Des cyberarmes américaines aux mains du GRU russe : que faire ?

OUVERTURE — RECONSTITUTION DRAMATISÉE

La scène qui suit est jouée par des acteurs. Inspirée de faits réels et de failles de sécurité documentées, elle reconstitue les événements sous une forme narrative afin d’introduire l’enquête.

La scène s’ouvre en plein interrogatoire. Il est 18 heures, le 17 avril 2026.

— Alors, Jeremy, vous travaillez dans une entreprise d’élite spécialisée en cybersécurité.

— Vous développez des logiciels espions pour les services spéciaux.

— C’est bien cela, oui. Nous travaillons avec le gouvernement.

— Jeremy, il est écrit ici, dans le dossier, qu’un hacker solitaire vous a volé 400 gigaoctets de données secrètes, y compris les exploits les plus récents.

— Comment a-t-il réussi à franchir vos défenses ?

— Mais enfin, c’était une attaque sans précédent, un brute force d’une complexité extrême.

— Le rapport dit qu’ils ont simplement saisi le mot de passe administrateur et que votre mot de passe était le mot « password ».

— Non, non, pas simplement « password ».

— Le mot de passe commençait par un P majuscule et, à la place de la lettre O, il y avait aussi un zéro : un caractère spécial, des lettres majuscules, des chiffres, une conformité totale aux standards de sécurité de l’entreprise.

— J’ai tout fait conformément au règlement.

— Nous avons tout fait conformément au règlement, nous avons tout fait correctement.

FIN DE LA RECONSTITUTION — PLACE AUX FAITS

La scène jouée s’arrête ici. Nous revenons maintenant aux faits documentés, aux outils concernés et à la manière dont ils ont réellement circulé.

Bonjour, c’est encore moi, Jeremy, président de l’Institut Belge de Cybersécurité Citoyenne. Et comme beaucoup le savent, je suis né et j’ai grandi en plein cœur de la mère Russie, dans la ville de Moscou. Ce sujet n’en est que plus douloureux pour moi !

J’ai pour vous une nouvelle qui dépasse l’imagination.

Des cyberarmes développées par le complexe militaro-industriel américain ont, ni plus ni moins, fuité entre les mains des services spéciaux russes et de hackers chinois.

Ils peuvent donc désormais entrer dans un appareil Apple comme s’ils entraient chez eux, à condition que son propriétaire n’ait pas encore eu le temps de le mettre à jour.

Je parle de Coruna.

C’est un ensemble d’exploits avancés pour iOS qui permettent d’entrer discrètement dans un appareil et de contourner tous les mécanismes de protection.

Et, pour être infecté, l’utilisateur n’a pratiquement rien à faire.

Il n’a pas besoin de télécharger des programmes suspects ni de saisir quelque part ses identifiants et son mot de passe.

Il suffit simplement de se rendre sur un site contrôlé par des hackers, et les données de votre appareil partent directement vers leurs serveurs.

Le plus étonnant, c’est qu’il ne s’agit même pas du seul outil de ce type qui a d’abord été créé pour un État avant de tomber entre les mains de cybercriminels ordinaires.

Ce genre de choses arrive régulièrement. C’est donc précisément de cela que je voudrais parler aujourd’hui.

De Coruna elle-même et de ce qu’elle sait faire ; d’autres outils semblables, comme DarkSword ; et, plus généralement, de la manière dont des programmes créés pour traquer les terroristes internationaux se retrouvent entre les mains de cybervoleurs.

Et, tant qu’à faire, pouvons-nous, nous les gens ordinaires, nous en protéger d’une manière ou d’une autre ?

Eh bien, essayons de comprendre.

Mais qu’est-ce donc que cette Coruna dont vous parlez ?

Elle comprend tout un arsenal d’exploits pour les appareils Apple, depuis iOS 13, sorti en 2019, jusqu’à iOS 17.2.1, sorti en décembre 2023.

Elle n’est pas capable de pirater un appareil tout récent et mis à jour à temps. En tout cas, la version capturée par les chercheurs de Google n’en est pas capable.

Il est tout à fait possible qu’une Coruna 2.0 circule actuellement quelque part sur le réseau et qu’elle ait déjà appris à le faire.

Mais 2023, c’était tout récemment, et beaucoup de gens utilisent encore d’anciennes versions d’iOS et ne veulent pas faire les mises à jour.

Le fonctionnement de Coruna est le suivant.

Vous arrivez sur un site ou un service compromis qui peut se faire passer pour absolument n’importe quoi : un portail d’actualités, une boutique en ligne, un petit blog consacré aux jeux, et ainsi de suite.

Et si vous avez un appareil Apple, un code malveillant en JavaScript arrive avec la page.

Il détermine quel appareil vous utilisez et quelle version d’iOS y est installée.

Puis il choisit une chaîne d’exploits déjà prête qui convient précisément à votre cas.

Coruna traverse de part en part toutes les couches de sécurité.

Elle s’échappe de la sandbox de Safari, sort de l’environnement isolé dans lequel fonctionne le navigateur lui-même, obtient ensuite des droits d’accès au niveau du noyau et s’injecte dans l’un des processus système.

À partir de cet instant, l’attaquant obtient le contrôle total de l’appareil et peut en extraire tout ce qui n’est pas cloué au sol.

Les messages, les appels, les contacts, les notes, les photographies, les vidéos, les données d’iCloud, l’historique du navigateur, les mots de passe et les trousseaux de clés, les mots de passe Wi-Fi, les données de géolocalisation, et ainsi de suite.

Je pourrais continuer cette liste indéfiniment.

Même si, dans la pratique, les attaquants s’intéressent généralement aux données des portefeuilles de cryptomonnaies. Coruna charge pour eux des exploits séparés.

Tout le processus, depuis l’ouverture du site jusqu’à l’exfiltration de vos données, est absolument invisible pour l’utilisateur et ne prend que quelques minutes, voire quelques secondes.

Tout ce que je viens de vous raconter est devenu public grâce à un rapport des chercheurs de Google publié au mois de mars de cette année.

Ils ont découvert plusieurs centaines d’échantillons de cet outil.

Et, grâce à la négligence des hackers, ils ont également réussi à mettre la main sur une version de débogage.

Quelqu’un l’avait utilisée à la place de la version finale.

La version de débogage conservait les noms internes : celui du framework Coruna lui-même, mais aussi ceux de certains exploits.

Fait intéressant, certains portaient des noms d’oiseaux, par exemple Sparrow ou Cassowary.

Retenez ce détail, nous en aurons encore besoin.

Une partie des exploits s’appuyait sur des vulnérabilités connues qui avaient déjà été corrigées.

Mais il y avait également des vulnérabilités zero-day dont personne ne connaissait auparavant l’existence.

Cet ensemble d’exploits aurait apparemment été créé sur commande de l’armée américaine.

Deux anciens employés d’un sous-traitant de la défense ont confirmé aux journalistes de TechCrunch que Coruna était le nom interne de l’un des composants développés par leur division australienne, Trenchant.

Trenchant est spécialisée dans les outils de piratage et les vend au gouvernement des États-Unis ainsi qu’à ses alliés les plus proches de l’alliance Five Eyes : l’Australie, le Canada, la Nouvelle-Zélande et le Royaume-Uni.

C’est dans ce contexte que les noms d’oiseaux donnés aux exploits deviennent intéressants.

Le chercheur en sécurité Costin Raiu affirme que donner aux outils des noms d’oiseaux est la signature caractéristique de Trenchant.

Les habitudes ont la vie dure.

Autre détail intéressant : Coruna n’est pas la première version de cet outil.

Elle a une préhistoire.

En 2023, le laboratoire Kaspersky a découvert que des dizaines d’iPhone appartenant à ses propres employés étaient infectés par un logiciel espion avancé.

Cette attaque et les logiciels utilisés pendant l’opération ont reçu le nom d’Operation Triangulation, tandis que le FSB a déclaré que la NSA américaine se trouvait derrière l’opération.

Eh bien, au moins deux exploits de l’ensemble Coruna avaient également été utilisés dans Triangulation.

C’est ce qui ressort du rapport de Google.

Et, à la fin du mois de mars, le laboratoire Kaspersky a analysé le code de Coruna et conclu que l’ensemble du framework était une version plus moderne et remaniée de Triangulation.

Le lien avec les Five Eyes est donc confirmé par plusieurs sources concurrentes à la fois : du côté russe comme du côté américain.

L’ironie est que les échantillons de Coruna récupérés par Google n’étaient utilisés ni par les Américains ni par les Australiens, mais par des hackers liés au renseignement russe qui attaquaient des cibles en Ukraine.

Un autre utilisateur actif de Coruna était un groupe de hackers chinois spécialisé dans la criminalité économique.

Autrement dit, des outils de piratage créés pour la NSA et l’armée américaine ont fuité entre les mains de leurs principaux adversaires géopolitiques : la Russie et la Chine.

Il y a de quoi devenir fou.

La manière exacte dont cela s’est produit constitue une histoire à part entière, digne d’un roman d’espionnage.

En réalité, c’est bel et bien une histoire d’espionnage.

À l’origine de la fuite se trouvait Peter Williams, ancien employé du renseignement australien parti travailler dans le secteur privé, précisément chez Trenchant.

Au bout d’un certain temps, il était devenu directeur général.

En 2022, Williams a décidé que son salaire d’entreprise ne suffisait pas pour mener la belle vie et il est entré en contact avec Operation Zero, un courtier russe en vulnérabilités zero-day qui fournit des clients ne faisant pas partie de l’OTAN, dont le gouvernement russe.

Au cours des trois années suivantes, ils ont entretenu une coopération mutuellement avantageuse.

Williams sortait des bureaux de Trenchant des outils de piratage développés pour les services de renseignement occidentaux, et Operation Zero lui versait d’importantes sommes en cryptomonnaies en échange de ces échantillons.

Au total, ce grand combinard a eu le temps de vendre pour 1,3 million de dollars d’exploits.

À l’issue de ses activités commerciales, un tribunal américain l’a condamné, au mois de février de cette année, à sept ans de prison.

Et le fondateur d’Operation Zero, Sergey Zelenyuk, a été placé sous sanctions américaines.

Mais les sanctions ne changeront pas la météo.

On ne remet pas la viande hachée dans le hachoir.

Les cyberarmes avancées créées pour les services spéciaux occidentaux se trouvent maintenant entre les mains du FSB et de cybercriminels chinois.

Et ils s’en servent avec plaisir.

Mes amis, pendant que vous regardez cet épisode, la situation en Russie ne cesse d’empirer.

La répression s’intensifie, devient de plus en plus massive et imprévisible.

Nous voyons des persécutions, des affaires pénales retentissantes, des tortures.

Des retraités, des femmes et même des mineurs, des enfants, sont condamnés à des peines démesurées et détenus dans des conditions inhumaines.

Les gens sont poursuivis pour toute tentative de protestation et pour avoir exprimé leur propre opinion.

Nous, le projet de défense des droits humains « Premier Département », nous nous battons chaque jour depuis 2021 pour chaque personne persécutée par l’État.

Nous les défendons devant les tribunaux, soutenons les détenus, leur assurons un lien avec le monde extérieur, aidons les familles des prisonniers politiques et faisons tout simplement sortir des personnes du pays lorsqu’une possibilité se présente.

Nous faisons tout ce qui est en notre pouvoir.

Et vous aussi, vous pouvez aider.

Vous, personnellement.

Et votre aide est vraiment nécessaire.

Des milliers de personnes ont besoin de notre soutien.

Elles ont besoin d’avocats, de médicaments de base et de produits de première nécessité.

Aidez ceux qui sont dans le malheur.

Aidez les prisonniers politiques à recevoir un soutien juridique et humanitaire, et à préserver leur vie et leur dignité humaine là où l’État est devenu un bourreau.

Suivez le lien dans la description.

Même une petite somme peut sauver la vie de quelqu’un.

Comme je vous l’ai déjà raconté au début de la vidéo, la fuite de Coruna est loin d’être le seul cas dans lequel les services spéciaux créent des cyberarmes qui tombent ensuite entre les mains de Dieu sait qui.

Qui plus est, ce n’est même pas le seul cas de cette année.

Littéralement deux semaines après le rapport consacré à Coruna, les mêmes chercheurs de Google ont découvert un autre kit d’exploits semblable, qu’ils ont baptisé DarkSword.

Et celui-ci ne fonctionnait déjà plus sur d’anciennes versions d’iOS, mais sur des versions assez récentes, encore actuelles à l’automne 2025.

Et encore davantage de personnes les utilisent toujours aujourd’hui.

Ses fonctionnalités sont semblables.

Les attaques commencent sur un site appartenant aux hackers. Ensuite, DarkSword sort de la sandbox et obtient des droits d’accès, puis aspire les conversations de toutes les messageries, le carnet de contacts, les photographies, les notes, les données des portefeuilles de cryptomonnaies, et ainsi de suite.

On ignore précisément qui a développé toute cette merveille.

Il s’agit probablement du travail d’un fournisseur commercial d’outils de piratage qui travaille avec de nombreux clients.

Mais cette fois, la cyberarme n’a pas seulement fuité vers des hackers russes, même s’ils l’utilisent eux aussi activement.

Non. DarkSword a fuité dans le domaine public.

Il a littéralement été mis sur GitHub.

Cela signifie que n’importe qui peut l’utiliser.

Et quand je dis « n’importe qui », je ne parle pas de n’importe quel groupe criminel de hackers.

DarkSword peut être utilisé par n’importe quel spécialiste qui sait monter son propre serveur et y héberger un site.

Et si un modèle de langage accepte de l’aider, DarkSword pourra même être utilisé par une personne qui ne possède absolument aucune compétence technique.

Selon les données de la société Apple elle-même, au moment de la fuite de DarkSword, un iPhone sur quatre fonctionnait sous la version 18 d’iOS et pouvait donc être vulnérable à ce kit.

Nous nous trouvons dans une situation où littéralement n’importe quel cybercriminel a obtenu la possibilité de pirater des centaines de millions d’appareils Apple relativement récents sans fournir pratiquement aucun effort.

Alors qu’auparavant, seuls des acteurs étatiques disposant de ressources considérables possédaient une telle capacité.

Tout cela rappelle beaucoup l’histoire de l’exploit EternalBlue, qui a fuité en 2016.

À l’origine, il avait été développé par la NSA américaine, mais le groupe de hackers Shadow Brokers avait réussi à le voler, avec d’autres outils des services de sécurité, et promettait de vendre l’ensemble pour un million de bitcoins.

À l’époque, cela représentait environ un demi-milliard de dollars.

Apparemment, aucun acheteur ne s’est présenté. L’année suivante, Shadow Brokers a donc simplement publié sur Internet tout ce qu’il avait trouvé, y compris EternalBlue.

Des hackers de la Corée du Nord s’en sont immédiatement emparés et ont créé sur cette base le tristement célèbre rançongiciel WannaCry, qui a infecté 300 000 ordinateurs dans le monde entier.

Les dommages causés par cette seule campagne ont atteint quatre milliards de dollars.

Ce qui est amusant, c’est qu’un mois plus tard, le même exploit était déjà utilisé par des hackers russes qui avaient créé NotPetya et attaqué des institutions gouvernementales ukrainiennes, des entreprises d’État et des banques.

Tout cela parce que la NSA, de toute évidence, ne regarde pas nos vidéos et ne sait pas protéger ses données.

S’ils s’étaient abonnés à notre playlist consacrée à la cybersécurité, il n’y aurait eu aucun problème.

De vrais enfants, franchement, il faut tout leur apprendre.

Si l’on remonte encore un peu plus loin, on peut se souvenir de l’attaque contre l’entreprise italienne Hacking Team.

C’était un fabricant de logiciels espions qui les fournissait de manière parfaitement légale à des dictateurs et à des fonctionnaires corrompus, lesquels revendaient ensuite cet arsenal à différents groupes criminels organisés, y compris à des cartels mexicains de la drogue.

En juin 2015, un hacker connu sous le pseudonyme de Phineas Fisher est entré dans leur réseau et a volé 400 gigaoctets de données, dont plusieurs exploits de vulnérabilités zero-day et leur produit phare pour le piratage : Remote Control System.

Il a ensuite piraté le compte Twitter de l’entreprise et y a directement publié un lien vers les codes sources volés.

Je cite :

« Puisque nous n’avons rien à cacher, nous publions toute notre correspondance, nos fichiers et notre code source. »

Hacking Team avait pu être piratée à travers une faille du VPN SonicWall qu’elle utilisait.

La vulnérabilité était si facile à exploiter que le chercheur Darren Martyn, qui l’avait décrite, avait conseillé aux utilisateurs de SonicWall, je cite, « de le débrancher, de l’asperger de kérosène et d’y mettre le feu, parce que c’est le seul moyen de se protéger de quelque chose qui a été développé avec un tel niveau de négligence ».

Cela dit, les employés de Hacking Team se sont eux aussi révélés être des chevaliers au QI à deux chiffres.

Beaucoup d’entre eux utilisaient des mots de passe très simples, faciles à casser avec des dictionnaires.

Et l’un d’entre eux utilisait carrément comme mot de passe le mot Password, dans lequel la lettre O avait été remplacée par un zéro.

Que s’est-il passé après la fuite ?

Vous avez bien deviné.

Les outils de piratage ont immédiatement été adoptés par le groupe Fancy Bear, qui travaille pour la Direction principale de l’état-major général, autrement dit le GRU.

Tous les chemins mènent à Rome, et tous les logiciels malveillants finissent entre les mains des célèbres hackers russes.

En réalité, il existe encore beaucoup d’histoires de ce type, et chacune d’entre elles pourrait faire l’objet d’une vidéo séparée.

La situation est toujours la même.

Un État ou l’un de ses sous-traitants crée une cyberarme et affirme qu’elle ne sera utilisée que dans le cadre de la loi et uniquement contre des terroristes.

Dans certains cas, ils tiennent même leur promesse ou, du moins, ils font semblant de manière très convaincante.

Mais ensuite, la cyberarme tombe entre les mains de ces mêmes terroristes, des services spéciaux d’autres États ou de simples voleurs du réseau.

Parce qu’un génie quelconque a décidé d’utiliser le mot « password » comme mot de passe.

Mais c’est nous qui devrons nettoyer tout cela, pas eux.

Parcourons donc rapidement les moyens de nous protéger.

Première chose, et la plus importante.

Il faut installer régulièrement les mises à jour sur tous les appareils, en particulier les mises à jour du système d’exploitation.

Le développement d’exploits demande beaucoup de temps. C’est pourquoi ils fonctionnent souvent précisément sur des versions anciennes des systèmes d’exploitation, comme dans le cas de Coruna.

Plus la version est ancienne, plus il est probable que quelqu’un y ait trouvé une vulnérabilité non corrigée et ait inventé une façon de l’exploiter.

Si vous menez des activités publiques dans des pays non libres, si vous dirigez ou possédez une grande entreprise, si vous conservez d’importantes sommes en cryptomonnaies ou si, d’une autre manière, vous présentez un intérêt pour les services de sécurité et les grands groupes cybercriminels organisés, il est judicieux d’activer Lockdown Mode sur les appareils Apple.

C’est un mode sécurisé.

Il limite fortement les fonctionnalités de l’appareil mais réduit radicalement la surface d’attaque.

D’ailleurs, une fonction semblable est récemment apparue sur les appareils Android.

Par exemple, Coruna ignore tout simplement les téléphones placés en Lockdown Mode, parce qu’elle ne peut rien faire contre eux.

Et il ne serait pas mauvais non plus de ne pas répéter les erreurs des gens de Hacking Team et de commencer enfin à utiliser des mots de passe normaux, impossibles à casser en une milliseconde.

Il faut donc choisir un mot de passe long et unique pour chaque service, puis le conserver dans un gestionnaire de mots de passe fiable afin qu’il ne soit ni réutilisé ni volé.

Sur ce, je vous dis au revoir.