Cybercriminalité

Décision de la CJUE du 06/10/2020 sur les données de connexion

Dans une décision du 06 octobre 2020, la Cour de justice de l’Union européenne (CJUE) s’est prononcée sur plusieurs affaires tendant à questionner le régime français de conservation des données de connexion par les opérateurs, à des fins de renseignement ou de police judiciaire.

Plusieurs articles reviennent dans le détail sur cette décision (voir Nextinpact par exemple). Je vous propose pour ma part un avis personnel sur les différents points avancés dans cette décision et ce en quoi ils ne répondent pas forcément totalement aux nécessités objectives des enquêtes judiciaires.

J’avais déjà développé sur ce blog le dispositif de la loi pour la confiance dans l’économie numérique (LCEN) prévoyant les modalités de conservation des données par les fournisseurs d’accès à Internet et les hébergeurs, ainsi que celui qui concerne de façon parallèle les opérateurs de communications électroniques. Ce sont ces dispositions qui sont discutées (dans l’affaire numéro C‑512/18 de la CJUE)  et le cas échéant remises en cause par les parties demanderesses dans l’affaire jugée par la CJUE. La demande portait aussi sur certaines techniques spéciales de renseignement et sur la législation belge que je ne discuterai pas ici.

Vous noterez dans la décision ou dans les articles qui la commentent que cette affaire est issue d’une série de questions préjudicielles posées par le Conseil d’Etat français dans le dossier. Cette juridiction sera donc appelée à fonder sa décision sur la réponse apportée par la CJUE.

Le Conseil d’Etat posait ainsi les questions suivantes:

« 1)       L’obligation de conservation généralisée et indifférenciée, imposée aux fournisseurs sur le fondement des dispositions permissives de l’article 15, paragraphe 1, de la directive [2002/58], ne doit-elle pas être regardée, notamment eu égard aux garanties et contrôles dont sont assortis ensuite le recueil et l’utilisation de ces données de connexion, comme une ingérence justifiée par le droit à la sûreté garanti à l’article 6 de la [Charte] et les exigences de la sécurité nationale, dont la responsabilité incombe aux seuls États membres en vertu de l’article 4 [TUE] ?

2)      Les dispositions de la directive [2000/31], lues à la lumière des articles 6, 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la [Charte], doivent-elles être interprétées en ce sens qu’elles permettent à un État d’instaurer une réglementation nationale imposant aux personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne et aux personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services, de conserver les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires, afin que l’autorité judiciaire puisse, le cas échéant, en requérir communication en vue de faire respecter les règles relatives à la responsabilité civile ou pénale ? »

Enfin, il faut se rappeler qu’un cadre juridique européen de la conservation des données par les opérateurs (directive 2006/24/CE) existait jusqu’à sa remise en cause en 2014 par une décision de la même CJUE du 08 avril 2014.

Plusieurs points de l’arrêt méritent donc qu’on s’y attarde:

Conservation ciblée et uniquement en matière de criminalité grave

Les points 147 à 151 de la décision précisent qu’il serait possible, dans le cadre du droit européen, de prévoir la conservation ciblée des données relatives au trafic et des données de localisation aux fins de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, tout comme aux fins de la sauvegarde de la sécurité nationale.

Ce ciblage recouvrirait les “catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue”.

Ce qui est décrit relève donc d’un acte d’investigation ou de surveillance, mais a fortiori pas de mesures “préventives” comme l’indique la Cour, puisque cela suppose d’avoir – au moment où la mesure est ordonnée – des éléments sur les personnes visées et les moyens de communication utilisés.

En outre, cette reprise d’une distinction entre criminalité grave et d’autres formes de délinquance, présente dans des décisions précédentes de la Cour, se heurte notamment au fait que toutes les infractions commises, qui nécessitent des investigations sur les moyens de communication, ne relèvent pas de la criminalité dite grave. C’est le cas en particulier des infractions intégralement commises sur un moyen de communication électronique: que penser des infractions de l’article 24 de la loi sur la liberté de la presse punies d’un an de prison (provocation à la haine ou à la discrimination) ou le harcèlement par un moyen de communication électronique de l’article 222-16 du code pénal puni lui aussi d’un an d’emprisonnement ? On pourrait aussi citer parmi les nombreux exemples le délit de diffusion de fausse information (article 322-14 du code pénal) dans le but de faire croire qu’une destruction, une dégradation ou une détérioration dangereuse pour les personnes va être ou a été commise, puni de deux ans d’emprisonnement.

On notera enfin, qu’il n’existe à ce jour, aucune définition officielle, aucune liste de critères permettant de définir ce qui relèverait de la criminalité grave telle que l’entend la CJUE dans ses décisions, renvoyant à la sagesse des législateurs. On peut toutefois par exemple citer la Convention de Palerme, convention des Nations unies de lutte contre le crime transnational organisé, qui précise en son article 2 b) “L’expression “infraction grave” désigne un acte constituant une infraction passible d’une peine privative de liberté dont le maximum ne doit pas être inférieur à quatre ans ou d’une peine plus lourde;”. Cela recouvre un plan très large des délits définis dans notre code pénal. En tout état de cause, si on applique immédiatement cette décision de la CJUE plus aucune enquête pour ces criminalités “non graves” sur Internet ne pourrait avoir lieu, or comme nous le rappelait avant-hier Mathieu Audibert, “la recherche des auteurs d’infractions est nécessaire à la sauvegarde de principes et droits de valeur constitutionnelle”.

Conservation de l’adresse IP et des identités civiles

Dans la section suivante, aux points 152 à 160, la Cour distingue de façon bizarre la question de la conservation des adresses IP de connexion et celle des identités des utilisateurs des services. Elle conclut en effet que les adresses IP ne pourraient être conservées que pour les besoins liées à la criminalité grave, tandis que les identités civiles pourraient être conservées (aux fins d’identifier l’utilisateur d’un terminal) y compris pour des enquêtes sur des faits de moindre gravité.

Or, si aucun lien n’est fait entre l’équipement terminal (et donc l’usager) et l’adresse IP utilisée à un instant t, la conservation des données sur l’identité civile n’apporte rien à l’enquête judiciaire sur Internet.

En pratique, il convient d’attendre la décision que prendra le Conseil d’Etat pour ces affaires. Il se pourrait en outre que l’arrêt de la CJUE soit le support de recours devant les juridictions quant aux moyens de preuve utilisés actuellement dans de nombreuses affaires judiciaires. Pour moi, et encore une fois je m’exprime ici à titre personnel, il n’y a qu’une conclusion possible à ce débat qui date de l’abrogation de la directive 2006/24/CE en 2014: il est nécessaire, comme nous y appelait déjà François Molins, procureur général près la Cour de cassation en avril 2019, de clarifier urgemment la rédaction des directives 2000/31/CE et 2002/58/CE, et parvenir à un texte européen harmonisant le cadre de la conservation des données indispensables aux enquêtes judiciaires, y compris en rentrant dans le détail des critères minimum permettant de protéger les droits fondamentaux. 

Crise du COVID-19 et cybermenaces #RépondrePrésent

Pour la gendarmerie nationale, la crise sanitaire du Coronavirus est un enjeu à trois égards: répondre aux nouvelles missions rendues nécessaires par l’accompagnement des mesures sanitaires et continuer à offrir un service de sécurité au public à la hauteur de ses attentes, tout en prenant en compte les contraintes pesant sur nos propres personnels évidemment.

Evidemment, il en est de même dans le champ des cybermenaces et le réseau CyberGend répond présent!

La première étape pour nous fut d’analyser rapidement l’évolution de la menace, en observant les premières remontées du terrain et ce qui se passait dans les autres pays. D’emblée, les escroqueries liées à la thématique du Coronavirus (commercialisation de produits de santé) et les hameçonnages sur le même thème (notamment sur les dispositifs d’accompagnement ou les appels aux dons), puis les changements liés au télétravail (organisation dégradée des entreprises, collectivités et administrations, perte des réflexes, risques supplémentaires sur des réseaux plus ouverts, etc.) ont été identifiés comme premières tendances. En outre, les publics à prioritairement protéger étaient selon notre analyse: les professions médicales, la logistique et l’alimentation.

Immédiatement, la seconde étape a consisté à mettre en oeuvre une stratégie de veille ciblée sur Internet à la recherche des infractions, d’ouvrir des enquêtes et de prendre des mesures préventives (saisie de noms de domaine). Le réseau CyberGend, plus spécifiquement le C3N et sous sa coordination les antennes du C3N dans les 9 principales régions qui ont été ainsi mobilisés. L’un des enjeux est aussi de pouvoir toujours prendre en compte les victimes de cybercriminalité et de recevoir les plaintes, partout sur le territoire, y compris dans une situation sanitaire complexe. C’est en particulier le cas pour les attaques par rançongiciel qui ont touché plusieurs entreprises et associations depuis le début de la crise et sur lequel les enquêteurs NTECH et les C3N se mobilisent.

En outre, nous avons observé le développement de nombreux phénomènes de diffusion de fausses informations ou de théories complotistes. Ils sont souvent repris et corrigés par les grands médias, mais il ne faut pas s’interdire de douter face à une information surprenante et réfléchir avant de la rediffuser.

Quasiment dans le même temps, les actions de prévention ont été multipliées, au contact des secteurs les plus directement concernés. Par exemple, dès le début de la crise, les pharmacies ont été sensibilisées à des tentatives d’escroqueries les ciblant pour la fourniture en gros de produits sanitaires. Depuis, les actions de sensibilisation se multiplient sur le terrain, les gendarmes des sections opérationnelles de lutte contre les cybermenaces, les référents sûreté dans les départements, contactant progressivement l’ensemble des secteurs économiques clé et les collectivités locales, avec des messages de sensibilisation et proposant un diagnostic de la situation de sécurité numérique dans le contexte de la crise.

Cet article de Nice Matin montre l’action des enquêteurs NTECH au contact des victimes, pour prévenir, détecter et enquêter.

 

Prévention: La gendarmerie relaie aussi les messages de ces partenaires, ici le centre Européen de lutte contre la cybercriminalité d’Europol EC3, ou encore www.cybermalveillance.gouv.fr

Enfin, c’est évidemment la sécurité de nos propres systèmes d’information à laquelle nous veillons tout particulièrement.

Une coopération exceptionnelle

Beaucoup d’entre nous vivent très certainement cette période comme une occasion formidable d’échanger énormément avec ses différents contacts par des moyens électroniques. Force est de constater que dans le secteur de la sécurité numérique, les échanges sont nombreux. Je vais en citer quelques-uns.

En France, les différentes associations sont mobilisées et Signal Spam ou le CESIN dont je vous ai parlé plusieurs fois sont actifs pour échanger et réagir aux incidents qui ont pu émailler les dernières semaines et surtout s’entraider. Le groupement d’intérêt public ACYMA, gestionnaire du portail www.cybermalveillance.gouv.fr est particulièrement à l’oeuvre pour prodiguer des conseils et continuer à assister les victimes d’actes de Cybermalveillance.

Deux collectifs internationaux de la cybersécurité ont vu le jour et sont particulièrement actifs, échangeant des indicateurs de compromission (ces détails qui permettent à d’autres de détecter des attaques ou des comportements illégaux que les partenaires ont déjà documenté) et se coordonnant pour mener les actions permettant de faire cesser les activités cybercriminelles: la Cyber Threat Coalition, et la COVID CTI League. Bien entendu, comme d’autres services d’enquête spécialisés dans le monde, nous y sommes présents.

Pour en apprendre un peu plus sur les coulisses de l’action de la gendarmerie dans la dimension cyber de cette crise sanitaire, vous pouvez écouter le podcast que Nolimitsecu y a consacré cette semaine.

… #RépondrePrésent

Plus que jamais, pendant cette crise sanitaire du Coronavirus, la gendarmerie se devait de #RépondrePrésent, et je puis témoigner que tous les jours, l’ensemble des personnels du réseau CyberGend sont mobilisés pour anticiper, détecter, investiguer et accompagner nos concitoyens plus que jamais concernés par les menaces dans l’espace numérique qu’ils utilisent quotidiennement.

De l’anonymat sur Internet

Beaucoup de débats ces dernières années, ces derniers mois et ces derniers jours sur l’anonymat sur Internet. Ce n’est pas un problème nouveau, que je vous propose de traiter sous trois angles: du point de vue de l’usager qui souhaite rester anonyme sur Internet, de celui qui observe les anonymes et du point de vue de l’enquête judiciaire.

Du point de vue de l’usager qui souhaite rester anonyme

Plutôt que de limiter le problème à la distinction anonymat / pseudonymat (et vous verrez plus bas que la loi reconnaît les deux notions qui recouvrent deux étapes distinctes dans la démarche d’anonymisation), je vous propose de prendre un peu de recul sur l’ensemble des questions que peut se poser un usager lambda dans son usage de l’Internet:

  1. est-ce que le site Web (ou tout autre service) connaît mon identité, a besoin de connaître mon identité, ou toutes données relatives à ma personne ?
  2. de façon générale, est-ce que je peux être sur Internet comme dans la rue, un anonyme parmi les autres ?
  3. est-ce que je peux m’exprimer librement si j’utilise mon nom ?
  4. est-ce que les autres ont besoin de connaître mon nom quand je m’exprime sur Internet ?
  5. est-ce que je peux rester anonyme quand j’échange sur ce site de jeux en ligne où je ne fais que me divertir avec les autres ? sur ce site de rencontres ? sur ce site médical ?…

Dans toutes ces questions, on distingue deux problèmes: l’anonymat par rapport au service, au prestataire auquel on se connecte, et l’anonymat par rapport aux autres (ceux avec qui j’échange, ceux qui peuvent consulter ces échanges ou les informations que je publie).

S’agissant de l’identité vis-à-vis d’un service Internet simplement visité, consulté, les données collectées par le prestataire sont régies actuellement par les dispositions du règlement général sur la protection des données personnelles (RGPD), et les modalités de collecte sont directes (informations fournies explicitement par l’utilisateur) ou indirectes (les fameux cookies notamment qui permettent de croiser une identité ou d’autres données collectées par un tiers avec la navigation sur le site). Laissons de côté ces questions qui ne sont pas l’objet principal des débats qui nous amènent à ce billet, mais qu’il faut toujours conserver à l’esprit quand on parle d’anonymat sur Internet.

En matière de publicité de l’identité lorsque l’on publie un contenu sur Internet, la loi pour la confiance dans l’économie numérique est claire (j’en parlais en 2013 sur ce même blog, le temps passe vite) – même si elle n’est pas totalement adaptée au format des médias sociaux – notamment en matière d’édition d’un service de communication au public en ligne (un site Web, un blog…) :

  • si on publie à titre professionnel (indépendant ou au travers d’une entreprise notamment), il faut mettre à disposition les informations d’identité de la personne ou de l’entreprise, ainsi que de l’hébergeur;
  • si on publie à titre purement personnel (comme le présent blog), il faut a minima avoir communiqué ces informations à son hébergeur, et la loi parle explicitement ici de la possibilité ainsi donnée de « préserver son anonymat ».

Dans beaucoup de cas, on utilisera un pseudonyme unique (qui peut éventuellement évoluer dans le temps selon les règles des plateformes), permettant de distinguer chaque intervenant. Dans certains cas, les plateformes acceptent les publications “anonymes” (même si subsistent des obligations de conservation de données comme évoqué plus bas), comme le fameux forum 4chan, mais dans les pratiques plus récentes des réseaux sociaux de questions/réponses type Ask.fm ou Curious.cat.

Par extension aux médias sociaux qui ne sont qu’une forme de présentation de ces publications (même si elles sont très interactives et je ne parle pas ici des messages privés), la loi reconnaît donc très clairement un droit à l’anonymat.

Maintenant, quelles sont les données minimales qui doivent être collectées par l’hébergeur (ou le prestataire de la plateforme sociale) ? Elles sont fixées dans un décret en Conseil d’Etat numéro 2011-219 du 25 février 2011. Pour une présentation détaillée, vous pouvez encore une fois consulter l’article que j’y consacrais en 2011.

Parmi ces données, le nom et prénom ou la raison sociale doivent être conservées, uniquement dans la mesure où elles sont habituellement collectées par le prestataire. En revanche, pour chaque contribution à une publication (création, modification ou suppression de contenu), l’hébergeur doit conserver non seulement l’identifiant de l’utilisateur (dans son système d’information, un identifiant unique ou le pseudonyme choisi par exemple) mais aussi l’adresse IP, ainsi que l’horodatage.

Si on interprète strictement la loi LCEN, il subsiste donc un doute:

  • si on assimile un compte de média social à un “service de communication au public en ligne”, la fourniture de l’identité au prestataire est obligatoire (article 6, III, 2/ de la LCEN) ;
  • si on estime qu’on est face à un autre objet juridique, alors c’est le principe de la collecte habituelle par le prestataire qui s’applique, et du besoin de le conserver.

Ce point de débat mériterait d’être tranché par un statut juridique spécifique aux plateformes sociales (si certains de mes lecteurs connaissent des jurisprudences sur ce point, n’hésitez pas à les partager). Au passage, la même question se pose très certainement pour les sites médicaux où l’on pose des questions, ou les sites de rencontres.

L’anonymat du point de vue de l’observateur

La question est d’abord peu juridique et plusieurs motivations poussent le lecteur à se poser des questions sur les publications anonymes:

  • la curiosité (pourquoi pas, c’est humain!)
  • le besoin de comprendre le point de vue depuis lequel s’exprime la personne (dans ce cas, ce n’est pas forcément l’identité qui intéresse le lecteur, mais par exemple le métier, le lieu, l’âge, etc.)
  • le souhait d’interagir de façon directe (mais souvent d’autres moyens de communication respectant l’anonymat sont proposés)
  • pouvoir se plaindre de la publication (droit de réponse, demander le retrait du contenu, porter plainte, etc.)

Pour toutes ces raisons, la révélation de l’identité réelle n’est pas absolument indispensable, ni prévue par la loi.

Maintenant cette révélation est-elle souhaitable ? L’argument souvent rapporté est que l’anonymat (et donc souvent, l’utilisation d’un pseudonyme sur les réseaux sociaux), désinhiberait les personnes qui s’expriment (et donc les pousserait à avoir des propos outranciers voire illégaux) et les installerait parfois – ou souvent – dans un sentiment d’impunité.

Intuitivement on peut tous admettre qu’effectivement cette assertion est correcte. L’anonymat – même relatif – enlève ou allège certaines inhibitions. Au passage cela peut aussi être positif et pousser certaines personnes habituellement discrètes à plus s’exprimer et donc à développer le partage, sans compter les nombreuses autres bonnes raisons de rester anonyme (discrétion, etc.). Si on regarde du côté des études scientifiques, je n’en citerais qu’une (Tsikerdekis, 2012) et qui indique que de façon générale, l’utilisation d’un pseudonyme ou la publication anonyme ne rend pas particulièrement plus agressif, mais qu’en revanche sur un sujet qui tient à cœur pour la personne qui s’exprime, l’utilisation d’un pseudonyme peut conduire à une expression plus agressive.

Qu’en conclure ? Avant tout qu’une plateforme qui autorise l’utilisation de pseudonymes doit être attentive aux débats qui s’y produisent, il y a de plus fortes chances qu’ils s’enveniment. Mais même sur les plateformes où l’on utilise normalement son nom véritable (comme les réseaux sociaux professionnels), on rencontre aussi des dérives. Ensuite, qu’il faut certainement apprendre à se servir d’un média social (éviter les conflits, respecter les autres, respecter les limites de la loi, etc.). Enfin, qu’au-delà du rôle des individus et des plateformes il faut que les autorités en charge de l’application de la loi puissent faire leur travail.

Du point de vue de l’enquête judiciaire

Cela nous amène au dernier point, celui des investigations judiciaires (pénales, ou sous l’autorité du juge civil agissant sur requête par exemple). Deux points de vue: est-ce que les médias sociaux et l’utilisation de pseudonymes ont un impact fort voire insurmontable sur leur travail ? est-ce que ces investigations peuvent se dérouler normalement ?

La première question est plus un point de vue sociétal. Mon avis très personnel est le suivant: la loi prévoit explicitement le droit à l’anonymat lorsqu’on publie sur Internet, et c’est une bonne chose. Il faut donc se donner les moyens de détecter et d’enquêter. Je ne détaillerais pas tous les moyens d’action et sites de signalement de contenus illicites (publics tels que PHAROS ou privés tel que Pointdecontact, en France).

Je m’appesantirai en revanche sur la possibilité d’enquêter. J’indiquais tout à l’heure les obligations de conservation de données prévues par la LCEN et son décret d’application. Sans ces données, les investigations ne sont pas possibles. Il existe un débat sur la nécessité de cette conservation et sa proportionnalité (pour toute publication ici, pendant un an), toujours est-il que si ces données ne sont pas accessibles à l’enquête judiciaire, cette enquête n’est pas possible et il est impossible de prédire si une publication nécessitera ou non une enquête judiciaire.

Maintenant, lorsque ces données sont conservées, est-ce que l’enquête judiciaire y a bien accès ? Lorsque tout se déroule en France, aucun problème, sauf défaut de l’hébergeur. En revanche, lorsque cet hébergeur est à l’étranger, il peut y avoir conflit avec la législation de cet autre pays. Toute la question est de savoir si, lorsqu’un service est offert depuis l’étranger sur le territoire national, la législation du pays où se trouve l’utilisateur s’applique, ou bien celle où se trouve la plateforme. S’agissant de la protection des données personnelles, le RGPD évoqué plus haut a tranché, c’est la législation du pays où se trouve la personne qui prime. En matière de publications sur Internet, le débat juridique n’est pas tranché.

En pratique, régulièrement, les plateformes de réseaux sociaux refusent à des enquêteurs et à des magistrats français la possibilité d’accéder à ces données, estimant par exemple que tel message ne relève pas d’une infraction en matière de haine, ou que le service d’enquête n’aurait pas pouvoir juridictionnel parce que le suspect serait dans un pays tiers, etc. C’est une partie du débat des lois en cours de discussion en France (proposition de loi sur la lutte contre la haine sur Internet), déjà votées ailleurs (NetzDG en Allemagne), ou de la proposition de règlement sur l’accès transfrontières à la preuve numérique au niveau européen (e-Evidence).

A suivre donc !

 

Le hameçonnage ciblé (“spear phishing”) à la une d’un rapport d’Europol

Le centre Européen de lutte contre la cybercriminalité d’Europol (EC3) a mis en ligne cette semaine un rapport sur le hameçonnage ciblé (“spear phishing”) qui est issu des travaux de leur Joint advisory group lors de sa réunion du mois de mars dernier. La philosophie de ces travaux est de proposer une vision conjointe de l’industrie et des services d’enquête sur cette menace.

Le hameçonnage est l’utilisation du courrier électronique (ou une autre forme de contact et de messagerie parfois, mais le courrier électronique reste largement majoritaire) pour contacter une victime (ou l’un de ses employés) pour l’un des usages suivants:

  • collecter des identifiants de connexion,
  • obtenir d’autres informations confidentielles (documents financiers, données personnelles),
  • délivrer des logiciels malveillants (rançongiciel, troyen d’accès à distance, enregistreur de frappes au clavier, …),
  • convaincre une victime de réaliser une opération contraire à ses intérêts (comme un virement bancaire).

On dira que le hameçonnage est ciblé s’il est destiné à un public bien déterminé: des destinataires précis au sein d’une même entreprise, des participants à une liste de discussion traitant d’un sujet sensible ou intéressant quant aux objectifs des attaquants (par exemple une liste de discussion par courrier électronique entre spécialistes d’un même domaine industriel). Ce ciblage est évalué par opposition aux campagnes de hameçonnage envoyées vers des destinataires sans relation particulière par exemple dans le contexte de l’envoi de spams.

Un chiffre clé à retenir de ce rapport est que 65% des attaques ciblées constatées en Europe auraient utilisé en 2018 la technique du hameçonnage ciblé.

Le rapport décrit ensuite les techniques employées pour réaliser ce type d’attaques:

  • la reconnaissance, via la collecte d’informations (en sources ouvertes la plupart du temps, notamment par la présence de l’organisation cible et de ses employés sur les réseaux sociaux professionnels)
  • envoi de messages depuis l’extérieur ou l’intérieur (une fois un premier compte compromis), adjonction de pièces jointes piégées, ou de liens vers des pages web piégées (utilisation des logos ou de noms de domaines semblables à ceux de l’entreprise ou d’un partenaire de confiance, téléchargement de fichiers piégés)
  • et par la suite, il pourra s’agir soit d’installer par ce biais des outils malveillants pour parcourir le réseau de l’organisation, copier des données, ou de plus en plus souvent ces derniers mois chiffrer les données de l’entreprise et réclamer une rançon (utilisation de rançongiciels chiffrants ou cryptolockers).

Enfin, le rapport apporte un certain nombre de conseils sur la façon de prévenir et réagir face à de telles attaques, y compris sur la coopération avec les autorités. J’insisterai plus particulièrement sur ce dernier point: si vous êtes victimes d’une telle campagne, signalez-le aux autorités, gendarmerie ou police et s’il s’agit plus spécifiquement d’une extorsion suite à l’installation d’un rançongiciel chiffrant, ne payez pas la rançon ! Si nécessaire, faites-vous accompagner par un prestataire pour la restauration de vos données, et pendant le même temps faites confiance aux autorités d’enquête pour investiguer sur l’origine de la demande de rançon.

Pour compléter les conseils apportés dans ce rapport d’Europol, n’hésitez pas à consulter les didacticiels présentés par nos amis de CYBERMALVEILLANCE.GOUV.FR; en particulier les documents sur le hameçonnage, les fichiers chiffrés avec demande de rançon et la sauvegarde de ses données.

Ne tombez pas dans le panneau!

Le message est simple aujourd’hui:

Ne tombez pas dans le panneau!

Cette semaine, j’ai reçu un appel au bureau d’une personne qui pensait m’avoir déjà eu en ligne. Malheureusement pour lui, ce n’était pas la même personne, il venait de se faire escroquer par un usurpateur.

Les scénarios de ces escroqueries sont multiples, ils ont souvent plusieurs étapes et plusieurs intervenants. Les plus courants commencent de deux façons:

  • Un dialogue sur un site de rencontres
  • Un échange suite à une petite annonce

Sur les sites de rencontre, la conversation s’engage et la victime commence à faire confiance. Dans certains cas, une relation se noue et l’escroc (ou les escrocs, car il est possible qu’ils se relaient derrière le même pseudonyme) demande de l’argent pour payer des frais médicaux ou même le voyage ou les frais de visa pour rencontrer son nouvel amour.

Evidemment, le paiement est toujours par des moyens inhabituels pour beaucoup d’entre nous: cartes bancaires prépayées ou coupons de recharges pour ces cartes, virements Western Union. D’ailleurs, très souvent (et c’est une bonne chose!) les buralistes posent des questions aux personnes qui se présentent pour acheter les coupons de recharge, et lorsqu’ils ont un doute ils sensibilisent les clients sur les risques d’escroquerie.

Parfois, l’escroquerie est plus agressive et la victime se voit menacée de révéler ses échanges, accusée de pédophilie (la personne avec qui elle discutait disant être mineure), et dans certains cas des vidéos ont été enregistrées à son insu suite à des discussions qu’elle croyait intimes et l’escroc menace de révéler ces vidéos à tous ses amis et contacts professionnels (chantage dit à la webcam).

Souvent encore, il y a une dernière étape avec l’intervention d’un soi disant service de police spécialisé qui contacte la victime par courrier électronique pour lui réclamer le paiement d’une amende ou alors de risquer des poursuites. C’est là que mon nom se retrouve souvent utilisé, un soi disant “Commissaire Général Eric Freyssinet” d’un service spécialisé en cybercriminalité fantaisiste, et le courriel est envoyé depuis une adresse gratuite (gmail, yahoo, hotmail, etc.).

Au passage:

Police et gendarmerie utilisent des adresses de courrier électronique officielles en gendarmerie.interieur.gouv.fr ou interieur.gouv.fr.

Jamais un policier ou un gendarme ne vous demandera de payer une amende directement dans un courrier électronique.

C’est intéressant d’utiliser le nom d’un policier ou d’un gendarme connu, parce qu’on trouve des traces de celui-ci sur Internet et la victime peut tomber dans le panneau (malheureusement !).

Dernier conseil: quand vous avez un doute suite à une discussion ou une transaction sur Internet, n’hésitez pas à en parler à un ami ou un membre de votre famille ou appelez le numéro Info Escroqueries 0 805 805 817 (lundi-vendredi 9h-18h30, numéro vert). Je compte sur mes lecteurs pour faire passer le message !

Vague d’extorsions par courriels avec un de vos mots de passe!

Depuis quelques jours, j’ai reçu plusieurs signalements de personnes qui étaient victimes d’une tentative d’extorsion par courrier électronique. Le même sujet a été décrit voilà quelques jours par Brian Krebs sur son blog.

Le schéma est le suivant:

  • Expéditeur = adresse bizarre en outlook.com ou autre service gratuit
    • Objet du message = “Re: prenom.nom – motdepasse”
  • Texte = un message en anglais rappelant le mot de passe, et indiquant que grâce à un virus implanté sur votre ordinateur l’escroc a pu vous observer visiter un site web pornographique et vous enregistrer à cette occasion grâce à votre webcam, menaçant ensuite de diffuser la vidéo à vos contacts. Le message réclame ensuite une rançon en bitcoins de $1900
  • Adresse Bitcoin = différente dans tous les exemples que j’ai pu voir

Le texte du message ressemble à celui-ci :

Let’s get straight to the point. I am aware [mot de passe] is your pass word. Moreover, I know about your secret and I’ve proof of it. You don’t know me and no one hired me to examine you.

It is just your misfortune that I discovered your bad deeds. Well, I installed a malware on the adult videos (adult porn) and you visited this website to have fun (you know what I mean). While you were watching video clips, your web browser started out working as a Rdp (Remote desktop) that has a keylogger which provided me accessibility to your display and also webcam. Right after that, my software program collected your complete contacts from facebook, as well as e-mail.

I then put in much more time than I probably should have into your life and made a two screen video. First part displays the recording you had been viewing and second part shows the video from your web cam (its you doing dirty things).

Honestly, I want to forget about you and let you get on with your life. And I am about to give you 2 options that will achieve that. The above choices to either ignore this letter, or perhaps pay me $1900. Let us examine those two options in more detail.

First Option is to ignore this e-mail. Let’s see what is going to happen if you pick this path. I will send out your video to your contacts including relatives, co-workers, and many others. It does not help you avoid the humiliation your family will face when friends discover your sordid videos from me.

Other Option is to make the payment of $1900. We’ll call it my “confidentiality charges”. Let me tell you what happens if you pick this option. Your secret remains your secret. I’ll destroy the recording immediately. You keep your lifetime as though nothing like this ever occurred.

At this point you may be thinking, “I should call the cops”. Let me tell you, I have covered my steps in order that this message can’t be tracked to me plus it will not stop the evidence from destroying your health. I am not planning to dig a hole in your pocket. I am just looking to get compensated for efforts and time I place into investigating you. Let’s assume you decide to generate pretty much everything disappear and pay me the confidentiality fee. You will make the payment via Bitcoins (if you don’t know how, type “how to buy bitcoins” in search engine)

Amount to be sent: $1900
Receiving Bitcoin Address: [adresse différente pour chaque escroquerie]
(It’s case sensitive, so you should copy and paste it carefully)

Tell nobody what you would use the bitcoin for or they might not offer it to you. The method to obtain bitcoins usually takes a few days so do not wait.
I have a specific pixel within this email message, and now I know that you have read through this e mail. You now have two days in order to make the payment. If I do not receive the BitCoins, I will certainly send out your video recording to all your contacts including members of your family, colleagues, and so on. You better come up with an excuse for friends and family before they find out. Nonetheless, if I receive the payment, I will erase the proof and all other proofs immediately. It is a non-negotiable one time offer, so don’t ruin my personal time & yours. Your time is running out.

Hypothèses

Les hypothèses évoquées par Brian Krebs sont qu’il s’agit vraisemblablement de messages envoyés au hasard à une liste de personnes sur la base d’une fuite de données massive telle qu’on a malheureusement pu en avoir beaucoup au cours des dernières années. Cela converge avec les témoignages que j’ai pu recevoir.

Recommandations

Les recommandations que je pourrais faire aux victimes de cette tentative d’extorsion sont simples:

  • Ne pas payer la rançon, ne pas contacter l’escroc, ne pas répondre
  • Comme il s’agit ici d’une tentative reposant sur une vraie base de données volée, il est probable que vous reconnaissiez le mot de passe. Si vous l’utilisez encore sur un de vos comptes (courrier électronique, réseau social, etc.), changez-le très rapidement. La CNIL propose de très bons conseils sur les mots de passe, notamment en vous incitant à utiliser un logiciel de gestion des mots de passe.
  • Vous pouvez vérifier si votre adresse ou vos pseudonymes sont présents dans des détournements connus en les vérifiant sur haveibeenpwned. Dans ce cas modifiez aussi vos mots de passe pour ces comptes.

Percev@l – plateforme de signalement des fraudes aux cartes de paiement – est ouverte!

Depuis quelques jours, un nouveau téléservice est disponible sur service-public.fr. Il permet aux victimes de fraude à leur carte de paiement de se signaler auprès des autorités.

Un tel service était nécessaire et attendu depuis longtemps. En effet, la fraude aux cartes de paiement a lieu essentiellement sur Internet aujourd’hui (à plus de 70% selon les statistiques publiées par l’Observatoire de la sécurité des moyens de paiement). Cela veut dire que le lieu où se commet réellement l’infraction n’a en général aucun rapport avec l’endroit où se trouve la victime. De surcroît, c’est le cumul des informations provenant des nombreuses victimes qui permettra d’identifier les fraudeurs et leur mode opératoire et facilitera la coopération internationale (plus facile si on peut identifier un préjudice conséquent lié aux mêmes auteurs).

Lorsqu’on constate un paiement frauduleux avec son numéro de carte bancaire (en consultant son relevé de compte en ligne, ou encore en étant prévenu par sa banque ou son prestataire de paiement), les opérations suivantes peuvent maintenant être réalisées par les victimes:

  • Mettre sa carte en opposition en contact son organisme de paiement (en général par un simple appel téléphonique)
  • Réaliser son signalement sur le téléservice Percev@l (on le retrouve simplement sur le site service-public.fr en cherchant Percev@l ou “fraude carte bancaire”)
  • Transmettre le récépissé fourni par Percev@l à sa banque pour faciliter les opérations de remboursement (le récépissé est mis à disposition automatiquement dans votre porte-documents sur le site service-public.fr)

Pour se connecter à Percev@l, l’usager doit utiliser un identifiant FranceConnect. Celui-ci est accessible à tous les résidents français grâce à leurs comptes Ameli, des Impôts ou encore Laposte ou Mobileconnectetmoi. Très rapidement, la plateforme FranceConnect sera interopérable avec d’autres agrégateurs d’identité à travers l’ensemble de l’Union européenne dans le cadre du règlement européen eIDAS.

Ensuite, les informations fournies sont directement traitées par des analystes et des enquêteurs du Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie et les rapprochements ainsi réalisés contribuent à l’ouverture d’enquêtes judiciaires qui peuvent être traités par des services spécialisés de gendarmerie ou de police partout en France.

Ce téléservice était attendu – j’en parlais dans mon livre La cybercriminalité en mouvement en 2012: il fait l’objet en particulier d’une recommandation dans le rapport de 2014 sur la lutte contre la cybercriminalité. Les banques et les commerçants en ligne sont aussi particulièrement mobilisés et ils ont été associés à la construction de ce projet; ils coopéreront évidemment aux enquêtes judiciaires.

Souhaitons que Percev@l soit utilisé par une partie importante des victimes de fraude à leur carte de paiement. Ils contribueront ainsi à la lutte contre cette forme malheureusement trop répandue de cybermenace. Percev@l contribue pleinement au volet numérique de la Police de sécurité du quotidien et s’intègre au programme Ma gendarmerie en ligne! de la gendarmerie nationale.

Campagne de hameçonnage ciblant les clients d’OVH

Depuis quelques jours une campagne de hameçonnage cible plus particulièrement les clients d’OVH, la gendarmerie du Doubs et du territoire de Belfort sur sa page Facebook.

En effet, j’ai moi-même reçu trois messages de hameçonnage successifs ciblant le même nom de domaine dont je suis le gestionnaire chez OVH (envoyés à l’adresse de contact du nom de domaine):

  • 7 mars 2018 15:27, objet: “Fermeture du XXX” XXX étant le nom de domaine, provenant apparemment de “<support@ovh.com>”
  • 8 mars 2018 05:24, objet: “[ֹOVֹH] : erreur !”, provenant apparemment de “[ֹOVֹH]” <support@ovh.net>
  • et de façon identique le 10 mars 2018 17:20

Jetons un œil à l’aspect du dernier message:

 

Si l’on passe la souris au dessus de l’URL qui devrait être celle du site d’OVH on obtient en réalité:

(la zone floutée correspond à l’adresse de contact du nom de domaine ciblé). Si l’on suit cette adresse, après deux redirections on se retrouve sur l’adresse (ATTENTION ne pas vous rendre sur cette adresse sans précautions !):

Le site Web est celui d’une société d’informatique allemande dont le site Web a été modifié pour afficher une page ressemblant à celle d’OVH:

Comment se protéger ?

Suivant les solutions de sécurité dont vous disposez sur votre ordinateur, vous serez éventuellement averti qu’il s’agit en réalité d’une page de hameçonnage connue. Ainsi, à l’heure où j’écris ces lignes, Windows Defender de Microsoft le signale correctement lorsqu’on visite cette page.

Si vous voulez participer à signaler ce type de messages et de pages de phishing c’est assez simple. L’association Signal Spamdont j’ai parlé plusieurs fois ici – fournit un plugin pour votre navigateur Web qui permet de signaler les messages non sollicités et les pages Web de hameçonnage.

Les signalements sont non seulement traités par Signal Spam, mais font l’objet d’une transmission vers les éditeurs des différents navigateurs.

Une mise à jour récente des modules de signalement de Signal Spam autorise désormais le signalement des URL (adresses internet) de phishing. Concrètement, cela signifie qui si au cours de votre navigation sur internet vous tombez sur un site de phishing, il vous est possible d’utiliser le même bouton Signal Spam installé dans votre navigateur (chrome, safari, ou firefox) qui sert traditionnellement au signalement d’un courriel indésirable pour signaler le site de phishing. Le module Signal Spam reconnaîtra que vous naviguez sur une page de phishing, et signalera l’URL.

L’URL ainsi signalée sera placée dans une liste noire qui préviendra la navigation sur ce site par d’autres utilisateurs de Signal Spam. Il est bien sûr possible de signaler un « faux-positifs », c’est à dire un signalement que vous estimez erroné, ou de poursuivre malgré tout votre navigation sur le site de phishing en pleine connaissance de cause.

En outre, la mise à jour des modules intègre également une protection de votre messagerie contre les messages de phishing : une alerte s’affichera lorsque vous vous apprêtez à ouvrir un message contenant des liens identifiés comme dangereux.

Le fonctionnement de cette fonctionnalité STOP PHISHING – développée par Signal Spam en partenariat avec la société Verifrom vous est expliqué dans la vidéo ci-dessous:

Une vidéo proposée par la CNIL vous informe très précisément sur la façon d’installer le plugin dans votre navigateur:

Enfin, le service cybermalveillance.gouv.fr vous propose une fiche de prévention sur le sujet du hameçonnage:

Recrutement 2016 d’officiers commissionnés dans le domaine cyber en gendarmerie

Le journal officiel du 24 mars 2016 comporte deux annonces qui peuvent intéresser mes lecteurs, tous deux implantés à Pontoise (95):

  • Avis de vacance d’emploi d’un expert de haut niveau en technologies numériques chargé de projet et développement de techniques de déprotection logicielle à la division ingénierie numérique du départ de l’institut de recherche criminelle de la gendarmerie nationale au pôle judiciaire de la gendarmerie nationale NOR: INTJ1608188V
  • Avis de vacance d’un emploi d’expert de haut niveau en technologies numériques chargé de projet et développement de techniques de déprotection matérielle à la division ingénierie numérique du départ de l’institut de recherche criminelle de la gendarmerie nationale au pôle judiciaire de la gendarmerie nationale NOR: INTJ1608185V

Il s’agit de postes d’officiers de gendarmerie commissionnés, sous la forme d’un premier contrat de 5 ans pouvant être renouvelé jusqu’à 17 ans au maximum.

Lutte contre les botnets

Préambule

Il est difficile de trouver les mots justes et de s’atteler à un sujet de discussion qui paraîtrait futile par rapport aux terribles attentats qui ont frappé la France, quelques heures avant Beyrouth, hier Bamako. Je tiens en préambule à rendre hommage à toutes les victimes et les familles atteintes par ce drame. Peut-être ai-je, comme beaucoup d’entre nous, croisé certains d’entre eux au cours des dernières années, lors d’une ballade dans Paris. Et il faut rendre hommage aussi aux secouristes, policiers, gendarmes, militaires et aux simples citoyens qui se sont mobilisés chacun à leur façon pour réagir efficacement et solidairement à la violence qui frappait Paris et Saint-Denis, Beyrouth et Bamako.

Au milieu de cette violence, on parle souvent des actions menées sur Internet, et notamment sur les réseaux sociaux. Cette semaine en France et dans le monde, les réactions habituelles d’intolérance, de rumeurs ou de trolling ont été observées, mais elles ont été à mes yeux submergées par une émotion juste et partagée, ainsi que par un usage positif d’Internet pour s’informer très vite sur ses proches ou la meilleure façon de rester en sécurité [n’hésitez pas à me signaler des articles de synthèse pertinents sur ce sujet].

Le travail des enquêteurs et des services de renseignement prend aussi une dimension numérique: découverte de liens sur Internet, analyse d’ordinateurs et de téléphones mobiles (avec des conditions particulières pour les perquisitions administratives de l’Etat d’urgence). On ressent ces jours-là tout le sens des efforts menés depuis de nombreuses années pour former et mobiliser des enquêteurs spécialisés à ces questions en gendarmerie et en police. Je peux aussi témoigner des nombreux messages de soutien reçus du monde entier de nos partenaires privés et publics pour venir immédiatement en aide aux enquêteurs français.

Il a beaucoup été dit au cours des derniers jours qu’il fallait reprendre rapidement le cours d’une vie normale, résister et ne pas se laisser gagner par la peur. Pour les personnes qui comme moi traitent de cybercriminalité, cela veut évidemment dire réévaluer notre action au regard des événements de ces derniers jours et apporter notre aide technique, mais cela veut aussi dire qu’il faut continuer de mener les actions qui permettent de lutter contre ces formes de délinquance, certes en apparence non violentes (même si certaines conséquences de la cybercriminalité sont parfois dramatiques), mais qui ont un coût toujours croissant sur l’économie de nos pays ou la vie privée de nos citoyens.

Quatre années de réflexion et d’échanges

Une aventure commencée voilà quatre ans s’est achevée la semaine dernière avec la soutenance d’une thèse de doctorat en informatique le jeudi 12 novembre 2015, ce qui me permet aujourd’hui de faire le point sur les leçons qu’il reste à tirer en matière de lutte contre les botnets. Il y a 4 ans donc, poussé par David Naccache, professeur à l’Ecole normale supérieure et officier de réserve en gendarmerie, je sautais le pas de l’engagement dans une thèse de doctorat en informatique. J’ai été accueilli par l’équipe Réseaux complexes du Laboratoire d’informatique de Paris 6, dirigée à l’époque par Matthieu Latapy, co-directeur de ma thèse avec David et aujourd’hui par Clémence Magnien.

Posée de façon simple, ma thèse de départ était la suivante:

Les botnets sont l’outil premier de la délinquance numérique. Pour mieux lutter contre eux, les botnets doivent être compris comme des systèmes, au-delà des simples programmes malveillants, en intégrant l’ensemble de leurs composantes.

La conclusion que j’ai pu en tirer après quatre années de réflexion et d’échanges était que cette thèse était juste et partagée, mais qu’elle n’était pas pleinement formulée et c’est ce que je me suis efforcé de faire.

Mon travail a donc commencé à l’hiver 2011 par le lancement d’un Wiki sémantique https://www.botnets.fr/ avec une double ambition: documenter les botnets et partager ce travail, donc rentrer en relation avec la communauté qui traite de ces questions en France sans forcément toujours se connaître. Et il s’est évidemment avéré que je ne connaissais alors pas encore toutes les personnes qui travaillent discrètement et parfois isolément sur ces questions, qu’il s’agisse de chercheurs ou d’acteurs de la sécurité des réseaux.

Un Wiki sémantique permet de donner un sens aux liens entre les différentes informations que l’on y publie. Ces informations sont des propriétés des notions que l’on documente et un grand nombre de ces propriétés peuvent être elles-même documentées. Ainsi, un botnet pourra utiliser un protocole de communication donné que l’on expliquera ou être diffusé par une plateforme d’exploits particulière.

wiki-semantique

Figure 1 – Extrait de la structure sémantique du Wiki botnets.fr

Un des intérêts concrets a été aussi pour moi de réaliser ma bibliographie au fur et à mesure des travaux et surtout de ne pas perdre la trace de la source de chacune des informations que je collectais. L’autre intérêt du Wiki est que l’on peut partager la saisie d’informations, ce qui fut par exemple le cas avec l’aide de Kafeine qui a beaucoup contribué à ma réflexion sur les rançongiciels (voir cette page reprenant les visuels des rançongiciels ciblant les victimes françaises).

L’observation des rançongiciels, qui ont largement ciblé l’Europe à partir de 2012, a par exemple permis d’observer les différents modes de monétisation des botnets, soit par des systèmes d’affiliation (les affiliés sont par exemple rémunérés à la commission selon le nombre de bots qu’ils ont permis de recruter), soit sous forme de kits (voir figure 2 ci-dessous).

scenarios-botnets.png

Figure 2 – Différents scénarios de monétisation des botnets, de ceux qui sont implémentés de façon isolée, par l’équipe qui le développe à ceux qui existent sous forme de kits avec des options d’affiliation.

Il peut exister d’autres stratégies de compartimentation que l’affiliation, par exemple la location d’une partie d’un botnet à un client donné.

Ce travail de documentation et d’échanges s’est poursuivi tout au long de la thèse. Ainsi, plus de 400 classes de botnets ont été documentées réparties en 16 catégories. Il s’est concrétisé par de nombreuses présentations, des discussions avec de nombreux chercheurs et l’organisation depuis trois ans d’une conférence internationale sur le sujet de la lutte contre les botnets dont la prochaine édition se tient dans quelques jours – Botconf.

Définitions et concepts

Une fois ce long travail d’observation réalisé, j’ai pu remettre à plat l’ensemble des définitions utiles. Les plus importantes touchent évidemment aux botnets eux-mêmes:

Un logiciel malveillant ou malware est tout programme (directement exécutable ou en langage interprété), inséré dans un système d’information, en général de façon discrète, avec l’intention de compromettre la confidentialité, l’intégrité ou la disponibilité des données de la victime, de ses applications, du système d’exploitation, du matériel contenant le système d’information ou piloté par lui, ou encore de chercher à ennuyer ou perturber la victime.

Un botnet est un ensemble constitué par des systèmes compromis par un logiciel malveillant (appelés alors bots) qui communiquent avec un système de commande et de contrôle donné.

Un système de commande et de contrôle est l’ensemble des dispositions prises pour assurer la transmission de commandes (d’ordres) du maître du botnet vers les bots et/ou la réception en sens inverse d’informations d’état ou du résultat des commandes ou des fonctions automatisées du botnet. Le système de commande et de contrôle peut reposer sur un serveur unique, un ensemble d’infrastructures ou uniquement un protocole de communication entre les bots et le maître.

La synthèse s’est ensuite approfondie en proposant un modèle objet pour représenter les botnets et donc concrétiser la vision systémique recherchée. Ainsi, la menace APT1 telle que documentée dans de nombreux articles (par Mandiant, Malware.lu)  peut être synthétisée selon le modèle objet représenté en Figure 3 ci-dessous:

APT1-uml

Figure 3 – Modèle objet de la menace APT1 (codes malveillants, infrastructures et botnets mis en place par ce groupe)

L’architecture des systèmes de commande et de contrôle s’est complexifiée avec le temps, passant d’architectures centralisées à des architectures décentralisées (reposant essentiellement sur des technologies pair à pair):

  • architecture aléatoire (pour se connecter à ses bots, le maître du botnet doit les contacter lui-même)
  • architecture centralisée
  • architecture centralisée répartie
  • architecture décentralisée
  • architecture hybride (qui combine plusieurs architectures)

La définition de la notion d’architecture centralisée répartie est un exemple des contributions de la thèse. Elle recouvre les circonstances où un point individuel de défaillance subsiste, car en réalité centralisé sur un équipement (ou quelques équipements ou l’infrastructure d’un tiers), mais où l’accès à cet échelon central est camouflé et solidifié par un dispositif intermédiaire tels que des relais ou l’utilisation d’algorithmes de génération de noms de domaine (comme je l’évoquais ici avec Conficker).

architecture-centralisee-repartie.png

Figure 4 – Exemples d’architectures centralisées réparties

Des modalités complémentaires permettent d’enrichir ces architectures:

  • le sens des communications (univoque montante ou descendante ou réciproque)
  • modalité persistante (connexion permanente des bots actifs au système de commande et contrôle) ou sporadique/périodique
  • l’abus d’une autre architecture (un réseau social par exemple ou des groupes de discussion)

Pour décrire de façon complète le fonctionnement des botnets, il est important de comprendre leurs modes de diffusion. C’est ce que j’ai fait régulièrement sur ce blog.

malware-distribution.png

Figure 5 – Exemple de scénario de distribution d’un code malveillant. On y voit notamment les systèmes de distribution de trafic qui sont avec les plates-formes d’exploit (exploit kit) un des objets importants qui viennent compléter l’observation des botnets.

Et cette compréhension plus globale passe par une appréhension du cycle de vie des botnets. Celui que je propose intègre de façon intime le cycle de vie d’un botnet à celui de ses bots:

botnets-cycle-vie

Figure 6 – Modèle proposé de cycle de vie des botnets

Méthodes de lutte

L’étude des méthodes de lutte contre les botnets constitue une partie importante des travaux que j’ai pu mener et des actions auxquelles j’ai pu concrètement participer ou observer.

Ces méthodes passent par la technique (détection, analyse des logiciels malveillants) mais aussi par des organisations (actions isolées ou coordonnées de démantèlement). La thèse propose en conclusion les enjeux importants à prendre en compte dans les stratégies de démantèlement des botnets:

  • une bonne détection et une bonne compréhension des cibles considérées – et j’insiste tout particulièrement sur la nécessité de prendre rapidement du recul et d’avoir une vision globale pour bien identifier les architectures, les modes de diffusion, les acteurs potentiellement impliqués et les faiblesses qui pourront être exploitées;
  • une coordination et une coopération efficaces, tant entre les acteurs techniques que les acteurs judiciaires, notamment au plan international;
  • la possibilité, voire l’obligation pour les fournisseurs d’accès et les hébergeurs de détecter (ou prendre en considération les données qui leur sont transmises) et de prévenir leurs abonnés. Ce point pourrait supposer des évolutions juridiques;
  • disposer d’une méthode et d’un plan d’action dont l’efficacité peut être mesurée scientifiquement avec par exemple le souci de limiter les efforts et l’impact collatéral.

Parmi les freins à ces actions, on note une trop faible prise en compte de la nécessité de mettre à jour les logiciels des parcs informatiques (nécessité que j’ai illustrée plusieurs fois ici, à laquelle contribuent en amont les éditeurs de logiciels). Ainsi grâce à une étude menée auprès de responsables informatiques et de la sécurité des systèmes d’information (je remercie ici tous les répondants), nous avons pu voir que:

  • les politiques de mise a jour existent dans 80% des cas environ, avec un logiciel de gestion de parc associé;
  • la mise a jour concerne assez largement le système d’exploitation (80 a 100% du parc pour 60% des répondants);
  • en revanche navigateurs et autres logiciels sont beaucoup moins largement mis a jour de facon automatique (50% des répondants citent un taux de 0 a 10% de leur parc pour les autres logiciels).

Au cours de la thèse enfin, j’ai pu contribuer à des actions de prévention, comme de nombreux articles écrits sur ce blog et les sites stopransomware.fr, Antibot.fr (développé dans le cadre du projet Européen Advanced cyberdefence centre avec le CECyF et Signal Spam). Mais la prévention est encore trop peu efficace, notamment en France, et ce sont de véritables campagnes de communication grand public qui doivent être menées.

Conclusion

Je joins à ce billet une copie de la thèse telle qu’elle sera diffusée d’ici quelques semaines sur le site de l’Université Pierre et Marie-Curie.

PDF

Il reste encore beaucoup à faire pour être efficace dans la lutte contre les botnets. Les exemples récents montrent qu’à la fois les délinquants renforcent sans cesse leurs techniques et leurs stratégies et que les actions isolées et n’intégrant pas l’ensemble des étapes de la compréhension au nettoyage des ordinateurs des victimes, en passant par l’arrestation des auteurs ne permettent pas de combattre efficacement ces menaces.

Je tiens à remercier l’ensemble des personnes dont la richesse des échanges et des points de vue m’ont permis d’avancer très rapidement. Vous en retrouverez le détail au début du mémoire de thèse, mais de nombreux autres n’ont pas pu être cités, français et étrangers. Je remercie tout particulièrement mes deux directeurs de thèse David Naccache et Matthieu Latapy qui m’ont soutenu pendant ces quatre années, et les rapporteurs de la soutenance Ludovic Mé et Jean-Yves Marion et enfin les examinateurs du jury Clémence Magnien, Solange Ghernaouti-Hélie et Vincent Nicomette.