitter.com/mGFeRS24i5
CW révèle pour sa part qu’en 2014, Kursky expliqua à l’un de ses partenaires avoir mis au point une « solution de sécurité » pour les smartphones Android, « à partir de plusieurs projets open source », dont Off-the-Record Messaging, le précurseur des messageries chiffrées, Guardian ROM, une version sécurisée d’Android développée par le Guardian Project, un collectif de développeurs œuvrant pour « les militants, les journalistes et les utilisateurs lambda qui accordent de l’importance à la vie privée et à la sécurité ».
L’idée était de flasher un smartphone de sorte qu’il dispose d’une zone de stockage chiffrée dotée de son propre système d’exploitation, activable à partir d’une combinaison de touches spéciales offrant à ses utilisateurs la possibilité de nier de façon plausible (« déni plausible », ou « plausible deniability » en anglais) le fait qu’il s’agisse en réalité d’un « cryptophone ».
L’abonnement coûtait 1 000 $ pour 6 mois, pour un téléphone qui, ironise CW, « pouvait parfois prendre en charge des appels téléphoniques », mais servait surtout à stocker des notes, échanger des messages et images avec des utilisateurs identifiables non via leurs noms ou n° de téléphones, mais via des pseudonymes « choisis au hasard ». Leurs échanges étaient en outre automatiquement effacés au bout de 14 jours, ou dans un délai fixé par leurs expéditeurs.
Le smartphone pouvait également être effacé à distance par le revendeur ou le service d’assistance, et proposait plusieurs fonctionnalités visant à assurer « garantir l’anonymat » de ses utilisateurs, dont un code PIN spécifique destiné à la suppression immédiate de toutes les données sur l’appareil, et la suppression de toutes les données en cas de saisies consécutives d’un mauvais mot de passe.
Une rétro-ingénierie de 70 % du logiciel espion des hackers de la DGSI
Commentaires (4)
Aujourd'hui à 16h38
Modifié aujourd'hui à 17h15
Modifié il y a 54 minutes
Le sentiment que ça me fait c'est que les concepteurs d'encrochat ont pêché par suffisance (Les données centralisés chez OVH à la merci du moindre flic français, sérieux ?) et que la police a su profiter de ces déficiences, sans plus.
Modifié il y a 21 minutes
Du génie
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?