Injection réseau Bad Traffic / AdHose sur le réseau télécom égyptien

Le 9 mars 2018, le Citizen Lab de l'Université de Toronto a publié Bad Traffic, révélant que des boîtiers d'inspection profonde de paquets (DPI) Sandvine PacketLogic déployés sur le réseau de Telecom Egypt — le FAI dominant du pays, lié à l'État — étaient utilisés pour détourner secrètement le trafic web des utilisateurs ordinaires. Ces mêmes équipements redirigeaient les Égyptiens vers de la publicité d'affiliation et des mineurs de cryptomonnaie embarqués dans le navigateur, et censuraient des dizaines de sites d'information et de défense des droits humains.

Ce qui s'est passé

Citizen Lab a développé une empreinte technique de l'injection réseau — incluant une valeur d'IP-ID inhabituelle de 13330 et un comportement de paquets distinctif — et l'a fait correspondre à un équipement Sandvine PacketLogic d'occasion acheté et testé dans son laboratoire. Les chercheurs ont ensuite localisé des appareils produisant cette signature sur le réseau de Telecom Egypt, à un point de démarcation près de Marseille, en France.

Le dispositif égyptien, baptisé AdHose par les chercheurs, fonctionnait selon deux modes. En mode « spray », les boîtiers redirigeaient un grand nombre d'utilisateurs vers des publicités par brèves rafales — un balayage de janvier 2018 l'a surpris actif pendant 32 minutes, touchant environ 38 % des IP balayées sur 27 systèmes autonomes égyptiens. En mode « goutte-à-goutte », il injectait en continu des publicités dans des URL précises et des sites défunts, un comportement traçable jusqu'à au moins octobre 2016. Le contenu injecté poussait les utilisateurs vers des réseaux publicitaires d'affiliation et des scripts Coinhive qui forçaient les navigateurs des victimes à miner la cryptomonnaie Monero. Le même équipement PacketLogic effectuait aussi de la censure via des paquets TCP-reset, bloquant une vingtaine de sites dont Human Rights Watch, Al Jazeera, Reporters sans frontières et Mada Masr.

Impact

• L'injection DPI touchait des utilisateurs sur plus de 17 systèmes autonomes égyptiens de Telecom Egypt, affectant vraisemblablement des millions d'abonnés.
• Les utilisateurs concernés étaient transformés à leur insu en générateurs de revenus (fraude publicitaire) et en mineurs de cryptomonnaie, les ressources de calcul de leurs navigateurs étant détournées.
• Une censure indépendante des grandes organisations internationales d'information et de défense des droits a restreint l'accès des Égyptiens à l'information.

Attribution

Citizen Lab a attribué les moyens techniques à des équipements Sandvine PacketLogic présents dans l'infrastructure de Telecom Egypt, sans toutefois nommer la partie exploitante précise. Telecom Egypt étant un opérateur majoritairement détenu par l'État et le déploiement parallèle en Turquie ayant servi à diffuser des logiciels espions gouvernementaux, le rapport a inscrit l'activité égyptienne dans un schéma d'abus para-étatique de matériel DPI commercial. Sandvine a publiquement contesté les conclusions et fait pression sur Citizen Lab au sujet d'une unité de démonstration restituée.

Pourquoi c'est important

Bad Traffic a révélé comment du matériel commercial de gestion de réseau — vendu pour une régulation légitime du trafic — peut être détourné à l'échelle de la dorsale d'un FAI pour injecter des maliciels, faire du cryptojacking et censurer, le tout de manière invisible pour les utilisateurs finaux. Le cas égyptien AdHose a montré un opérateur lié à l'État monétisant ses propres abonnés tout en réprimant les médias critiques, et il a intensifié l'examen de l'industrie DPI à double usage, contribuant à ce que Sandvine fasse plus tard face à des conséquences réputationnelles et politiques pour ses ventes à des gouvernements autoritaires.