Alors que les rumeurs se font insistantes sur l’origine française du logiciel espion Barbar, lié à l’opération Snowglobe, les experts du G DATA SecurityLabs ont analysé le code malveillant mentionné par les documents du Centre de la sécurité des télécommunications du Canada (CSEC), communiqués par Edward Snowden. Jérôme Granger, de G Data, nous livre quelques explications.
Avec l’analyse de Babar, les experts du G DATA SecurityLabs confirment les informations dévoilées par les documents d’Edward Snowden sur l’existence d’un énième outil d’espionnage étatique. Mais l’origine française, avancée par le CSEC dans les documents dévoilés, ne peut toutefois pas être confirmée.
Environ un an après que l‘opération Snowglobe ait été publiquement mentionnée pour la première fois par le journal Le Monde (http://www.lemonde.fr/international/article/2014/03/21/quand-les-canadiens-partent-en-chasse-de-babar_4387233_3210.html), des experts en sécurité ont mis la main sur des échantillons de codes malveillants qui correspondent aux descriptions faites par le Communication Security Establishment Canada (CSEC).
Analyse détaillée de Babar
Le G DATA SecurityLabs publie la première analyse du code nommé Babar (https://blog.gdatasoftware.com/blog/article/babar-espionage-software-finally-found-and-put-under-the-microscope.html). Après les premières révélations sur EvilBunny (http://0x1338.blogspot.co.at/2014/11/hunting-bunnies.html), Babar est maintenant le second composant identifié en relation avec l‘opération SNOWGLOBE, provenant vraisemblablement des mêmes développeurs. Les fonctionnalités de Babar vont de l’enregistrement de frappes claviers, du presse papiers jusqu’aux conversations audio.
Des documents de Snowden comme base de travail
La révélation de l'existence d'un autre spyware étatique est faite en mars 2014, lorsque Le Monde publie des informations secrètes datant de 2011. Mais ces informations ne révèlent qu'une petite partie de l'histoire. En janvier 2015, le journal allemand Der Spiegel publie une autre série de documents (http://www.spiegel.de/media/media-35665.pdf) qui donne plus d’informations sur ce que le Communication Security Establishment Canada (CSEC) a identifié: l‘opération Snowglobe. Découverte en 2009, cette campagne repose sur trois «implants» différents, deux nommés « Snowball » et un plus sophistiqué, découverts mi-2010 et prénommé « Snowman ». Selon la diapositive 22, « le CSEC évalue, avec certitude modérée, Snowglobe comme un CNO [Opération Réseau Cyber] parrainé par un État, et dirigé par une agence de renseignement française. »
Plusieurs codes malveillants en jeu
Avec l’analyse de Babar et d’EvilBunny, les experts du G DATA SecurityLabs ont trouvé des échantillons correspondants aux descriptions du CSEC. EvilBunny et Babar correspondent à deux des trois implants mentionnés. Le nombre de similitudes entre EvilBunny et Babar montre que ces deux codes sont issus des mêmes développeurs. De plus, les analyses laissent penser que les échantillons sont des versions plus récentes que celle décrite par le CSEC.
Origine non confirmée
Mais les experts ne peuvent pas confirmer l’information concernant l’origine des codes malveillants. Les informations du CSEC sont en partie confirmées dans les analyses du code, mais aucune preuve formelle n’a été trouvée. Même si un grand nombre de questions restent sans réponse, ces analyses marquent un pas important dans la validation des diapositives dévoilées
