Derrière Pegasus ou le mode d’emploi d’un logiciel espion
Accès autorisé à toutes les données! © Sashkin / Shutterstock
Thierry Berthier, Université de Limoges
Un consortium de médias, dont Le Monde et la cellule investigation de Radio France, coordonné par l’organisation Forbidden Stories, a eu accès à plus de 50 000 numéros de téléphone potentiellement ciblés et espionnés par une dizaine d’états, via le logiciel israélien Pegasus.
L’affaire fait grand bruit car on y retrouve, pêle-mêle, des journalistes, des chefs d’entreprise, des opposants politiques et autres figures de la vie publique.
Retour sur la technique derrière ce logiciel. Quand est né Pegasus ? Comment l’utilise-t-on ? Pourquoi a-t-il pris une telle ampleur ?
Comment fonctionne Pegasus
Le logiciel Pegasus est développé par l’entreprise israélienne NSO Group. C’est un logiciel espion (spyware) visant les smartphones dont l’objectif est de siphonner l’ensemble de ses données : coordonnées GPS, contenus des messages, écoute des appels, bref tout ce qui passe par votre téléphone est vu, lu et entendu par le logiciel et transmis à son utilisateur (l’attaquant). Ce logiciel espion évolue depuis plusieurs années et s’adapte aux évolutions de niveaux de sécurité des téléphones.
Dans ses précédentes versions, l’attaquant envoyait un message contenant un lien, qui, lorsque l’utilisateur cliquait dessus, déclenchait l’installation de Pegasus. Cette technique, un peu grossière, peut fonctionner avec des personnes peu habituées ou non formées à la cybersécurité. Mais qui, avec des cibles de haut niveau (publiques ou privées) est beaucoup plus hasardeuse. Ainsi NSO a développé une nouvelle version qui est capable d’installer le « mouchard » sans clic, ce que l’on appelle une attaque « zero click ».
Comment installer un logiciel à l’insu du propriétaire du téléphone ? La méthode la plus efficace, version film d’espionnage, est tout simplement de se saisir du téléphone, lors d’un moment d’inattention et de l’intégrer dans la machine.
Il existe également une méthode plus subtile, et plus technologique : utiliser une faille de sécurité de l’appareil pour prendre le contrôle du téléphone pendant un court laps de temps pour y installer le spyware à distance.
L’exploitation des failles de sécurité
Pour prendre le contrôle d’un smartphone à distance, il est indispensable d’exploiter une faille de sécurité. Cette dernière peut provenir du matériel (hardware), par exemple une puce électronique, ou logiciel (software) en passant par les systèmes d’exploitation iOS ou Android. Les clients de NSO, en général des états, n’ont pas à chercher les failles eux-mêmes, ils n’ont besoin que du numéro de téléphone de la cible et Pegasus s’occupe du piratage et de l’exfiltration des données. Pour chaque cible visée, le client paye une licence à NSO de quelques dizaines de milliers d’euros.
On va généralement cibler des failles « zero day » (jour 0), on les appelle comme cela car elles n’ont jamais été publiées ni exploitées. La plupart des logiciels vendus dans le commerce peuvent avoir des failles. D’ailleurs, leurs éditeurs organisent régulièrement des concours ouverts aux hackers pour les débusquer. Si une personne découvre une faille, elle peut la vendre sur des « marchés zero day ». Cela ressemble à une bourse internationale dans laquelle les produits sont des failles. En général, elles sont achetées par les éditeurs eux-mêmes qui ont intérêt à les corriger le plus rapidement possible. Une faille sur un système d’exploitation iOS peut se négocier à plusieurs millions de dollars. Ces marchés sont légaux. Le but est d’éviter qu’un hacker, ayant trouvé une faille aille la vendre à un groupe cybercriminel.
Schéma de l’attaque du téléphone du journaliste Tamer Almisshal par Pegasus. Traduit du rapport « The Great iPwn », CC BY
Un exemple concret a été reporté par The Citizen Lab (le laboratoire d’Amnesty International et de l’université de Toronto qui a travaillé sur le récent scandale) fin 2020. Le journaliste d’investigation travaillant pour Al Jazeera, Tamer Almisshal suspectait que son téléphone ait été piraté. Pour le prouver, le laboratoire a enregistré toutes ses métadonnées pour suivre à quoi il se connectait. Ils ont en effet trouvé des connexions très suspectes : son téléphone a visité plusieurs fois un site connu comme étant un mode d’installation de Pegasus.
Cette visite aurait été provoquée par les pirates en exploitant une faille du système de messagerie de l’iPhone (faille depuis corrigée), le journaliste n’a cliqué sur aucun lien suspect, c’est une attaque « zero click ». Il a aussi été démontré que des données ont été exfiltrées. La société NSO a nié toute participation.
Un tunnel d’exfiltration de données
Une fois que Pegasus est installé, il doit renvoyer les données vers le commanditaire. Comment s’y prend-il ? il va créer un tunnel. Si le « pirate » est physiquement proche de sa cible, il lui est possible de récupérer les données via des techniques « radiofréquence ». Le téléphone va émettre des informations, par exemple via wifi qui seront captées à l’aide d’une antenne.
Les failles de sécurité touchant les cartes SIM peuvent être exploitées par un attaquant pour prendre le contrôle du téléphone ou pour installer un logiciel espion. Par exemple, la faille SIMjacker concerne plus d’un milliard de téléphones. Elle permet à partir d’un simple SMS de prendre le contrôle total d’un smartphone et de collecter des données. Concrètement, l’attaquant envoie un SMS contenant un code spécifique qui ordonne à la carte SIM de prendre les commandes du téléphone et d’exécuter certaines commandes provoquant l’exfiltration de données.
Il est également possible d’utiliser les liaisons classiques 3G ou 4G. Même si le téléphone se trouve dans des zones où le débit est limité, la bande passante sera plus lente, et donc le transfert plus long, mais il sera quand même possible d’exfiltrer des données.
On pourrait se dire que des transferts massifs de données pourraient être détectés par l’utilisateur, en observant ses flux de données. C’est là où Pegasus est très performant, car il peut agir sans être détecté. Les données qu’il envoie à partir du téléphone sont chiffrées, on ne peut donc pas savoir ce qui a été envoyé. De plus il va mélanger ces envois au milieu de vos propres transferts de données, par exemple, vous effectuez un paiement en ligne, vous allez envoyer des données chiffrées à votre banque ou à votre vendeur, et à ce moment-là le logiciel en profite pour envoyer des informations à l’attaquant.
Il est donc très difficile de savoir, réellement, ce qui a été envoyé, une fois que l’on a été victime de l’attaque. D’autant plus qu’une fois que la mission a été remplie Pegasus peut s’autodétruire et ne laisser aucune trace, selon son éditeur.
Cette dernière information est contredite par Amnesty International qui dit avoir détecté des traces du logiciel sur plusieurs téléphones analysés dans les journaux d’évènements qui enregistrent une partie de l’activité du système.
D’une manière générale, la rétro-analyse du fonctionnement d’un tel logiciel espion demeure toujours très complexe à réaliser. De la même façon, l’analyse fine de l’attaque demande d’importants moyens techniques, analytiques incluant de l’expertise humaine de très haut niveau et du temps.
Il convient de rester prudent sur les déclarations des uns et des autres attribuant l’origine d’une attaque ou affirmant qu’un téléphone a été compromis en particulier par un logiciel par nature furtif.
Thierry Berthier, Maitre de conférences en mathématiques, cybersécurité et cyberdéfense, chaire de cyberdéfense Saint-Cyr, Université de Limoges
Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.
À lire aussi
A confondre le verbe et l’action, on risque de se planter
De tout temps, dans la galerie des puissants, il y eut les taiseux obstinés et les bavards virevoltants. Donald Trump fait mieux. Il se veut le sorcier qui touille dans la marmite brûlante de ses colères et de ses désirs. Il en jaillit toutes sortes de bizarreries. L’occasion de s’interroger: (...)
Notre dernière édition avant la fusion
Dès le vendredi 3 octobre, vous retrouverez les articles de «Bon pour la tête» sur un nouveau site que nous créons avec nos amis d’«Antithèse». Un nouveau site et de nouveaux contenus mais toujours la même foi dans le débat d’idées, l’indépendance d’esprit, la liberté de penser.
Les fantasmes des chefs de guerre suisses
Il arrive que le verrou des non-dits finisse par sauter. Ainsi on apprend au détour d’une longue interview dans la NZZ que le F-35 a été choisi pas tant pour protéger notre ciel que pour aller bombarder des cibles à des centaines, des milliers de kilomètres de la Suisse. En (...)
PFAS: un risque invisible que la Suisse préfère ignorer
Malgré la présence avérée de substances chimiques éternelles dans les sols, l’eau, la nourriture et le sang de la population, Berne renonce à une étude nationale et reporte l’adoption de mesures contraignantes. Un choix politique qui privilégie l’économie à court terme au détriment de la santé publique.
L’identité numérique, miracle ou mirage?
Le 28 septembre, les Suisses se prononceront à nouveau sur l’identité numérique (e-ID). Cette fois, le Conseil fédéral revient avec une version révisée, baptisée «swiyu», présentée comme une solution étatique garantissant la souveraineté des données. Mais ce projet, déjà bien avancé, suscite des inquiétudes quant à son coût, sa gestion, (...)
Démocratie en panne, colère en marche
En France, ce n’est pas tant le tourniquet des premiers ministres et la détestation de Macron qui inquiètent, c’est le fossé qui se creuse entre la société et le cirque politicien, avec son jeu d’ambitions qui paralyse le pays. Le tableau n’est guère plus réjouissant en Allemagne, en Grande-Bretagne, en (...)
Nos médicaments encore plus chers? La faute à Trump!
En Suisse, les médicaments sont 50 à 100 % plus coûteux que dans le reste de l’Europe. Pourtant, malgré des bénéfices records, les géants suisses de la pharmaceutique font pression sur le Conseil fédéral pour répercuter sur le marché suisse ce qu’ils risquent de perdre aux Etats-Unis en raison des (...)
Le voyage chahuté d’Ursula
Il est fait grand bruit autour d’une fable alarmiste, d’un incident minuscule lors du vol de la présidente de la Commission européenne entre la Pologne et la Bulgarie: la perturbation du GPS attribuée à la Russie et facilement surmontée comme cela est possible sur tous les avions. Quasiment rien en (...)
Le trio des va-t-en-guerre aux poches trouées
L’Allemand Merz, le Français Macron et le Britannique Starmer ont trois points communs. Chez eux, ils font face à une situation politique, économique et sociale dramatique. Ils donnent le ton chez les partisans d’affaiblir la Russie par tous les moyens au nom de la défense de l’Ukraine et marginalisent les (...)
Microsoft s’enrichit sur le dos des Palestiniens
Selon des révélations étayées par des sources issues de la multinationale américaine et des services secrets israéliens, un cloud spécial a été mis en place pour intercepter les communications de millions de Palestiniens. Des données qu’Israël utilise pour mener sa guerre de représailles ethniques dans la bande de Gaza et (...)
La géopolitique en mode messianique
Fascinés par le grand jeu mené à Anchorage et Washington, nous avons quelque peu détourné nos regards du Moyen-Orient. Où les tragédies n’en finissent pas, à Gaza et dans le voisinage d’Israël. Où, malgré divers pourparlers, aucun sursis, aucun accord de paix ne sont en vue. Où un nouvel assaut (...)
Pourquoi les Etats-Unis n’ont-ils pas encore interdit TikTok?
L’an passé, le congrès américain a décidé que le réseau social devait être interdit s’il restait en mains chinoises, ceci afin d’éviter que les données des étatsuniens soient récupérées par Pekin. Il s’agissait prétendument d’une question de «sécurité nationale». Mais le président Trump a pour la troisième fois reporté l’interdiction, (...)
Les Européens devant l’immense défi ukrainien
On peut rêver. Imaginons que Trump et Poutine tombent d’accord sur un cessez-le-feu, sur les grandes lignes d’un accord finalement approuvé par Zelensky. Que feraient alors les Européens, si fâchés de ne pas avoir été invités en Alaska? Que cette hypothèse se confirme ou pas, plusieurs défis controversés les attendent. (...)
Des nouvelles de la fusion de «Bon pour la tête» avec «Antithèse»
Le nouveau site sera opérationnel au début du mois d’octobre. Voici quelques explications pour nos abonnés, notamment concernant le prix de l’abonnement qui pour eux ne changera pas.
Comment la famille Trump s’enrichit de manière éhontée
Les deux fils du président américain viennent de créer une entreprise destinée à être introduite en bourse afin de profiter de subventions et de contrats publics de la part du gouvernement fédéral dirigé par leur père.
Trouver le juste cap dans la tempête
La tornade qui, en Europe, s’est concentrée sur la Suisse nous laisse ébaubis. Le gros temps durera. Ou s’éclaircira, ou empirera, selon les caprices du grand manitou américain. Les plaies seront douloureuses, la solidarité nécessaire. Il s’agira surtout de définir le cap à suivre à long terme, à dix, à (...)
