Imaginez ceci : une application qui semble inoffensive, peut-être un suivi météo ou un organiseur de fichiers. Mais derrière son interface conviviale se cache BadBazaar, un logiciel espion conçu pour voler vos données personnelles, votre emplacement, vos contacts et même vos conversations privées à votre insu.
Il y a aussi Pegasus, le joyau de l’espionnage informatique. Il n’est pas nécessaire de cliquer sur un lien ou de télécharger quoi que ce soit. Il s’infiltre silencieusement dans votre appareil, donnant aux pirates la maîtrise totale sur vos appels, vos messages et même votre microphone.
Il ne s’agit pas seulement de données personnelles. Il s’agit de pouvoir.
Le cyberespionnage est devenu l’arme ultime de la géopolitique moderne. Les nations s’espionnent mutuellement, les entreprises volent des secrets commerciaux, les militants sont réduits au silence par des régimes autoritaires. Ces outils réécrivent les règles de la guerre, de la diplomatie et de la démocratie.
Lorsque nous pensons aux logiciels espions, nous imaginons souvent des hackers obscurs dans des pays lointains, mais la vérité est plus proche de chez nous. Les logiciels espions sont partout. Certains sont sophistiqués, comme Pegasus. D’autres sont rudimentaires mais tout aussi efficaces, comme les applications bon marché qui suivent votre localisation. Le point commun entre tous ces logiciels est qu’ils exploitent l’appareil que vous emportez avec vous tous les jours : votre smartphone.
- Votre téléphone sait où vous vous trouvez
- à qui vous parlez
- ce que vous recherchez
- ce que vous achetez
- et même comment vous vous déplacez
Il n’est donc pas surprenant qu’il soit devenu la cible privilégiée de la surveillance. Mais dans quelle mesure cette surveillance est-elle légitime, dans quelle mesure est-elle malveillante, et dans quelle mesure se déroule-t-elle à votre insu ?
L’un des principaux outils utilisés est le logiciel espion
Un logiciel espion est un logiciel malveillant conçu pour compromettre les smartphones, les appareils réseau ou les ordinateurs à des fins d’espionnage. Il collecte des informations sensibles, assure une surveillance continue et exfiltre toutes ces données vers les serveurs de l’attaquant. Il existe des logiciels espions pour tous les systèmes : ordinateurs de bureau, smartphones, appareils IoT, etc.
Tous les logiciels espions sont-ils malveillants ? Oui. Leur objectif même est d’extraire des informations à l’insu de l’utilisateur, c’est ce qui les caractérise. Les appareils que nous avons toujours sur nous, nos smartphones, sont les principales cibles. L’espionnage mobile est un problème de sécurité majeur en raison de leur utilisation généralisée. Presque tout le monde possède un smartphone, parfois deux, et ceux-ci stockent d’énormes quantités d’informations personnelles et sensibles en un seul endroit. Cela les rend extrêmement attrayants pour les attaquants.
Tous les logiciels espions sont malveillants, car leur objectif est d’extraire des informations à l’insu de l’utilisateur. La raison est que l’espionnage mobile est un problème de sécurité, car ces appareils sont largement utilisés par de nombreuses personnes. Et pas seulement le propriétaire, mais aussi sa famille, ses amis, les photos de ses enfants, tout.
Les messages privés
C’est ce qui m’effraie le plus quand je lis que même les messages privés, qui devraient normalement être chiffrés entre deux personnes, peuvent être interceptés. Eh bien, les logiciels espions peuvent contourner ce chiffrement. Dans ce cas, le chiffrement n’a aucune importance, car les messages peuvent être exfiltrés avant d’être chiffrés.
Sur le plan technique, comment un tel logiciel peut-il se retrouver sur mon téléphone ? Il existe plusieurs façons, mais je dirais qu’il y en a trois principales.
Comment infiltrer un smartphone ou un appareil ?
La première consiste à utiliser un logiciel espion malveillant que la victime doit télécharger et installer. La victime doit être amenée à croire que l’application n’est pas malveillante, qu’elle est utile et qu’elle doit rester sur le smartphone le plus longtemps possible. Ainsi, l’attaquant peut continuer à surveiller et à recueillir des informations.
La deuxième méthode combine le phishing et l’ingénierie sociale. Le phishing est une technique par laquelle que les attaquants veulent essayer d’obtenir des informations confidentielles, par exemple des identifiants d’accès à des réseaux internes ou à des applications de messagerie sur les réseaux sociaux.
L’ingénierie sociale, quant à elle, consiste à faire croire à quelqu’un que ce que vous dites est vrai, c’est-à-dire à lui faire croire que le site web qu’il veut essayer de visiter est légitime et qu’il doit saisir ses données. Cette technique est largement utilisée non seulement dans les logiciels espions, mais aussi dans de nombreuses activités malveillantes sur internet. Elle est très populaire et facile à mettre en œuvre, car elle ne nécessite aucune compétence technique de la part de l’attaquant. En fait, n’importe qui peut créer un tel scénario et l’utiliser dans la nature.
La troisième façon dont cela peut arriver sur mon appareil est la plus sophistiquée. Elle consiste à abuser ou à exploiter les failles de sécurité des logiciels ou des applications qui fonctionnent sur l’appareil. Mais il n’y a aucun moyen pour moi de me protéger contre cela en tant qu’utilisateur. Je peux penser à deux cas où vous pouvez vous protéger contre les exploits, et dans l’autre cas, il n’y a aucun moyen de se protéger.
Il existe 2 types d’exploits
Le premier concerne les exploits et les vulnérabilités qui ont déjà été divulgués. Il existe des correctifs, la dernière mise à jour du système des applications peut empêcher l’infiltration. Mettez toujours à jour votre système d’exploitation.
Et le second concerne les zero days, c’est-à-dire les problèmes de sécurité au sein des systèmes d’applications qui n’ont pas été divulgués. Personne ne peut donc les identifier. Il est très difficile de s’en protéger et, à mon avis, il n’y a probablement rien à faire.
Y a-t-il quelque chose de spécifique aux téléphones mobiles qui les rend plus vulnérables à ces menaces ? Ou sont-ils aussi vulnérables que les ordinateurs ou les appareils IoT, par exemple ? Il y a une différence entre les smartphones et les autres appareils, les ordinateurs portables, les ordinateurs de bureau, car au moins quand je termine mon travail sur mon ordinateur portable, je ferme le couvercle et l’appareil est éteint. Il n’est pas connecté à internet. Contrairement aux smartphones qui sont connectés à internet 24 heures sur 24, 7 jours sur 7, du moins les miens qui ne sont jamais éteints.
Ils exécutent souvent plus d’une centaine d’applications différentes, ce qui peut créer un premier accès pour les acteurs malveillants qui exploitent les vulnérabilités. Nous les emportons avec nous, donc ils peuvent suivre notre localisation. Peuvent-ils nous écouter ? Oui, Pyro a la capacité d’activer le microphone, d’enregistrer les appels téléphoniques et les sons environnants, et oui, ils peuvent nous écouter. Donc les téléphones portables sont plus vulnérables en raison de ce que nous en faisons et de la façon dont nous les utilisons, et non en raison de leur conception.
Il y a autre chose aussi : leur conception par rapport aux ordinateurs portables, car ils disposent de diverses interfaces (Wi-Fi, Bluetooth, NFC, modules GSM) et ces interfaces communiquent avec le monde extérieur à l’insu du propriétaire, ce qui signifie que si nous avons un smartphone dans notre poche, il veut essayer de rechercher des réseaux Wi-Fi auxquels se connecter.
Est-ce que je connais le réseau ? Si oui, je peux me connecter. Les appareils Bluetooth et le paiement NFC sont toujours activés s’ils sont activés. Avec le GSM, nous pouvons recevoir des messages et des appels à tout moment, ce qui est un autre facteur.
Comment une attaque peut se présenter
Les appareils à portée de Bluetooth peuvent maîtriser l’exécution de leur propre code sur le smartphone ciblé. C’est donc l’un des cas réels qui pourraient être utilisés à mauvais escient.
Hypothétiquement, je me promène avec mon smartphone et mon Bluetooth est toujours activé, car parfois je veux le connecter à mes écouteurs ou autre. Il y a un acteur malveillant quelque part à proximité et il utilise le script blue deck pour faire son travail et installer un logiciel espion sur mon téléphone. Il pourrait scanner les appareils. Pas seulement un appareil, une cible, mais tous ceux qui sont vulnérables. C’est encore une fois la raison pour laquelle il faut mettre à jour vos appareils.
- Dois-je donc désactiver mon Wi-Fi, mon réseau, mon Bluetooth, tout ?
- Dois-je le faire à moins de les utiliser activement ?
- À mon avis, oui.
Si vous ne les utilisez pas, je pense que vous devriez les désactiver. Cela permet d’économiser la batterie. Cela réduit tout impact malveillant, même si nous pensons ne pas être les cibles, mais cela concerne également les mises à jour. Donc, si vous ne les utilisez pas, désactivez-les.
Si vous ne payez pas au magasin, désactivez le NFC. Et vous pourriez même vous éviter de recevoir des photos non sollicitées.
Les logiciels espions Bad Bazaar
Bat Bazar était une attaque sponsorisée par un Etat. Une menace persistante avancée. L’outil ciblait les smartphones, en particulier les appareils Android, avec une technique spéciale. Parce que l’objectif des logiciels espions est toujours d’infiltrer le smartphone et de rester sur l’appareil aussi longtemps que possible, si le logiciel espion agit comme une application qui ne fonctionne pas, la plupart d’entre nous, y compris moi-même, désinstalleraient l’application, car je n’ai bien sûr pas besoin d’une application qui ne fonctionne pas.
L’objectif est donc de créer une application personnalisée qui a certaines fonctionnalités ou de trojaniser des applications populaires utilisées par de nombreuses personnes. Cela signifie que quelque chose qui n’était pas malveillant est associé à quelque chose de malveillant, puis distribué aux cibles. Mais l’application non malveillante ne sait pas qu’elle est associée à une application malveillante.
Le logiciel légitime ou le développeur ne peut pas savoir que quelqu’un utilise son application à mauvais escient. C’est très important. Le prochain objectif de l’acteur malveillant est donc de distribuer cette application malveillante groupée à des cibles potentielles et, pour cela, il utilise un site web d’atterrissage plus crédible. Il crée donc un site web qui usurpe l’identité d’une application légitime de messagerie secrète et le distribue aux cibles. Si celles-ci pensent que l’application est légitime, elles la téléchargent et commencent à l’utiliser, ce qui signifie que l’application reste sur leur smartphone, mais qu’en même temps, une surveillance espionne se déroule en arrière-plan.
Source sur welivesecurity.com : BadBazaar espionage tool targets Android users via trojanized Signal and Telegram apps
Quelles sont exactement les capacités de Bad Bazaar ?
En fait, il peut voler diverses informations sensibles sur les utilisateurs à partir du smartphone. En plus de cela, une nouvelle fonctionnalité que nous n’avions jamais vue auparavant était la façon dont l’acteur malveillant pouvait coupler son smartphone, ses appareils, avec un compte Signal ciblé. Cela signifie que sans aucune authentification, sans aucun mot de passe, ils pouvaient accéder, échanger des messages, passer des appels et voir les contacts. Oui, même passer des appels. Ils ont les mêmes privilèges, le même accès au compte Signal que l’utilisateur.
Comme il est très simple et facile de combiner une application légitime avec un code malveillant, et pas seulement un logiciel espion, nous pouvons parler de toutes les autres menaces :
- logiciels malveillants bancaires,
- chevaux de Troie SMS,
- logiciels publicitaires, etc.
Repérer et supprimer les logiciels espions sur smartphone
Souvent, il peut y avoir des indicateurs très simples, comme le fait que le logiciel espion fonctionne en arrière-plan, qu’il peut localiser les communications réseau. Il peut suivre la localisation, les messages, enregistrer des fichiers audio, des photos, etc. Ce qui signifie qu’il consomme plus de la batterie. Le smartphone peut surchauffer. La consommation de données internet est plus importante. Un peu comme s’il était connecté à un botnet.
Ces signes ne sont pas toujours présents. Ce que je conseillerais, si je soupçonnais un problème avec mon smartphone, c’est de parcourir la liste des applications installées et de vérifier manuellement s’il y en a certaines que je n’ai pas installées, que je ne reconnais pas, et de vérifier leurs autorisations afin qu’il soit impossible qu’un logiciel espion soit installé sur mon téléphone.
Si le logiciel malveillant ou espion se fait passer pour une mise à jour du système, beaucoup de gens se diront : « Bon, je ne touche pas à ça. Je ne peux pas le désinstaller. Il doit rester là. » Est-ce le cas ? Pour de nombreuses infiltrations, oui, c’est le cas. Il est donc très difficile de déterminer si l’application est légitime ou non, car les applications système pourraient en fait utiliser vos autorisations pour accéder à vos informations personnelles.
Le prochain objectif ou la prochaine idée, même sans les passer en revue manuellement, serait d’utiliser un outil d’automatisation, un outil de sécurité mobile à jour qui fait le travail pour le propriétaire, analyse automatiquement les applications, trouve, informe, supprime… C’est à mon avis le moyen le plus rapide d’identifier et de se débarrasser des mauvaises applications.
La meilleure façon de créer un logiciel espion, dont le but est d’espionner le propriétaire de l’appareil à son insu, serait de créer un logiciel espion qui est introuvable, qui n’apparaît pas dans la liste des applications, qui n’est pas sur l’écran d’accueil, qui est complètement invisible. Ce serait le scénario idéal. Mais ce n’est pas possible. Il existe des cas où il est possible d’avoir un logiciel espion qui n’apparaît pas dans la liste, qui n’est pas visible, qui n’est pas traçable. Mais dans ce cas, nous parlons de logiciels très sophistiqués tels que Pegasus.
A lire sur notre blog ⇒ Eviter et identifier les logiciels malveillants
Pegasus
Il fait l’actualité depuis des années, et peut-être encore plus ces derniers temps. C’est l’un des outils d’espionnage les plus populaires qui cible les smartphones et les appareils intelligents.
Pegasus est créé par des entreprises. Les entreprises le vendent aux gouvernements et les gouvernements l’utilisent. L’idée est d’utiliser cet outil contre le terrorisme et le crime organisé. Cela semble légitime. Cela semble être une bonne utilisation. Mais, mais, il y a toujours un « mais », le gouvernement est dirigé par des personnes et ces personnes commencent à utiliser le logiciel à mauvais escient pour espionner les politiciens de l’opposition, les journalistes qui ne sont pas d’accord avec la politique, les dissidents, les militants et autres. La population générale pourrait-elle être visée ? Je ne pense pas que la population générale soit la cible de Pegasus. Il y a plutôt des cibles spécifiques, des individus spécifiques.
Ce n’est pas comme si un gouvernement décidait d’espionner tous ses citoyens et de déployer Pegasus sur plusieurs millions de personnes. Cela n’a pas de sens, car Pegasus coûte plus d’un million de dollars. C’est donc un outil très coûteux pour espionner les citoyens s’il n’y a pas d’objectif réel ou de résultat spécifique attendu par le gouvernement. Je ne pense donc pas que ce soit le cas.
Donc, Pegasus est intraçable. Exactement. Ce qui est le plus intéressant avec Pegasus, c’est qu’au lieu de télécharger une application comme je l’ai mentionné précédemment ou de visiter un site web de phishing, celui-ci peut infiltrer l’appareil sans aucune interaction de l’utilisateur en exploitant les vulnérabilités des smartphones. C’est ce qu’on appelle le « zero click ».
Le « zero click » du « zero day »
Sans que l’utilisateur ne fasse quoi que ce soit ou ne sache quoi que ce soit, il peut simplement apparaître sur l’appareil. Pour illustrer le scénario, dans le passé, il était distribué par SMS, où l’acteur malveillant n’avait besoin que d’un numéro de téléphone. Il envoyait un SMS spécialement conçu. Le SMS était reçu automatiquement, comme je l’ai mentionné précédemment, car il communique avec le monde extérieur et le simple fait de le recevoir exploitait la vulnérabilité. Aucune interaction de l’utilisateur n’était nécessaire.
Le SMS était ensuite supprimé et s’autodétruisait. Il déclençait une chaîne d’exploitation, téléchargeait Pegasus, qui était ensuite stocké dans les répertoires du système, ce qui signifie qu’il n’apparaissait pas dans la liste des applications de l’utilisateur. Donc, ce n’est pas toujours indiqué si c’est un gouvernement, car souvent, si un gouvernement fait un achat d’une telle ampleur, il est probablement divulgué d’une manière ou d’une autre au public.
L’objectif est de garder le silence. Il s’agit d’informations confidentielles qui ne sont pas destinées au public, et si elles sont divulguées, cela signifie qu’il y a eu un lanceur d’alerte, que certains documents ont été divulgués alors qu’ils n’étaient pas destinés à l’être, et qu’il y a alors des mesures qui sont prises, très probablement des années après l’espionnage, avec un gouvernement différent.
Quelle est la principale différence entre Bad Bazaar et Pegasus, mis à part la façon dont il s’introduit dans votre appareil ?
Il y a quelques différences, mais ces différences ne concernent que la mise en œuvre et la manière dont elle est mise en œuvre, ce qui signifie qu’ils pourraient avoir des fonctionnalités dans le même ordre d’idées, des fonctionnalités malveillantes pour accéder aux données. Mais ils ont décidé de ne pas les divulguer, probablement en raison de toutes les autorisations requises.
Pegasus dispose de plus de fonctionnalités pour collecter des informations et assurer une surveillance continue. Il n’est pas si facile de le supprimer, il permet de voler des SMS, d’activer l’appareil photo, le microphone, d’accéder aux contacts, d’échanger des messages sur les réseaux sociaux, les applications de messagerie, etc.
Des outils tels que Pegasus devraient être réglementés à l’échelle mondiale, étant donné qu’ils ont été utilisés à mauvais escient. Il existe certaines réglementations, certaines sanctions contre les entreprises qui vendent ce type de logiciels, mais à mon avis, je ne pense pas que cela soit suffisant pour empêcher la production et la vente de ces logiciels aux gouvernements, car il y a toujours une demande. Et il y aura une entreprise qui sera créée le lendemain, la semaine prochaine. Il y aura des dérivés pour contourner les règles ou les restrictions.
Comment puis-je m’en débarrasser ?
Le logiciel espion Pegasus peut simplement s’installer sur mon appareil à mon insu et y rester pour toujours. C’était possible à l’époque. De nos jours, s’il est stocké dans la partition système du smartphone, cela est très difficile, voire impossible, car une réinitialisation d’usine ne permet pas de se débarrasser de l’application de l’autre côté.
D’un autre côté, les logiciels espions en-dehors de Pegasus sont beaucoup plus faciles à supprimer. Comme je l’ai déjà dit, il existe des méthodes manuelles qui consistent à parcourir la liste des applications et à faire défiler manuellement pour identifier l’application.
La défense est donc très facile une fois que le problème est identifié. C’est très important. Il n’y a pas d’outil, d’application ou de solution spécifique que je dois utiliser pour me débarrasser de logiciels malveillants tels que les logiciels espions, à la condition que vous puissiez identifier l’application. Mais c’est difficile de trouver le problème. Donc, si vous ne trouvez pas le problème, je vous suggère d’utiliser des outils qui pourraient identifier le problème s’il existe et qui se débarrassent automatiquement des logiciels espions.Je veux dire un logiciel de sécurité qui analyserait l’appareil et protégerait le smartphone contre les menaces liées aux applications que vous et moi téléchargeons sur nos appareils.
⇒ Les meilleurs navigateurs privés pour une navigation sécurisée
La prévention est un objectif
Il faut d’abord être conscient de la prévention, être conscient des risques, ne pas installer d’applications provenant de sources non légitimes, ne pas leur accorder des autorisations étendues qui leur permettraient d’accéder à des informations privées. Et si c’est le cas, nous devons comprendre pourquoi nous accordons toutes ces autorisations et nous protéger contre les logiciels espions de niveau gouvernemental.
Il est toujours bon de se tenir au courant des mises à jour des applications que nous avons installées, car les logiciels peuvent exploiter des failles dans les applications populaires, pas seulement dans le système lui-même, ils peuvent mettre à jour le système lui-même.
Il est possible que non seulement les zero days, c’est-à-dire les problèmes de sécurité qui n’ont pas encore été divulgués et pour lesquels des correctifs ont été déployés, soient utilisés à mauvais escient, mais aussi que les problèmes de sécurité qui ont été corrigés soient exploités pour essayer de cibler les appareils qui n’ont pas été mis à jour. Nous l’avons déjà vu par le passé. Il est donc important de rester à jour, et je pense que c’est tout ce que nous pouvons faire contre les logiciels espions de niveau étatique.
Quels seraient les principaux conseils à donner pour rester en sécurité ?
- Je pense qu’il est important de télécharger des applications dont on connaît le fonctionnement à partir de sources légitimes et de toujours réfléchir à leur fonctionnalité.
- Je conseille également de lire les critiques et les commentaires sur les boutiques en ligne, pour savoir si l’application a des fonctionnalités douteuses ou si elle fait quelque chose qu’elle ne devrait pas faire. Une lampe de poche n’a pas besoin de lire vos messages, par exemple. C’est un signal d’alarme pour tous ceux qui souhaitent installer l’application.
- N’installez des applications qu’à partir de sources officielles. Veillez à ne pas visiter de sites web de phishing, ce qui signifie, dans l’idéal, prendre le temps de vérifier si le site web est légitime ou non. Il existe des logiciels pour cela.
- Et le dernier, je dirais que même si vos comptes sur les réseaux sociaux ou vos comptes financiers sont compromis par un malware de phishing, etc., je vous conseille d’utiliser l’authentification multifactorielle pour empêcher l’accès à votre compte. Il est ainsi plus difficile d’accéder à vos fonds et à vos services.
