Nom : Detekt. Nature : anti-spyware. Environnement d’exécution : Windows. Particularité : est promu par plusieurs groupes de défense des droits civiques et des libertés à l’ère numérique.
Ce projet open source inscrit dans un contexte de lutte contre les opérations de cyber-surveillance visant les militants des droits de l’homme, les opposants à des régimes politiques, les minorités religieuses ou ethniques, les journalistes ou encore les chercheurs.
Haro sur ces pays, plus ou moins autoritaires, qui ont de plus en plus recours à des logiciels espions pour garder un œil sur leur population. Ils ont, depuis jeudi 20 novembre, un nouvel ennemi : Detekt. Cet outil, lancé par Amnesty International, en partenariat avec les ONG Privacy International, Electronic Frontier Foundation et Digitale Gesellschaft, permet de savoir si un gouvernement s’intéresse de trop près à l’activité en ligne de certains internautes.
“Ce n’est pas une arme anti-NSA, qui fait de la surveillance de masse, mais plutôt un logiciel destiné à lutter contre l’espionnage ciblé dont sont prioritairement victimes des journalistes et des défenseurs des droits humains dans les régimes autoritaires”, explique à France 24 Nicolas Krameyer, responsable du programme “personnes en danger et liberté d’expression” à Amnesty International France.
Pour aider journalistes et militants des droits humains à se protéger de l'espionnage des gouvernements, Amnesty International et trois autres organisations non gouvernementales ont annoncé jeudi 20 novembre le lancement d'un outil gratuit qui pourra vérifier si leurs ordinateurs sont surveillés par des logiciels espions.
Ce logiciel, baptisé « Detekt », est présenté comme le premier de ce genre à destination du public afin de détecter « sur les ordinateurs et les appareils mobiles, les principaux logiciels de surveillance connus, dont certains sont utilisés par des gouvernements », explique Amnesty International dans un communiqué.
Les gouvernements ont de plus en plus souvent recours à des technologies « qui leur permettent de lire les courriels privés de militants et journalistes et d'allumer à distance la caméra et le microphone de l'ordinateur de ceux-ci afin d'enregistrer subrepticement leurs activités », a expliqué Mark Marczynski, un cadre d'Amnesty.
« Contre-attaquer »
Comme le rappelle le Guardian, le marché des technologies d'espionnage et de surveillance est en pleine expansion. Il est estimé à environ 3,8 milliards d'euros.
Detekt est destiné à avertir de ce genre d'intrusion afin « de contre-attaquer » face à des gouvernements qui utilisent certaines des informations recueillies pour « soumettre défenseurs des droits humains et journalistes à des arrestations arbitraires, des détentions illégales, voire à la torture », a-t-il ajouté.
Conçu par Claudio Guarnieri, chercheur allemand spécialisé dans les questions de sécurité, Detekt est lancé par Amnesty International en collaboration avec les organisations Digitale Gesellschaft, Electronic Frontier Foundation et Privacy International.
Actuellement, Detekt peut dénicher huit logiciels espions : DarkComet RAT, XtremeRAT, BlackShades RAT, njRAT, FinFisher FinSpy, HackingTeam RCS, ShadowTech RAT et Gh0st RAT. Tous ces logiciels font partie de la catégorie « Remote Access Trojans » (RAT), c’est-à-dire qu’ils donnent accès à distance aux ressources de l’ordinateur qu’ils infectent. Ils permettent, par exemple, de lire des emails privés ou d’allumer la webcam et le micro pour enregistrer les activités d’une personne.
Toutefois, l’outil est fourni sans garantie. S’il ne trouve rien, cela ne veut pas dire que l’ordinateur n’est pas sous surveillance. Habituellement, les éditeurs de ce type de logiciels réagissent assez vite et vont tout faire pour ne pas être détectés. En revanche, si un mouchard est détecté, les associations recommandent de déconnecter immédiatement la machine de l’Internet et d’entrer en contact avec l’un de leurs experts.
Contre le très lucratif marché des logiciels espions
Detekt est aussi une manière de dénoncer le commerce, de plus en plus important, de ces logiciels espions “essentiellement par des entreprises nord-américaines ou européennes qui les vendent aux régimes autoritaires”, note Nicolas Kramayer. Ce marché représente environ quatre milliards de dollars (3,2 milliards d’euros), d’après Global cause, une coalition contre l'exportation illégale de technologies de surveillance. L’une des stars de ce secteur est FinSpy, développé par la société allemande FinFisher. Ce logiciel très prisé, notamment par le Turkménistan, Singapour ou Bahreïn, permet aux cyberespions d'écouter librement les conversations Skype, lire les mails, prendre le contrôle d’une webcam ou encore télécharger des fichiers sur le disque dur. “C’est un commerce qui n’est absolument pas régulé au niveau international et demeure très opaque. Nous espérons que Detekt permettra de sensibiliser les internautes à ce sujet”, affirme Nicolas Kramayer.
Mais ce nouvel outil n’est pas l’arme ultime. “Ce logiciel n'offre pas une protection parfaite contre la cybersurveillance étatique, c’est un plus qui leur complique la tâche”, prévient Alexander Sander. Detekt ne détecte, en effet, que les programmes espions connus. C’est une liste qui n’est forcément pas exhaustive dans un secteur où le secret et l’opacité sont de bons arguments de vente pour les entreprises commercialisant ce type de solution.
Face à Detekt, ces sociétés, comme Finfischer, le Français Atos et d’autres, ne resteront sans doute pas les bras croisés. “D’ici à quelques semaines, elles auront mis à jour leurs produits pour échapper à la vigilance de Detekt”, prédit Nicolas Kramayer. C’est l’inévitable jeu du chat et de la souris entre les logiciels de détection et les programmes malveillants.
Sur ce terrain, Amnesty International et la Digitale Gesellschaft n’ont pas les mêmes moyens que ces groupes privés. “Nous n’avons, à l’heure actuelle, pas les moyens pour qu’une personne travaille à temps plein pour mettre à jour la base des logiciels espions qui doivent être détectés”, regrette Alexander Sander. Il espère que ce projet suscite des dons afin de pouvoir continuer à travailler efficacement.
Cet expert allemand veut aussi croire qu’un autre facteur joue en faveur de Detekt : son caractère open-source. C’est-à-dire que n’importe qui peut aller farfouiller dans le code (le cœur du programme) afin d’identifier d’éventuels bugs.
Detekt fonctionne comme un anti-virus mais qui ne s’intéresse pas au commun des virus. “Il va scanner un ordinateur pour tenter d’y déceler la présence de toute une série de logiciels espions, dont nous connaissons l’existence et dont nous savons qu’ils sont vendus à des États dans le but de leur permettre de faire de la cybersurveillance”, précise Alexander Sander, directeur de projets à la Digitale Gesellschaft, une association allemande qui a conçu ce logiciel.
Concrètement, il suffit de télécharger le logiciel, de lancer le scan et de laisser Detekt tourner quelques heures pour qu’il aille chercher dans les entrailles de l’ordinateur la présence éventuelle de programmes indésirables. “Il faut aussi couper l’accès à Internet afin que les logiciels espions les plus perfectionnés ne se mettent pas à jour pour échapper à Detekt pendant son scan”, ajoute Alexander Sander.
“Lors de nos tests, nous avons pu constater qu’il fonctionnait et il a déjà réussi à détecter la présence de logiciels espions sur des ordinateurs”, raconte Nicolas Kramayer, qui refuse de préciser quels États sont concernés par ces essais fructueux. A priori, les régimes autoritaires versés dans ce genre de pratiques, comme le Bahreïn ou le Vietnam, sont les plus susceptibles de voir d’un mauvais œil l’arrivée de Detekt. Mais des États, dits démocratiques, comme l’Australie et l’Allemagne ont également eu recours à ces pratiques, selon Nicolas Kramayer. Detekt est d’ailleurs disponible au téléchargement pour les internautes du monde entier.
En version 1.2, le logiciel recèle encore de nombreux bugs, comme le reconnaît son créateur. Mais il est déjà capable de détecter de nombreux signes d’infection par des chevaux de Troie accessibles à distance (RAT, pour « Remote-Access Trojans »). DarkComet, BlackShades, Gh0st, ShadowTech… Autant de programmes utilisés notamment dans le cadre d’opérations de surveillance « à long terme » menées par des États-nations.
Certains se trouvent tout simplement sur Internet, intégralement libres de droits. D’autres sont commercialisés par des sociétés privées à des agences de renseignement. Illustration avec FinSpy, ce cheval de Troie qui contrôle l’activité des machines qu’il infecte et récupère des informations confidentielles comme des mots de passe, des historiques de conversation sur Skype, des données de géolocalisation ou encore des coordonnées bancaires.
Il ne s’agit en fait que d’une composante de la solution de contrôle à distance FinFisher, que le groupe Gamma développe via sa filiale allemande basée à Munich. Mais il a déjà constitué le coeur d’action de nombreuses attaques ciblées aux motivations essentiellement politiques, par exemple au Bahreïn face à des activistes démocrates et dans le cadre des élections présidentielles en Malaisie, l’année dernière.
Detekt ne fonctionne pas comme un antivirus : il ne supprime aucun fichier. Si des menaces sont détectées, l’utilisateur doit considérer que sa machine n’est plus suffisamment sûre, la déconnecter d’Internet et consulter un professionnel. Avant d’installer Detekt, il faut s’assurer d’avoir fermé tous les programmes en cours : certains sont faussement détectés comme des logiciels espions. Surtout… les antivirus. Autres vérifications à effectuer : disposer d’un OS compatible (de Windows XP à Windows 8 en 32 ou 64 bits ; uniquement en 32 bits pour Windows 8.1) et d’une version suffisamment récente des librairies Python, Yara, Volatility et Winmpem.
A l’origine de ce logiciel disponible en six langues dont l’anglais, l’italien et l’espagnol (mais pas le français), le développeur Claudio Guarnieri enregistre aussi le soutien de l’association allemande Digitale Gesellschaft et de l’ONG britannique Privacy International. Ces dernières ont contribué à la mise en avant de Detekt via le site Web resistsurveillance.org.