L’Agence de cybersécurité américaine sonne l’alarme, des hackers agissant pour des Etats contournent activement le chiffrement de Whatsapp et Signal
Un coup de semonce à l'heure où des projets de loi ont voulu ou veulent affaiblir le chiffrement des communications en ligne. CISA, l'agence américaine de cyberdéfense, publie un rapport expliquant que cyberacteurs malveillants, soutenus par des Etats, travaillent activement à contourner le chiffrement de bout en bout déployé dans certaines applications de messagerie, comme Whatsapp et Signal.
Les techniques de contournement utilisées permettent de pirater les comptes, mais également de fouiller discrètement un smartphone. Pour l'heure, les cibles visées sont décrites comme "des personnalités d'importance stratégique", d'actuelles ou d'anciennes personnalités politiques, des militaires, mais aussi des membres sensibles de la société civile (comme des opposants).
Une panoplie de solutions pour compromettre un appareil
Pour ce faire, les pirates utilisent diverses techniques. Tout d'abord, ils utilisent l'hameçonnage et des QR Codes, qui vont permettre de compromettre les comptes des victimes et les lier à des appareils contrôlés par un attaquant. Ainsi, les messages échangés seront également synchronisés sur un smartphone qui n'appartient pas à l'utilisateur, par exemple.
L'étude de la CISA a identifié deux entités de cyberhackers, Sandworm et Turla, qui ont ainsi tenté d'espionner des utilisateurs de Signal en abusant de la fonctionnalité "appareils liés", permettant de valider un autre appareil lié au compte, et donc d'avoir accès aux messages échangés. Pour réussir, ils incitaient les victimes à scanner un faux QR Code qui activait un second appareil.
Ensuite, les attaquants utilisent également des failles zero-click, qui, comme leur nom l'indique, ne demande aucune intervention de l'utilisateur. Même méfiant, même en faisant bien attention de ne pas cliquer sur les liens non sollicités, l'appareil peut ainsi être compromis.
Enfin, les pirates peuvent aussi recourir à de fausses applications qui usurpent l'apparence d'une application de confiance. Ainsi, une suite de logiciels espions sur Android, baptisée Clayrat, a été propagée sur des chaînes Telegram créées pour l'occasion, mais également via des faux sites se faisant passer pour Whatsapp, Tiktok et Youtube. Dès lors que l'application est installée et utilisée, le chiffrement de la communication est contourné sans que l'utilisateur ne soit au courant.
Autant d'exemples de ce que la CISA qualifie de "techniques sophistiquées de ciblage et d'ingénierie sociale". L'Agence précise qu'elles servent à "diffuser des logiciels espion afin d'obtenir un accès non autorisé aux applications de messagerie d'une victime, facilitant ainsi le déploiement de compromissions supplémentaires pouvant compromettre davantage le smartphone visé".
Des espiogiciels utilisés intensivement en coulisse
Ces attaques sont rendues possibles par l'utilisation de logiciels espions disponibles à la vente, comme Pegasus. La CISA indique ainsi être "consciente que plusieurs acteurs de la menace informatique utilisent activement des logiciels espions commerciaux pour cibler les utilisateurs d’applications de messagerie mobile".
Les opérations de compromission des smartphones sont le fait de plusieurs groupes de cyberpirates en lien avec des pays comme la Russie, explique le rapport.
La CICA rappelle au passage avoir interdit certains vendeurs de logiciels espions commercialisés de s'en prendre aux utilisateurs de Whatsapp, c'est le cas de l'entreprise israélienne NSO Group, qui a créé Pegasus. Ce dernier avait été au coeur d'un vaste scandale d'espionnage, notamment au sein des iPhone pourtant réputés plus sûrs.
Ces nouvelles menaces sont d'autant plus graves qu'elles permettent de contourner le chiffrement instauré par la plupart des applications de messagerie. Car si l'utilisateur donne (volontairement ou non) l'accès à son compte à un autre appareil, il n'y a plus besoin de faire sauter cette option permettant en théorie plus de confidentialité. De même, s'il ne sait pas qu'il a été infiltré, il ne peut pas se méfier d'une éventuelle fuite de ses échanges.