Le logiciel espion « secret défense » de la DGSI était un fork d’un exploit disponible sur GitHub Un exploit « très peu sophistiqué » Jean-Marc Manach Le 20 août à 16h18 Ayant permis plus de 6 000 arrestations, la saisie de 900M d’euros et de 270 tonnes de drogues, le piratage du cryptophone Encrochat reposait sur un logiciel espion « secret défense » développé par la DGSI. Il avait en fait été bidouillé à partir d’un logiciel open source et d’un exploit téléchargés sur GitHub. Il reposait aussi sur une faille « zero day » identifiée par Google comme étant exploitée par le logiciel espion Pegasus de NSO.
Une erreur ? Le 2 juillet 2020, Europol et Eurojust annonçaient que la gendarmerie nationale française avait réussi à pirater et démanteler EncroChat, « un réseau téléphonique crypté largement utilisé par les réseaux criminels » dénombrant 60 000 clients, a priori fortunés. Ses terminaux sécurisés étaient en effet vendus la bagatelle de 1 000 euros, auxquels il fallait ajouter 1 500 euros d’abonnement, à renouveler tous les 6 mois.
Société La gendarmerie a (de nouveau) cassé des messages chiffrés Société Vendredi 03 juillet 2020 à 06h15 03/07/2020 06h15 115 Initiée en 2017, l’enquête avait mobilisé 60 enquêteurs réunis en France dans une « cellule Emma 95 », et permis plusieurs centaines d’arrestations un peu partout en Europe. Trois ans plus tard, Europol se félicitait du fait que cette opération avait permis l’arrestation de 6 558 personnes dans le monde entier (dont 197 « high value targets »), la saisie de 740 millions d’euros de cash et le gel de 154,1 millions d’euros sous forme d’actifs ou de comptes bancaires, 164,4 tonnes de cannabis, 103,5 de cocaïne, 3,3 d’héroïne, 30,5 millions de comprimés de drogues chimiques, 971 véhicules, 923 armes (plus 21 750 cartouches et 68 explosifs), 271 domaines ou maisons, 83 bateaux et 40 avions. Encrochat en chiffres – Eurojust et Europol Europol ne précisait pas combien de personnes avaient alors été condamnées, mais celles qui l’avaient été totalisaient alors une durée cumulée de 7 134 années de prison.
Europol précisait également que 35 % des affaires relevaient du crime organisé, 33 du trafic de drogue, 14 du blanchiment d’argent, 12 de projets de meurtres, et 6 de trafic d’armes. Société Cryptophone EncroChat : 6 600 arrestations, 900 millions d’euros, 270 tonnes de drogue Société Mercredi 28 juin 2023 à 05h00 28/06/2023 05h00 34 À l’époque, la gendarmerie n’avait pas détaillé son modus operandi, reconnaissant toutefois avoir eu recours à trois « dispositifs techniques », dont deux couverts par le « secret défense ». La loi d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) de 2010 autorise en effet la « captation de données informatiques, une technique spéciale d’enquête prévue par le droit français » afin de « contourner l’obstacle du chiffrement et ainsi d’accéder à des données informatiques de manière invisible pour l’utilisateur ».
Droit EncroChat : le Conseil constitutionnel valide le secret défense sur les outils de captation Droit Vendredi 08 avril 2022 à 09h50 08/04/2022 09h50 6 Les journalistes d’investigation Bill Goodwin et Duncan Campbell (un ancien hacker radio connu pour avoir révélé l’existence du GCHQ et du programme anglo-saxon Echelon de surveillance satellite des communications) viennent néanmoins de révéler, dans Computer Weekly (CW) qu’à la demande de la justice britannique, une entreprise de cybersécurité tchèque a réussi, par rétro-ingénierie, à reconstituer le logiciel espion. Il aurait été développé par le « service technique national de captation judiciaire » (STNCJ), un service à compétence nationale rattaché au directeur technique de la direction générale de la sécurité intérieure (DGSI), créé en 2018 et chargé de la conception, de la centralisation et de la mise en œuvre de dispositifs techniques permettant l’activation à distance d’un appareil électronique, qui sont cela dit couvertes par le secret de la défense nationale. Une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes Encrochat aurait été développé par Paul Kursky, un Canadien d’une cinquantaine d’années vivant en République dominicaine.
D’après The Globe and Mail, il y avait été arrêté en 2022, avant d’être extradé en février 2024 en France, où, mis en examen pour une quinzaine de chefs d’accusation, il encourt une peine de 30 ans de prison, et plusieurs millions d’euros d’amendes. [Communiqué de presse] L’un des principaux dirigeants de la structure #EncroChat a été remis à la France le 02/02/24 à la suite d'un important travail de coopération avec @Eurojust et les autorités dominicaines.▶️Mis en examen, il a été placé en détention provisoire par le JLD. https://t.co/9JAuQ7tqwj pic.twitter.com/mGFeRS24i5— Samuel Finielz, procureur de Lille (@ProcureurLille) February 7, 2024 CW révèle pour sa part qu’en 2014, Kursky expliqua à l’un de ses partenaires avoir mis au point une « solution de sécurité » pour les smartphones Android, « à partir de plusieurs projets open source », dont Off-the-Record Messaging, le précurseur des messageries chiffrées, Guardian ROM, une version sécurisée d’Android développée par le Guardian Project, un collectif de développeurs œuvrant pour « les militants, les journalistes et les utilisateurs lambda qui accordent de l’importance à la vie privée et à la sécurité ». L’idée était de flasher un smartphone de sorte qu’il dispose d’une zone de stockage chiffrée dotée de son propre système d’exploitation, activable à partir d’une combinaison de touches spéciales offrant à ses utilisateurs la possibilité de nier de façon plausible (« déni plausible », ou « plausible deniability » en anglais) le fait qu’il s’agisse en réalité d’un « cryptophone ». L’abonnement coûtait 1 000 $ pour 6 mois, pour un téléphone qui, ironise CW, « pouvait parfois prendre en charge des appels téléphoniques », mais servait surtout à stocker des notes, échanger des messages et images avec des utilisateurs identifiables non via leurs noms ou n° de téléphones, mais via des pseudonymes « choisis au hasard ».
Leurs échanges étaient en outre automatiquement effacés au bout de 14 jours, ou dans un délai fixé par leurs expéditeurs. Capture d’écran du site d’EncroChat – archive.org Le smartphone pouvait également être effacé à distance par le revendeur ou le service d’assistance, et proposait plusieurs fonctionnalités visant à assurer « garantir l’anonymat » de ses utilisateurs, dont un code PIN spécifique destiné à la suppression immédiate de toutes les données sur l’appareil, et la suppression de toutes les données en cas de saisies consécutives d’un mauvais mot de passe. Une rétro-ingénierie de 70 % du logiciel espion des hackers de la DGSI Soutenez un journalisme indépendant, libre de ton, sans pub et sans reproche.
Accédez en illimité aux articles Profitez d'un média expert et unique Intégrez la communauté et prenez part aux débats Partagez des articles premium à vos contacts Abonnez-vous La suite de cet article est réservée à nos abonnés Soutenez un journalisme indépendant, expert et sans pub. Abonnez-vous sur next.ink/subs ben51 Premium Il y a 37 minutes Voir les réponses Message 1 Aller au commentaire enfant Signaler Bloquer cet utilisateur du moment que ça marche j'ai envie de dire pas besoins de faire dans la débauche de hacking de haut vole. ForceRouge Premium Modifié à l'instant En réponse à Message 1.1 Historique Signaler Bloquer cet utilisateur J'ai juste lu le titre et l'intro en gras (je lirais la suite ce soir au calme ), et même remarque :) tant que ca marche.
Je dirais même que c'est le but d'un projet open source d'être forké. Signaler un commentaire Voulez-vous vraiment signaler ce commentaire ? Non Oui