Aller au contenu

1

Le message est simple aujourd'hui:

Ne tombez pas dans le panneau!

Cette semaine, j'ai reçu un appel au bureau d'une personne qui pensait m'avoir déjà eu en ligne. Malheureusement pour lui, ce n'était pas la même personne, il venait de se faire escroquer par un usurpateur.

Les scénarios de ces escroqueries sont multiples, ils ont souvent plusieurs étapes et plusieurs intervenants. Les plus courants commencent de deux façons:

  • Un dialogue sur un site de rencontres
  • Un échange suite à une petite annonce

Sur les sites de rencontre, la conversation s'engage et la victime commence à faire confiance. Dans certains cas, une relation se noue et l'escroc (ou les escrocs, car il est possible qu'ils se relaient derrière le même pseudonyme) demande de l'argent pour payer des frais médicaux ou même le voyage ou les frais de visa pour rencontrer son nouvel amour.

Evidemment, le paiement est toujours par des moyens inhabituels pour beaucoup d'entre nous: cartes bancaires prépayées ou coupons de recharges pour ces cartes, virements Western Union. D'ailleurs, très souvent (et c'est une bonne chose!) les buralistes posent des questions aux personnes qui se présentent pour acheter les coupons de recharge, et lorsqu'ils ont un doute ils sensibilisent les clients sur les risques d'escroquerie.

Parfois, l'escroquerie est plus agressive et la victime se voit menacée de révéler ses échanges, accusée de pédophilie (la personne avec qui elle discutait disant être mineure), et dans certains cas des vidéos ont été enregistrées à son insu suite à des discussions qu'elle croyait intimes et l'escroc menace de révéler ces vidéos à tous ses amis et contacts professionnels (chantage dit à la webcam).

Souvent encore, il y a une dernière étape avec l'intervention d'un soi disant service de police spécialisé qui contacte la victime par courrier électronique pour lui réclamer le paiement d'une amende ou alors de risquer des poursuites. C'est là que mon nom se retrouve souvent utilisé, un soi disant "Commissaire Général Eric Freyssinet" d'un service spécialisé en cybercriminalité fantaisiste, et le courriel est envoyé depuis une adresse gratuite (gmail, yahoo, hotmail, etc.).

Au passage:

Police et gendarmerie utilisent des adresses de courrier électronique officielles en gendarmerie.interieur.gouv.fr ou interieur.gouv.fr.

Jamais un policier ou un gendarme ne vous demandera de payer une amende directement dans un courrier électronique.

C'est intéressant d'utiliser le nom d'un policier ou d'un gendarme connu, parce qu'on trouve des traces de celui-ci sur Internet et la victime peut tomber dans le panneau (malheureusement !).

Dernier conseil: quand vous avez un doute suite à une discussion ou une transaction sur Internet, n'hésitez pas à en parler à un ami ou un membre de votre famille ou appelez le numéro Info Escroqueries 0 805 805 817 (lundi-vendredi 9h-18h30, numéro vert). Je compte sur mes lecteurs pour faire passer le message !

1

Depuis quelques jours, j'ai reçu plusieurs signalements de personnes qui étaient victimes d'une tentative d'extorsion par courrier électronique. Le même sujet a été décrit voilà quelques jours par Brian Krebs sur son blog.

Le schéma est le suivant:

  • Expéditeur = adresse bizarre en outlook.com ou autre service gratuit
    • Objet du message = "Re: prenom.nom - motdepasse"
  • Texte = un message en anglais rappelant le mot de passe, et indiquant que grâce à un virus implanté sur votre ordinateur l'escroc a pu vous observer visiter un site web pornographique et vous enregistrer à cette occasion grâce à votre webcam, menaçant ensuite de diffuser la vidéo à vos contacts. Le message réclame ensuite une rançon en bitcoins de $1900
  • Adresse Bitcoin = différente dans tous les exemples que j'ai pu voir

Le texte du message ressemble à celui-ci :

Let's get straight to the point. I am aware [mot de passe] is your pass word. Moreover, I know about your secret and I've proof of it. You don't know me and no one hired me to examine you.

It is just your misfortune that I discovered your bad deeds. Well, I installed a malware on the adult videos (adult porn) and you visited this website to have fun (you know what I mean). While you were watching video clips, your web browser started out working as a Rdp (Remote desktop) that has a keylogger which provided me accessibility to your display and also webcam. Right after that, my software program collected your complete contacts from facebook, as well as e-mail.

I then put in much more time than I probably should have into your life and made a two screen video. First part displays the recording you had been viewing and second part shows the video from your web cam (its you doing dirty things).

Honestly, I want to forget about you and let you get on with your life. And I am about to give you 2 options that will achieve that. The above choices to either ignore this letter, or perhaps pay me $1900. Let us examine those two options in more detail.

First Option is to ignore this e-mail. Let's see what is going to happen if you pick this path. I will send out your video to your contacts including relatives, co-workers, and many others. It does not help you avoid the humiliation your family will face when friends discover your sordid videos from me.

Other Option is to make the payment of $1900. We’ll call it my “confidentiality charges”. Let me tell you what happens if you pick this option. Your secret remains your secret. I'll destroy the recording immediately. You keep your lifetime as though nothing like this ever occurred.

At this point you may be thinking, “I should call the cops”. Let me tell you, I have covered my steps in order that this message can't be tracked to me plus it will not stop the evidence from destroying your health. I am not planning to dig a hole in your pocket. I am just looking to get compensated for efforts and time I place into investigating you. Let's assume you decide to generate pretty much everything disappear and pay me the confidentiality fee. You will make the payment via Bitcoins (if you don't know how, type "how to buy bitcoins" in search engine)

Amount to be sent: $1900
Receiving Bitcoin Address: [adresse différente pour chaque escroquerie]
(It's case sensitive, so you should copy and paste it carefully)

Tell nobody what you would use the bitcoin for or they might not offer it to you. The method to obtain bitcoins usually takes a few days so do not wait.
I have a specific pixel within this email message, and now I know that you have read through this e mail. You now have two days in order to make the payment. If I do not receive the BitCoins, I will certainly send out your video recording to all your contacts including members of your family, colleagues, and so on. You better come up with an excuse for friends and family before they find out. Nonetheless, if I receive the payment, I will erase the proof and all other proofs immediately. It is a non-negotiable one time offer, so don't ruin my personal time & yours. Your time is running out.

Hypothèses

Les hypothèses évoquées par Brian Krebs sont qu'il s'agit vraisemblablement de messages envoyés au hasard à une liste de personnes sur la base d'une fuite de données massive telle qu'on a malheureusement pu en avoir beaucoup au cours des dernières années. Cela converge avec les témoignages que j'ai pu recevoir.

Recommandations

Les recommandations que je pourrais faire aux victimes de cette tentative d'extorsion sont simples:

  • Ne pas payer la rançon, ne pas contacter l'escroc, ne pas répondre
  • Comme il s'agit ici d'une tentative reposant sur une vraie base de données volée, il est probable que vous reconnaissiez le mot de passe. Si vous l'utilisez encore sur un de vos comptes (courrier électronique, réseau social, etc.), changez-le très rapidement. La CNIL propose de très bons conseils sur les mots de passe, notamment en vous incitant à utiliser un logiciel de gestion des mots de passe.
  • Vous pouvez vérifier si votre adresse ou vos pseudonymes sont présents dans des détournements connus en les vérifiant sur haveibeenpwned. Dans ce cas modifiez aussi vos mots de passe pour ces comptes.

Depuis quelques jours, un nouveau téléservice est disponible sur service-public.fr. Il permet aux victimes de fraude à leur carte de paiement de se signaler auprès des autorités.

Un tel service était nécessaire et attendu depuis longtemps. En effet, la fraude aux cartes de paiement a lieu essentiellement sur Internet aujourd'hui (à plus de 70% selon les statistiques publiées par l'Observatoire de la sécurité des moyens de paiement). Cela veut dire que le lieu où se commet réellement l'infraction n'a en général aucun rapport avec l'endroit où se trouve la victime. De surcroît, c'est le cumul des informations provenant des nombreuses victimes qui permettra d'identifier les fraudeurs et leur mode opératoire et facilitera la coopération internationale (plus facile si on peut identifier un préjudice conséquent lié aux mêmes auteurs).

Lorsqu'on constate un paiement frauduleux avec son numéro de carte bancaire (en consultant son relevé de compte en ligne, ou encore en étant prévenu par sa banque ou son prestataire de paiement), les opérations suivantes peuvent maintenant être réalisées par les victimes:

  • Mettre sa carte en opposition en contact son organisme de paiement (en général par un simple appel téléphonique)
  • Réaliser son signalement sur le téléservice Percev@l (on le retrouve simplement sur le site service-public.fr en cherchant Percev@l ou "fraude carte bancaire")
  • Transmettre le récépissé fourni par Percev@l à sa banque pour faciliter les opérations de remboursement

Pour se connecter à Percev@l, l'usager doit utiliser un identifiant FranceConnect. Celui-ci est accessible à tous les résidents français grâce à leurs comptes Ameli, des Impôts ou encore Laposte ou Mobileconnectetmoi. Très rapidement, la plateforme FranceConnect sera interopérable avec d'autres agrégateurs d'identité à travers l'ensemble de l'Union européenne dans le cadre du règlement européen eIDAS.

Ensuite, les informations fournies sont directement traitées par des analystes et des enquêteurs du Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie et les rapprochements ainsi réalisés contribuent à l'ouverture d'enquêtes judiciaires qui peuvent être traités par des services spécialisés de gendarmerie ou de police partout en France.

Ce téléservice était attendu - j'en parlais dans mon livre La cybercriminalité en mouvement en 2012: il fait l'objet en particulier d'une recommandation dans le rapport de 2014 sur la lutte contre la cybercriminalité. Les banques et les commerçants en ligne sont aussi particulièrement mobilisés et ils ont été associés à la construction de ce projet; ils coopéreront évidemment aux enquêtes judiciaires.

Souhaitons que Percev@l soit utilisé par une partie importante des victimes de fraude à leur carte de paiement. Ils contribueront ainsi à la lutte contre cette forme malheureusement trop répandue de cybermenace. Percev@l contribue pleinement au volet numérique de la Police de sécurité du quotidien et s'intègre au programme Ma gendarmerie en ligne! de la gendarmerie nationale.

Depuis quelques jours une campagne de hameçonnage cible plus particulièrement les clients d'OVH, la gendarmerie du Doubs et du territoire de Belfort sur sa page Facebook.

En effet, j'ai moi-même reçu trois messages de hameçonnage successifs ciblant le même nom de domaine dont je suis le gestionnaire chez OVH (envoyés à l'adresse de contact du nom de domaine):

  • 7 mars 2018 15:27, objet: "Fermeture du XXX" XXX étant le nom de domaine, provenant apparemment de "<support@ovh.com>"
  • 8 mars 2018 05:24, objet: "[ֹOVֹH] : erreur !", provenant apparemment de "[ֹOVֹH]" <support@ovh.net>
  • et de façon identique le 10 mars 2018 17:20

Jetons un œil à l'aspect du dernier message:

 

Si l'on passe la souris au dessus de l'URL qui devrait être celle du site d'OVH on obtient en réalité:

(la zone floutée correspond à l'adresse de contact du nom de domaine ciblé). Si l'on suit cette adresse, après deux redirections on se retrouve sur l'adresse (ATTENTION ne pas vous rendre sur cette adresse sans précautions !):

Le site Web est celui d'une société d'informatique allemande dont le site Web a été modifié pour afficher une page ressemblant à celle d'OVH:

Comment se protéger ?

Suivant les solutions de sécurité dont vous disposez sur votre ordinateur, vous serez éventuellement averti qu'il s'agit en réalité d'une page de hameçonnage connue. Ainsi, à l'heure où j'écris ces lignes, Windows Defender de Microsoft le signale correctement lorsqu'on visite cette page.

Si vous voulez participer à signaler ce type de messages et de pages de phishing c'est assez simple. L'association Signal Spam - dont j'ai parlé plusieurs fois ici - fournit un plugin pour votre navigateur Web qui permet de signaler les messages non sollicités et les pages Web de hameçonnage.

Les signalements sont non seulement traités par Signal Spam, mais font l'objet d'une transmission vers les éditeurs des différents navigateurs.

Une mise à jour récente des modules de signalement de Signal Spam autorise désormais le signalement des URL (adresses internet) de phishing. Concrètement, cela signifie qui si au cours de votre navigation sur internet vous tombez sur un site de phishing, il vous est possible d’utiliser le même bouton Signal Spam installé dans votre navigateur (chrome, safari, ou firefox) qui sert traditionnellement au signalement d’un courriel indésirable pour signaler le site de phishing. Le module Signal Spam reconnaîtra que vous naviguez sur une page de phishing, et signalera l’URL.

L’URL ainsi signalée sera placée dans une liste noire qui préviendra la navigation sur ce site par d’autres utilisateurs de Signal Spam. Il est bien sûr possible de signaler un « faux-positifs », c’est à dire un signalement que vous estimez erroné, ou de poursuivre malgré tout votre navigation sur le site de phishing en pleine connaissance de cause.

En outre, la mise à jour des modules intègre également une protection de votre messagerie contre les messages de phishing : une alerte s’affichera lorsque vous vous apprêtez à ouvrir un message contenant des liens identifiés comme dangereux.

Le fonctionnement de cette fonctionnalité STOP PHISHING - développée par Signal Spam en partenariat avec la société Verifrom vous est expliqué dans la vidéo ci-dessous:

Une vidéo proposée par la CNIL vous informe très précisément sur la façon d'installer le plugin dans votre navigateur:

Enfin, le service cybermalveillance.gouv.fr vous propose une fiche de prévention sur le sujet du hameçonnage:

1

Le 27 février 2018 à 14h30, le ministre de l'Intérieur Gérard Collomb a ouvert officiellement la Brigade numérique. Il s'agit du premier gros projet intégralement piloté par la mission numérique mise en place le 1e mai 2017 pour piloter la stratégie numérique de la gendarmerie.

Un message important d'abord: en situation d'urgence, le bon réflexe reste toujours de contacter le 17 ou le 112 (ou encore le 114 par fax ou SMS pour les personnes avec des difficultés à entendre ou à parler).

Rénover et renforcer le contact

Ce projet s'inscrit pleinement dans la Police de sécurité du quotidien souhaitée par le gouvernement. La mission fixée aux vingt gendarmes de la Brigade numérique installée à Rennes est d'assurer en ligne l'ensemble des fonctions d'accueil des brigades de gendarmerie, 24 heures sur 24 et ce où que se trouvent les usagers. Il s'agit donc de compléter l'offre de contact des brigades de gendarmerie par un service accessible en fonction des contraintes des usagers qui n'ont pas toujours le temps ou la possibilité de se déplacer.

Toutes les questions traitées dans les brigades de gendarmerie pourront ainsi recevoir une réponse rapide: une base de connaissance de plus de 800 questions et réponses a été constituée grâce à l'expérience des gendarmes de terrain. Elle sera enrichie des questions posées aux gendarmes de la Brigade numérique et mise à disposition de l'ensemble des personnels de terrain pour permettre un accueil de qualité sur l'ensemble du territoire, par les canaux numériques ou directement au contact des gendarmes.

Les gendarmes de la Brigade numérique parlent plusieurs langues et pourront être renforcés par des réservistes de la gendarmerie afin de gérer les pics d'affluence qui seront certainement rencontrés au moment des grands événements ou des périodes touristiques.

Enfin, suivant les situations, un message sera transmis à la brigade de gendarmerie dont dépend l'usager pour assurer un suivi personnalisé. La Brigade numérique c'est donc Ma gendarmerie en ligne!

Contacter la Brigade numérique

Dans un premier temps, la Brigade numérique sera joignable sur le site Web de la gendarmerie grâce à une fenêtre de chat, sur les comptes twitter et Facebook de la gendarmerie.

Une foire aux questions est aussi accessible en libre-service pour répondre aux problèmes les plus courants que peuvent se poser les usagers.

Et demain?

Plusieurs évolutions des services offerts par la gendarmerie en ligne sont programmés. En particulier, la possibilité d'organiser des rendez-vous sur le terrain ou en brigade de gendarmerie. Pour faciliter ces développements, nous avons recherché le soutien du disposition des Entrepreneurs d'intérêt général (EIG) porté par Etalab. Le projet de la Brigade numérique a été retenu et deux EIG sont intégrés à la Mission numérique entre janvier et novembre 2018.

Bien entendu nous serons à l'écoute des attentes des usagers pour faire évoluer rapidement les services numérique offerts par la gendarmerie et améliorer le contact et la proximité avec nos usagers. N'hésitez pas à contacter la Brigade numérique, ils sont à votre service !

Revue de presse

La transformation numérique est parfois décrite comme l'effet de la numérisation de notre société. L'enjeu pour la gendarmerie est bien évidemment de ne pas avoir une attitude passive face à ces évolutions, mais de les embrasser pleinement et d'en faire un atout. C'est pourquoi le général d'armée Richard Lizurey, directeur général de la gendarmerie nationale, a décidé en janvier dernier la création de la mission numérique de la gendarmerie nationale (MNGN):

[...] Je l'ai souhaité stratégique avec une mission numérique au sein de notre direction générale. La situation est très semblable au brouillard de guerre, nous devrons veiller à ce que la mobilisation profite à chaque gendarme.

C'est avec beaucoup d'honneur et sans hésitation que j'ai accepté cette nouvelle mission et depuis un mois maintenant rassemblé une nouvelle équipe chargée de proposer et piloter notre stratégie sur l'ensemble du champ numérique (et cela inclut non seulement les enjeux de la transformation numérique mais aussi ceux de la lutte contre les cybermenaces).

La gendarmerie, comme la plupart des services de police dans le monde, ne découvre pas le numérique et l'impact sur nos missions. Pour ne citer que quelques exemples, le réseau Rubis de radio-communication numérique de la gendarmerie a été pensé dès les années 1980 et les premières enquêtes de la gendarmerie dans le champ numérique datent au moins des années 1990.

Ce qui change aujourd'hui c'est à la fois la rapidité des évolutions liées aux technologies numériques, l'ampleur de leur impact sur les organisations et les attentes de plus en plus fortes des citoyens et des gendarmes.

Plusieurs projets majeurs sont déjà sur les rails avec notamment le déploiement cet automne de terminaux mobiles Néogend (smartphones et tablettes) auprès de l'ensemble des gendarmes de terrain, l'expérimentation menée depuis deux ans dans le Nord et en Bourgogne ayant démontré un fort impact sur leur efficacité, leur capacité à être plus mobiles et donc d'offrir un meilleur service au contact de la population.

Il s'agit pour la mission numérique de la gendarmerie nationale de contribuer à l'essor de ces projets et d'aller au-delà. Ainsi la MNGN traitera de façon transverse de l'ensemble des aspects de la vie de la gendarmerie: recrutement, formation, opérations, renseignement, enquête judiciaire, etc. Et donc en réalité nous nous intéresserons à tous les métiers de la gendarmerie et à tous ses personnels quel qu'en soient le statut (militaires, civils, opérationnels ou de soutien).

Je témoignerai sur mon blog de cette nouvelle aventure au sein de la gendarmerie, qui ne cesse de confirmer par sa modernité et son dynamisme les raisons de mon engagement voilà plus de 20 ans. Rendez-vous donc ici et sur mon fil social @ericfreyss.

Le journal officiel du 24 mars 2016 comporte deux annonces qui peuvent intéresser mes lecteurs, tous deux implantés à Pontoise (95):

  • Avis de vacance d'emploi d'un expert de haut niveau en technologies numériques chargé de projet et développement de techniques de déprotection logicielle à la division ingénierie numérique du départ de l'institut de recherche criminelle de la gendarmerie nationale au pôle judiciaire de la gendarmerie nationale NOR: INTJ1608188V
  • Avis de vacance d'un emploi d'expert de haut niveau en technologies numériques chargé de projet et développement de techniques de déprotection matérielle à la division ingénierie numérique du départ de l'institut de recherche criminelle de la gendarmerie nationale au pôle judiciaire de la gendarmerie nationale NOR: INTJ1608185V

Il s'agit de postes d'officiers de gendarmerie commissionnés, sous la forme d'un premier contrat de 5 ans pouvant être renouvelé jusqu'à 17 ans au maximum.

Préambule

Il est difficile de trouver les mots justes et de s'atteler à un sujet de discussion qui paraîtrait futile par rapport aux terribles attentats qui ont frappé la France, quelques heures avant Beyrouth, hier Bamako. Je tiens en préambule à rendre hommage à toutes les victimes et les familles atteintes par ce drame. Peut-être ai-je, comme beaucoup d'entre nous, croisé certains d'entre eux au cours des dernières années, lors d'une ballade dans Paris. Et il faut rendre hommage aussi aux secouristes, policiers, gendarmes, militaires et aux simples citoyens qui se sont mobilisés chacun à leur façon pour réagir efficacement et solidairement à la violence qui frappait Paris et Saint-Denis, Beyrouth et Bamako.

Au milieu de cette violence, on parle souvent des actions menées sur Internet, et notamment sur les réseaux sociaux. Cette semaine en France et dans le monde, les réactions habituelles d'intolérance, de rumeurs ou de trolling ont été observées, mais elles ont été à mes yeux submergées par une émotion juste et partagée, ainsi que par un usage positif d'Internet pour s'informer très vite sur ses proches ou la meilleure façon de rester en sécurité [n'hésitez pas à me signaler des articles de synthèse pertinents sur ce sujet].

Le travail des enquêteurs et des services de renseignement prend aussi une dimension numérique: découverte de liens sur Internet, analyse d'ordinateurs et de téléphones mobiles (avec des conditions particulières pour les perquisitions administratives de l'Etat d'urgence). On ressent ces jours-là tout le sens des efforts menés depuis de nombreuses années pour former et mobiliser des enquêteurs spécialisés à ces questions en gendarmerie et en police. Je peux aussi témoigner des nombreux messages de soutien reçus du monde entier de nos partenaires privés et publics pour venir immédiatement en aide aux enquêteurs français.

Il a beaucoup été dit au cours des derniers jours qu'il fallait reprendre rapidement le cours d'une vie normale, résister et ne pas se laisser gagner par la peur. Pour les personnes qui comme moi traitent de cybercriminalité, cela veut évidemment dire réévaluer notre action au regard des événements de ces derniers jours et apporter notre aide technique, mais cela veut aussi dire qu'il faut continuer de mener les actions qui permettent de lutter contre ces formes de délinquance, certes en apparence non violentes (même si certaines conséquences de la cybercriminalité sont parfois dramatiques), mais qui ont un coût toujours croissant sur l'économie de nos pays ou la vie privée de nos citoyens.

Quatre années de réflexion et d'échanges

Une aventure commencée voilà quatre ans s'est achevée la semaine dernière avec la soutenance d'une thèse de doctorat en informatique le jeudi 12 novembre 2015, ce qui me permet aujourd'hui de faire le point sur les leçons qu'il reste à tirer en matière de lutte contre les botnets. Il y a 4 ans donc, poussé par David Naccache, professeur à l'Ecole normale supérieure et officier de réserve en gendarmerie, je sautais le pas de l'engagement dans une thèse de doctorat en informatique. J'ai été accueilli par l'équipe Réseaux complexes du Laboratoire d'informatique de Paris 6, dirigée à l'époque par Matthieu Latapy, co-directeur de ma thèse avec David et aujourd'hui par Clémence Magnien.

Posée de façon simple, ma thèse de départ était la suivante:

Les botnets sont l'outil premier de la délinquance numérique. Pour mieux lutter contre eux, les botnets doivent être compris comme des systèmes, au-delà des simples programmes malveillants, en intégrant l'ensemble de leurs composantes.

La conclusion que j'ai pu en tirer après quatre années de réflexion et d'échanges était que cette thèse était juste et partagée, mais qu'elle n'était pas pleinement formulée et c'est ce que je me suis efforcé de faire.

Mon travail a donc commencé à l'hiver 2011 par le lancement d'un Wiki sémantique https://www.botnets.fr/ avec une double ambition: documenter les botnets et partager ce travail, donc rentrer en relation avec la communauté qui traite de ces questions en France sans forcément toujours se connaître. Et il s'est évidemment avéré que je ne connaissais alors pas encore toutes les personnes qui travaillent discrètement et parfois isolément sur ces questions, qu'il s'agisse de chercheurs ou d'acteurs de la sécurité des réseaux.

Un Wiki sémantique permet de donner un sens aux liens entre les différentes informations que l'on y publie. Ces informations sont des propriétés des notions que l'on documente et un grand nombre de ces propriétés peuvent être elles-même documentées. Ainsi, un botnet pourra utiliser un protocole de communication donné que l'on expliquera ou être diffusé par une plateforme d'exploits particulière.

wiki-semantique
Figure 1 - Extrait de la structure sémantique du Wiki botnets.fr

Un des intérêts concrets a été aussi pour moi de réaliser ma bibliographie au fur et à mesure des travaux et surtout de ne pas perdre la trace de la source de chacune des informations que je collectais. L'autre intérêt du Wiki est que l'on peut partager la saisie d'informations, ce qui fut par exemple le cas avec l'aide de Kafeine qui a beaucoup contribué à ma réflexion sur les rançongiciels (voir cette page reprenant les visuels des rançongiciels ciblant les victimes françaises).

L'observation des rançongiciels, qui ont largement ciblé l'Europe à partir de 2012, a par exemple permis d'observer les différents modes de monétisation des botnets, soit par des systèmes d'affiliation (les affiliés sont par exemple rémunérés à la commission selon le nombre de bots qu'ils ont permis de recruter), soit sous forme de kits (voir figure 2 ci-dessous).

scenarios-botnets.png
Figure 2 - Différents scénarios de monétisation des botnets, de ceux qui sont implémentés de façon isolée, par l'équipe qui le développe à ceux qui existent sous forme de kits avec des options d'affiliation.

Il peut exister d'autres stratégies de compartimentation que l'affiliation, par exemple la location d'une partie d'un botnet à un client donné.

Ce travail de documentation et d'échanges s'est poursuivi tout au long de la thèse. Ainsi, plus de 400 classes de botnets ont été documentées réparties en 16 catégories. Il s'est concrétisé par de nombreuses présentations, des discussions avec de nombreux chercheurs et l'organisation depuis trois ans d'une conférence internationale sur le sujet de la lutte contre les botnets dont la prochaine édition se tient dans quelques jours - Botconf.

Définitions et concepts

Une fois ce long travail d'observation réalisé, j'ai pu remettre à plat l'ensemble des définitions utiles. Les plus importantes touchent évidemment aux botnets eux-mêmes:

Un logiciel malveillant ou malware est tout programme (directement exécutable ou en langage interprété), inséré dans un système d’information, en général de façon discrète, avec l’intention de compromettre la confidentialité, l’intégrité ou la disponibilité des données de la victime, de ses applications, du système d’exploitation, du matériel contenant le système d’information ou piloté par lui, ou encore de chercher à ennuyer ou perturber la victime.

Un botnet est un ensemble constitué par des systèmes compromis par un logiciel malveillant (appelés alors bots) qui communiquent avec un système de commande et de contrôle donné.

Un système de commande et de contrôle est l’ensemble des dispositions prises pour assurer la transmission de commandes (d’ordres) du maître du botnet vers les bots et/ou la réception en sens inverse d’informations d’état ou du résultat des commandes ou des fonctions automatisées du botnet. Le système de commande et de contrôle peut reposer sur un serveur unique, un ensemble d’infrastructures ou uniquement un protocole de communication entre les bots et le maître.

La synthèse s'est ensuite approfondie en proposant un modèle objet pour représenter les botnets et donc concrétiser la vision systémique recherchée. Ainsi, la menace APT1 telle que documentée dans de nombreux articles (par Mandiant, Malware.lu)  peut être synthétisée selon le modèle objet représenté en Figure 3 ci-dessous:

APT1-uml
Figure 3 - Modèle objet de la menace APT1 (codes malveillants, infrastructures et botnets mis en place par ce groupe)

L'architecture des systèmes de commande et de contrôle s'est complexifiée avec le temps, passant d'architectures centralisées à des architectures décentralisées (reposant essentiellement sur des technologies pair à pair):

  • architecture aléatoire (pour se connecter à ses bots, le maître du botnet doit les contacter lui-même)
  • architecture centralisée
  • architecture centralisée répartie
  • architecture décentralisée
  • architecture hybride (qui combine plusieurs architectures)

La définition de la notion d'architecture centralisée répartie est un exemple des contributions de la thèse. Elle recouvre les circonstances où un point individuel de défaillance subsiste, car en réalité centralisé sur un équipement (ou quelques équipements ou l'infrastructure d'un tiers), mais où l'accès à cet échelon central est camouflé et solidifié par un dispositif intermédiaire tels que des relais ou l'utilisation d'algorithmes de génération de noms de domaine (comme je l'évoquais ici avec Conficker).

architecture-centralisee-repartie.png
Figure 4 - Exemples d'architectures centralisées réparties

Des modalités complémentaires permettent d'enrichir ces architectures:

  • le sens des communications (univoque montante ou descendante ou réciproque)
  • modalité persistante (connexion permanente des bots actifs au système de commande et contrôle) ou sporadique/périodique
  • l'abus d'une autre architecture (un réseau social par exemple ou des groupes de discussion)

Pour décrire de façon complète le fonctionnement des botnets, il est important de comprendre leurs modes de diffusion. C'est ce que j'ai fait régulièrement sur ce blog.

malware-distribution.png
Figure 5 - Exemple de scénario de distribution d'un code malveillant. On y voit notamment les systèmes de distribution de trafic qui sont avec les plates-formes d'exploit (exploit kit) un des objets importants qui viennent compléter l'observation des botnets.

Et cette compréhension plus globale passe par une appréhension du cycle de vie des botnets. Celui que je propose intègre de façon intime le cycle de vie d'un botnet à celui de ses bots:

botnets-cycle-vie
Figure 6 - Modèle proposé de cycle de vie des botnets

Méthodes de lutte

L'étude des méthodes de lutte contre les botnets constitue une partie importante des travaux que j'ai pu mener et des actions auxquelles j'ai pu concrètement participer ou observer.

Ces méthodes passent par la technique (détection, analyse des logiciels malveillants) mais aussi par des organisations (actions isolées ou coordonnées de démantèlement). La thèse propose en conclusion les enjeux importants à prendre en compte dans les stratégies de démantèlement des botnets:

  • une bonne détection et une bonne compréhension des cibles considérées - et j'insiste tout particulièrement sur la nécessité de prendre rapidement du recul et d'avoir une vision globale pour bien identifier les architectures, les modes de diffusion, les acteurs potentiellement impliqués et les faiblesses qui pourront être exploitées;
  • une coordination et une coopération efficaces, tant entre les acteurs techniques que les acteurs judiciaires, notamment au plan international;
  • la possibilité, voire l'obligation pour les fournisseurs d'accès et les hébergeurs de détecter (ou prendre en considération les données qui leur sont transmises) et de prévenir leurs abonnés. Ce point pourrait supposer des évolutions juridiques;
  • disposer d'une méthode et d'un plan d'action dont l'efficacité peut être mesurée scientifiquement avec par exemple le souci de limiter les efforts et l'impact collatéral.

Parmi les freins à ces actions, on note une trop faible prise en compte de la nécessité de mettre à jour les logiciels des parcs informatiques (nécessité que j'ai illustrée plusieurs fois ici, à laquelle contribuent en amont les éditeurs de logiciels). Ainsi grâce à une étude menée auprès de responsables informatiques et de la sécurité des systèmes d'information (je remercie ici tous les répondants), nous avons pu voir que:

  • les politiques de mise a jour existent dans 80% des cas environ, avec un logiciel de gestion de parc associé;
  • la mise a jour concerne assez largement le système d'exploitation (80 a 100% du parc pour 60% des répondants);
  • en revanche navigateurs et autres logiciels sont beaucoup moins largement mis a jour de facon automatique (50% des répondants citent un taux de 0 a 10% de leur parc pour les autres logiciels).

Au cours de la thèse enfin, j'ai pu contribuer à des actions de prévention, comme de nombreux articles écrits sur ce blog et les sites stopransomware.fr, Antibot.fr (développé dans le cadre du projet Européen Advanced cyberdefence centre avec le CECyF et Signal Spam). Mais la prévention est encore trop peu efficace, notamment en France, et ce sont de véritables campagnes de communication grand public qui doivent être menées.

Conclusion

Je joins à ce billet une copie de la thèse telle qu'elle sera diffusée d'ici quelques semaines sur le site de l'Université Pierre et Marie-Curie.

PDF

Il reste encore beaucoup à faire pour être efficace dans la lutte contre les botnets. Les exemples récents montrent qu'à la fois les délinquants renforcent sans cesse leurs techniques et leurs stratégies et que les actions isolées et n'intégrant pas l'ensemble des étapes de la compréhension au nettoyage des ordinateurs des victimes, en passant par l'arrestation des auteurs ne permettent pas de combattre efficacement ces menaces.

Je tiens à remercier l'ensemble des personnes dont la richesse des échanges et des points de vue m'ont permis d'avancer très rapidement. Vous en retrouverez le détail au début du mémoire de thèse, mais de nombreux autres n'ont pas pu être cités, français et étrangers. Je remercie tout particulièrement mes deux directeurs de thèse David Naccache et Matthieu Latapy qui m'ont soutenu pendant ces quatre années, et les rapporteurs de la soutenance Ludovic Mé et Jean-Yves Marion et enfin les examinateurs du jury Clémence Magnien, Solange Ghernaouti-Hélie et Vincent Nicomette.

10

Au journal officiel de ce matin, un certain nombre de postes d'officiers de gendarmerie commissionnés ont été publiés. Ils pourraient notamment intéresser des étudiants en fin de master 2, écoles d'ingénieurs ou en fin de doctorat selon les cas. Evidemment des profils avec plus d'expérience sont aussi les bienvenus. Le troisième poste n'est pas spécifiquement dans la cybersécurité ou la cybercriminalité, mais peut intéresser des profils similaires.

JORF n°0073 du 27 mars 2015 MINISTERE DE L'INTERIEUR

  • Avis de vacance d'un emploi d'expert de haut niveau en technologies numériques assistant au département informatique électronique du pôle judiciaire de la gendarmerie nationale à Pontoise (95) (Nota: pour ce poste vous pouvez écrire sur l'adresse pascal(point)cheylan(at)gendarmerie(point)interieur(point)gouv(point)fr)
    http://legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000030401957&dateTexte=&categorieLien=id
  • Avis de vacance d'emplois de chargé de projet et de développement, expert en investigations numériques et en sciences des données, de la division de lutte contre la cybercriminalité, du pôle judiciaire de la gendarmerie nationale à Pontoise (95)
    http://legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000030401963&dateTexte=&categorieLien=id
  • Avis de vacance d'emplois de chargé de projet et de développement, expert en investigations numériques et en sciences des données à la division analyse et investigation criminelles du pôle judiciaire de la gendarmerie nationale à Pontoise (95)
    http://legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000030401969&dateTexte=&categorieLien=id
  • Avis de vacance d'un emploi d'expert en investigation numérique et en sciences des données au sein du Service des technologies et des systèmes d'information de la sécurité intérieure à la direction générale de la gendarmerie nationale à Issy-les-Moulineaux (92)
    http://legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000030401975&dateTexte=&categorieLien=id

11

Aujourd'hui, une nouvelle page se tourne pour moi. Je quitte une équipe que j'ai aimé commander pour endosser un nouveau rôle. J'ai en effet été nommé comme Conseiller dans l'équipe qui entoure le Préfet en charge de la lutte contre les cybermenaces au Ministère de l'intérieur. Ce billet aura certainement une tonalité un peu personnelle, car j'éprouve une certaine émotion à tourner cette page.

Ce fut un grand honneur pour moi de partager pendant quatre ans et demie la vie des femmes et hommes de la division de lutte contre la cybercriminalité du service technique de recherches judiciaires et de documentation de la gendarmerie nationale. Ensemble nous l'avons transformée en un Centre de lutte contre les criminalités numériques (C3N) avec le développement de nouveaux volets essentiels : la lutte contre les botnets et la diffusion des virus informatiques qui les forment, ainsi que la prospective et l'animation territoriale.

Il s'agissait d'être en mesure de prendre l'initiative sur une forme de plus en plus prégnante de l'expression de la cybercriminalité: ne pas se contenter d'attendre les plaintes des individus, des entreprises victimes de virus informatiques, mais aller au devant des phénomènes au moment où ils se mettent en place (j'ai parlé ici plusieurs fois de la façon dont se mettent en place les botnets, se propagent les virus). En réalité, il s'agit de transposer dans le monde numérique ce qu'on fait tous les jours en matière de prévention de la délinquance: collecte de renseignement, patrouilles, actions en flagrance et évidemment enquêtes judiciaires, coopération internationale, etc. Il y a encore beaucoup de travail et de progrès à faire dans ce domaine, mais nous avons fait de premiers grands pas. Cela s'est concrétisé par plusieurs enquêtes réussies, des actions de sensibilisation que nous avons nourri et soutenues (Stopransomware contre les rançongiciels, puis Antibot lancé récemment par le CECyF et nos partenaires). Parmi ces enquêtes certaines ont eu des résultats concrets y compris en France, dans le cadre d'une opération que nous coordonnions dans le cadre d'Europol. Il nous manque encore dans ce domaine la possibilité de réaliser des enquêtes sous pseudonyme, j'espère que ce sera rapidement le cas: beaucoup de ces infractions se préparent et s'organisent en ligne dans des espaces où les enquêtes doivent pouvoir se poursuivre.

Traiter de la prospective et de l'animation territoriale au sein du C3N c'est accompagner encore plus efficacement les unités de la gendarmerie qui partout en France œuvrent dans le domaine de l'investigation numérique: les enquêteurs de la gendarmerie épaulés par un réseau de 270 enquêteurs spécialisés (les enquêteurs NTECH) et 1600 correspondants en technologies numériques (les C-NTECH). Depuis le mois d'août 2014, nous analysons chaque mois de 2500 à 3000 dossiers traités par les unités de gendarmerie: pour comprendre ce qui est réellement traité par ces unités, ce que rapportent les victimes ou que détectent des enquêteurs, mais aussi pour réaliser des rapprochements et développer les outils pour faciliter le travail de nos enquêteurs. Et ce dispositif va continuer de s'adapter, notamment suite aux recommandations développées dans le Rapport sur la cybercriminalité remis en juin dernier aux ministres.

Bien entendu, l'activité du C3N se poursuit dans les autres champs d'activités illicites sur Internet dont les atteintes aux mineurs sur Internet ou encore - au travers du département informatique-électronique de l'IRCGN qui est associé au travail du C3N - dans l'innovation pour l'investigation technique numérique. Dans quelques semaines, l'ensemble du C3N sera installé dans les nouveaux locaux du Pôle judiciaire de la gendarmerie nationale (PJGN) à Pontoise.

Demain matin - mais évidemment la prise de contact s'est faite voilà plusieurs semaines déjà - je rejoindrai donc un nouveau lieu de travail dans Paris et une nouvelle équipe en cours de construction. Le ministre de l'intérieur annonçait la nomination de ce Préfet en charge de la lutte contre les cybermenaces au mois de juin dernier, plus précisément chargé de coordonner la mise en œuvre d'un plan stratégique de lutte contre les cybermenaces.

Nommé en décembre 2014, le Préfet Jean-Yves Latournerie était interviewé voilà quelques jours par AEF et il expliquait qu'effectivement le moment était venu de créer au sein du ministère de l'intérieur un échelon stratégique sur la question des cybermenaces. Il s'agit de piloter la stratégie de l'ensemble des composantes du ministère de l'intérieur, non seulement dans la lutte contre la cybercriminalité, mais aussi pour la protection des intérêts vitaux de la Nation et la protection des systèmes de traitement automatisé de données du Ministère ou placés sous sa responsabilité. Ce travail doit se faire en lien avec l'ensemble des ministères et des partenaires externes de toute nature (industriels, académiques ou encore associatifs) qui contribuent à cette cybersécurité.

J'appréhende cette nouvelle mission avec une motivation indéfectible, et surtout une très forte reconnaissance pour toutes celles et ceux avec qui j'ai pu travailler, échanger, apprendre, dialoguer, inventer depuis 17 ans en France et à l'étranger contre la cybercriminalité et en particulier l'équipe qui m'accompagne depuis presque cinq ans. Je me réjouis de continuer à travailler au service d'une thématique majeure et qui me passionne, de rencontrer de nouveaux acteurs et de faire progresser le dialogue et la coopération dans ces domaines.