Avertissement | Les services de renseignement libanais ont utilisé vos smartphones en machines de cyber-espionnage

Selon les chercheurs, les services de renseignement libanais ont peut-être transformé les smartphones de milliers de personnes ciblées en machines de cyber-espionnage dans l’un des premiers exemples connus de piratage informatique à grande échelle de téléphones plutôt que d’ordinateurs.

La direction générale de la sécurité générale du Liban (GDGS) a mené plus de 10 campagnes depuis au moins 2012 visant principalement les utilisateurs de téléphones Android dans au moins 21 pays, selon un rapport de la société de sécurité mobile Lookout et du groupe de défense des droits numériques Electronic Frontier Foundation.

Les cyber-attaques, qui ont pris le contrôle des smartphones Android, ont permis aux pirates de les transformer en dispositifs de surveillance des victimes et de leur voler toutes les données non détectées, ont indiqué jeudi les chercheurs. Aucune preuve n’a été trouvée que les utilisateurs de téléphone d’Apple ont été visés, mais cette information reflète la popularité d’Android au Moyen-Orient.

Les auteurs du rapport, surnommés « Dark Caracal » d’après un chat sauvage originaire du Moyen-Orient ont utilisé des attaques de phishing et d’autres moyens pour attirer les victimes dans le téléchargement de fausses versions d’applications de messagerie cryptées.

Michael Flossman, le principal chercheur du groupe en matière de sécurité, a déclaré à Reuters qu’EFF et Lookout avaient profité de l’incapacité du groupe de cyber-espionnage au Liban à sécuriser leurs propres serveurs de commande et de contrôle, créant ainsi une ouverture pour les relier au GDGS.

Dark Caracal a concentré ses attaques sur les responsables gouverne-mentaux, les cibles militaires, les services publics, les institutions financières, les entreprises manufacturières et les entrepreneurs de la défense, selon le rapport.

Les chercheurs ont trouvé des preuves techniques reliant les serveurs utilisés pour contrôler les attaques à un bureau GDGS à Beyrouth en localisant les réseaux Wi-Fi et l’adresse de protocole Internet dans ou à proximité du bâtiment. Ils ne peuvent pas dire avec certitude si la preuve montre que GDGS est responsable, ou est le travail d’un employé voyou.

Le malware, une fois installé, pourrait faire des choses comme prendre des photos à distance avec la caméra avant ou arrière et activer silencieusement le microphone du téléphone pour enregistrer les conservations, selon les chercheurs.

Répondant à une question de Reuters sur les allégations formulées dans le rapport, le général de division Abbas Ibrahim, directeur général de GDGS, a déclaré qu’il voulait voir le rapport avant de commenter son contenu. Il a ajouté : « La sécurité générale n’a pas ce type de capacités. Nous souhaitons avoir ces capacités. »

Lookout a révélé avoir découvert des outils d’espionnage et une mine massive de centaines de gigaoctets de données volées sur les téléphones de milliers de victimes, notamment des SMS, des contacts, des conversations cryptées, des documents audio et des photos.

Les cibles se trouvaient principalement au Liban et dans la région environnante, y compris en Syrie et en Arabie Saoudite, mais pas en Iran ou en Israël, deux cibles fréquentes des cyber-espions du gouvernement. Les victimes ont également vécu dans cinq pays européens : la Russie, les Etats-Unis, la Chine, le Vietnam et la Corée du Sud, ont indiqué des chercheurs.

Les chercheurs ont notifié Google, le développeur du système d’exploitation Android, fin 2017. Google a travaillé en étroite collaboration avec les chercheurs pour identifier les applications associées à cette attaque, dont aucune n’était disponible sur le Google Play Store pour les utilisateurs de téléphones Android, selon un porte-parole de l’entreprise.

Google Play Protect, le système de sécurité unifié de la société Internet qui fonctionne sur de nombreux smartphones Android, a été mis à jour pour protéger les utilisateurs contre ces applications malveillantes et il est en train de les retirer de tous les téléphones concernés, a précisé le porte-parole.

Les attaquants ont emprunté du code pour créer leur propre logiciel malveillant à partir de sites de développeurs, tout en s’appuyant sur l’ingénierie sociale pour inciter les gens à cliquer sur les liens qui les ont envoyés vers un site appelé SecureAndroid, un faux app store Android.

Là, les utilisateurs ont été encouragés à télécharger des versions fausses mais fonctionnelles des applications de messagerie cryptées et des outils de confidentialité tels que WhatsApp, Viber et Signal, que Flossman a promis aux victimes de sécuriser les logiciels « mieux que l’original ».

Lookout a trouvé des liens entre les attentats liés au Liban et ceux liés au gouvernement kazakh en Asie centrale en 2016 dans un rapport intitulé «Operation Manual» par le FEP et d’autres experts. Les deux groupes de recherche ont accepté de faire équipe et croient maintenant que le groupe kazakh était un client des hackers basés au Liban.