Ces dernières semaines, des logiciels espions ont été repérés à l’intérieur d’applications mobiles sur le thème du coronavirus, en Libye puis en Syrie. Cachés derrière des outils aux apparences anodines, on retrouve des acteurs au service d’États pas toujours bien intentionnés.

Ces dernières semaines, les Syriens, comme la plupart des utilisateurs de téléphones portables dans le monde, ont vu se multiplier les applications mobiles en lien avec le coronavirus. L’une d’elle, par exemple, propose à l’utilisateur de mettre son doigt sur l’écran et de l’alerter sur sa température : a-t-il ou non une fièvre indicatrice de la maladie ? Mais en voulant se rassurer avec cet outil, le propriétaire du téléphone a, sans le savoir, téléchargé un autre logiciel qui va discrètement l’espionner.

L’entreprise Lookout, spécialisée dans la sécurité des téléphones mobiles, a repéré dans le code de ces logiciels espions des éléments qui permettent de remonter jusqu’à leurs concepteurs : la Syrian Electronic Army. Ce groupe de pirates informatiques multiplie depuis le début de la guerre en Syrie les attaques contre les opposants à Bachar el-Assad. « Nous sommes certains à 100% de pouvoir leur attribuer la responsabilité, explique Bastien Bobe, expert sécurité chez Lookout. Ils n’ont même pas essayé de se cacher. »

Ce sont des lignes de code déjà observées par le passé dans des logiciels visant l’opposition syrienne qui ont mis la puce à l’oreille des enquêteurs numériques. De même, les adresses électroniques (IP) des auteurs de ces applications mènent à des infrastructures de télécommunications bien spécifiques. Le centre de commandement et de contrôle de ces outils est bien sous la tutelle de Damas.

Ce type de logiciels espions ne cesse de se répandre. « Il y en a vraiment beaucoup et ce, depuis des années, explique Rayna Stamboliyska, expert en cyber-sécurité et auteure du livre La face cachée d’Internet (Larousse, 2017). Il y a une mobilisation par des acteurs étatiques non démocratiques d’outils pour surveiller, voire pour contrôler les activités et les discours de franges de la population qui déplaisent. »

Il y a quelques semaines, Lookout avait déjà repéré une autre manœuvre de ce type, en Libye. Là aussi, les auteurs utilisaient une application sur le thème du coronavirus, qui donnait le nombre de malades dans le monde. Derrière, les malfaiteurs visaient à surveiller la population d’une région spécifique du pays. « Les États, notamment au Moyen-Orient, en Israël, mais nous l’avons vu aussi au Brésil, en Corée du Nord, en Chine, espionnent les populations civiles à travers leurs portables », constate Bastien Bobe.

En janvier 2018, cette même firme de sécurité avait remonté, avec l’aide de l’ONG Electronic Frontier Foundation, toute une campagne d’espionnage de ce type. Des milliers de victimes de 21 pays différents avaient vu les données de leurs téléphones portables aspirées. L’étude remonte la piste des pirates, baptisés « Dark Caracal », jusqu’à un bâtiment de la Sûreté générale libanaise à Beyrouth.

« Dans les années 2010, toutes les grandes plateformes d’internet ont basculé de l’ordinateur vers le mobile, analyse Rayna Stamboliyska. C’est pour ça que, par exemple, Facebook a racheté WhatsApp, Instagram ou encore le VPN Onavo. De l’autre côté, tous les acteurs étatiques ont suivi logiquement pour encadrer, surveiller et réprimer les usages de leurs populations, qui sont aujourd’hui majoritairement mobiles. »

Une épidémie d’applications piégées

En cette période de pandémie, les malfaiteurs de toutes sortes ont massivement recours à des faux évoquant le coronavirus. Qu’il s’agisse d’emails piégés ou d’applications proposant des services divers, ils misent sur l’inquiétude ou la curiosité des utilisateurs pour infecter leurs téléphones. Pour des cyber-criminels, il s’agit d’un bon camouflage pour accéder à des données bancaires ou à des éléments permettant d’exercer un chantage. Pour des services liés à des États, la logique est la même, mais elle permettra de surveiller une population ou des individus bien spécifiques.

Les malfaiteurs se cachent souvent derrière des logos ou des noms d’applications connus. « Telegram Covid_19 », en référence à la célèbre messagerie pour portable, par exemple. Ils mettent à disposition ces logiciels sur des magasins virtuels qui vont attirer les utilisateurs au prétexte de la gratuité ou de fonctionnalités supplémentaires. Et c’est ainsi que toute une toile de surveillance se tisse à l’insu des propriétaires des téléphones, qui ne remarquent rien. L’enquête de Lookout révèle qu’en Syrie, ces pratiques sont courantes : ils ont identifié 71 applications dédiées contenant des logiciels espions depuis janvier 2018.

« Pour un développeur senior, cela n’a rien de compliqué, explique Bastien Bobe. Il a ensuite accès aux mêmes éléments que le propriétaire du téléphone. » Dans l’exemple de l’application du faux thermomètre, le groupe de hackers lié au pouvoir en place à Damas peut ainsi surveiller tout ce qui se passe sur les téléphones infectés : carnets d’adresse, caméras, micros, SMS ou encore coordonnées GPS.