Le logiciel espion utilisé par le renseignement russe avait bien été développé pour la NSA

La semaine passée, on apprenait coup sur coup la condamnation de l’auteur d’un vol de failles de sécurité « 0days » développées pour la NSA et ses partenaires. Puis que Coruna, un logiciel espion contenant des vulnérabilités préalablement exploitées par la NSA pour espionner des iPhone, avait été récupéré par un service de renseignement russe pour infecter des terminaux ukrainiens, puis des cybercriminels chinois pour voler des cryptoactifs.

Peter Williams, directeur général de Trenchant, un vendeur américain de failles de sécurité susceptibles d’être exploitées par les services de renseignement techniques, filiale du marchand d’armes L3Harris, vient en effet d’être condamné à sept ans de prison pour en avoir volé huit, et les avoir vendues à son principal concurrent russe, Operation Zero, pour 1,3 million de dollars.

Le Bureau du contrôle des avoirs étrangers (OFAC) du département du Trésor américain avait précisé qu’ « Opération Zero a ensuite vendu ces outils volés à au moins un utilisateur non autorisé ».

Google a par ailleurs découvert que Coruna, le logiciel espion particulièrement puissant volé à un service de renseignement anglo-saxon, reposait sur pas moins de cinq chaînes d’exploitation iOS complètes et 23 exploits iOS, et qu’il aurait coûté plusieurs millions de dollars en développement.

• USA : 7 ans de prison pour avoir volé, et vendu, des failles « 0days » à un courtier russe
• Des espions russes et cybercriminels chinois ont récupéré un spyware iPhone lié à la NSA

Deux anciens employés de L3Harris ont depuis déclaré au journaliste spécialisé Lorenzo Franceschi-Bicchierai de TechCrunch que Coruna avait été développé, au moins en partie, par la division technologique de piratage et de surveillance de Trenchant.

« Coruna était sans aucun doute le nom interne d’un composant », a souligné un ancien employé de L3Harris, qui connaissait bien les outils de piratage de l’iPhone dans le cadre de son travail chez Trenchant : « j’ai examiné les détails techniques » partagés par Google, et « beaucoup me sont familiers ». 

TechCrunch rappelle que L3Harris vend les outils de piratage et de surveillance de Trenchant exclusivement au gouvernement américain et à ses alliés de l’alliance de renseignement dite « Five Eyes », qui comprend l’Australie, le Canada, la Nouvelle-Zélande et le Royaume-Uni.

Selon les procureurs américains, Williams a reconnu le code qu’il avait écrit et vendu à Operation Zero, qui a ensuite été utilisé par un courtier sud-coréen, note TechCrunch, qui laisse entendre que c’est « peut-être » ainsi que Coruna aurait finalement été racheté par des pirates chinois.

Le chercheur en sécurité Costin Raiu relève que Trenchant a par ailleurs l’habitude d’utiliser des noms d’oiseaux pour désigner les outils qu’il développe. Or, plusieurs des 23 exploits de Coruna portent des noms d’oiseaux, tels que Cassowary, Terrorbird, Bluebird, Jacurutu et Sparrow.