Que faire en tant que gouvernement pour obtenir des exploits zero-day ?

C'est simple, il suffit de suivre l'exemple d'Israël

Il y a bientôt un mois que le cas Zerodium a une fois de plus été évoqué sur cette plateforme. Il s’agit d’une startup fondée en 2015 et basée à Washington. Elle intercepte les hackers grâce à des incitatifs financiers substantiels, récupère les exploits zero-day en leur possession et les revend à des agences gouvernementales. Bien évidemment, le carnet clients des entreprises spécialisées dans la filière est généralement classé secret défense. Une récente publication du magazine Vice vient apporter la lumière à ce sujet.

Les enfants savent bien s’y prendre quand il s’agit d’obtenir quelque chose ; généralement, ils formulent leur demande sans détour. C’est exactement ce qu’Israël a fait en 2015 lorsque, par le biais d’un membre de sa mission diplomatique aux États-Unis, le pays a adressé une correspondance à des entreprises américaines spécialisées dans le développement d’exploits zero-day. Motherboard a obtenu copie de cette dernière ajoutée comme fichier joint à un courriel adressé aux firmes contactées.

« Le ministère de la Défense du gouvernement d’Israël est intéressé par la recherche et le développement en matière de vulnérabilités, ainsi que par des exploits zero-day ciblant une large gamme de plateformes et technologies pour accompagner les forces de l’ordre dans leur travail », peut-on y lire.


« Il s’agit d’une demande d’information standard. J’en ai vu plusieurs dans le même genre émanant de différentes agences gouvernementales américaines », rapporte Motherboard des propos d’un hacker qui a requis l’anonymat (comme d’autres impliqués dans ces développements). Le membre de la mission diplomatique israélienne à l’origine du courriel s’est lui aussi refusé à aller à tout commentaire. Il semble donc bien que les gouvernements procèdent généralement ainsi pour obtenir des exploits zero-day grâce auxquels leurs services de renseignement peuvent espionner les possesseurs de téléviseurs, smartphones, etc.


Israël est reconnu comme un des leaders mondiaux en matière de cyberespionnage. Le pays compte le fameux NSO Group - une entreprise israélienne spécialisée dans l’assistance technique aux gouvernements pour l’espionnage de terminaux mobiles et le développement d’armes numériques – dans son arsenal. Apple a dû corriger trois failles zero-day permettant d’espionner les utilisateurs d’iPhone en 2016. Le pot aux roses avait été découvert par les chercheurs en sécurité de Citizen Lab – une émanation de l’université de Toronto au Canada – qui ont pu lier les vulnérabilités au spyware Pegasus conçu par cette entreprise.

L’épisode de la lettre vient confirmer que le pays garde les yeux sur les meilleurs talents mondiaux en matière de surveillance et de développement de logiciels espions et se positionne comme un pôle d’attraction pour ces derniers.

Source

Lettre

Votre opinion

Qu’en pensez-vous ?

Voir aussi

Des documents du NSO Group indiquent comment l'entreprise choisit les clients à qui elle vend son spyware, mais aussi le montant de la facture