Campagne mondiale d'espionnage mobile Dark Caracal

Le 18 janvier 2018, l'Electronic Frontier Foundation (EFF) et la société de sécurité mobile Lookout ont publié Dark Caracal : Cyber-espionage at a Global Scale, dévoilant l'une des premières campagnes de surveillance mobile étatique publiquement documentées. Les opérateurs avaient dérobé des centaines de gigaoctets de données à des milliers de victimes réparties dans plus de 21 pays — et les chercheurs ont retracé l'infrastructure de commande jusqu'à un bâtiment appartenant à la Direction générale de la Sûreté générale (GDGS) libanaise, à Beyrouth.

Ce qui s'est passé

Dark Caracal s'appuyait principalement sur l'ingénierie sociale et l'hameçonnage plutôt que sur de coûteuses failles « zero-day ». Les victimes étaient appâtées — souvent via des groupes Facebook, des messages WhatsApp et des pages-pièges — vers de faux portails de boutiques d'applications qui distribuaient des applications Android piégées imitant des messageries chiffrées populaires telles que Signal, WhatsApp, Telegram et Threema. Ces applications recompilées fonctionnaient normalement, mais embarquaient un implant sur mesure que Lookout a nommé Pallas.

Une fois installé, Pallas pouvait exfiltrer les SMS, les journaux d'appels, les contacts, les photos, l'historique de navigation et les identifiants ; enregistrer le son en silence ; capturer la caméra ; et siphonner les bases de données WhatsApp et autres messageries. L'implant pouvait aussi envoyer des SMS contrôlés par l'attaquant afin de se propager. Côté ordinateurs, l'acteur a réutilisé des outils bien connus, notamment Bandook et des composants proches de FinFisher, ainsi que CrossRAT, un cheval de Troie Java multiplateforme capable d'infecter Windows, macOS et Linux.

Impact

• Des milliers de victimes dans plus de 21 pays, dont le Liban, le Qatar, l'Arabie saoudite, les États-Unis, la France, l'Allemagne, la Russie, la Chine et le Népal.
• Les cibles comprenaient des militaires, des responsables gouvernementaux, des militants, des journalistes, des avocats et des établissements d'enseignement.
• Des centaines de gigaoctets de données dérobées — documents juridiques, enregistrements audio, journaux de conversation, photos et historiques de navigation complets — en grande partie retrouvées sur un serveur mal configuré et exposé sur Internet, ce qui a en partie permis aux chercheurs de cartographier l'opération.

Attribution

L'EFF et Lookout ont relié la campagne à la GDGS après avoir corrélé les serveurs de commande et de contrôle du logiciel malveillant avec des réseaux Wi-Fi et des adresses IP physiquement situés à l'intérieur d'un bureau de la GDGS à Beyrouth. Les chercheurs ont pris soin de préciser qu'ils ne pouvaient pas prouver si cela reflétait une politique officielle de la GDGS ou l'œuvre d'un employé indélicat, mais la preuve de géolocalisation était directe. La même infrastructure présentait des recoupements avec d'autres activités d'États-nations, laissant entrevoir un outillage d'attaque partagé ou loué commercialement.

Pourquoi c'est important

Dark Caracal a démontré qu'une opération mondiale et persistante d'espionnage mobile pouvait être menée à bas coût, sans « zero-day », en misant sur des applications piégées et la tromperie humaine. Ce fut l'une des premières campagnes à placer une agence de renseignement gouvernementale précise au cœur d'une surveillance Android à grande échelle, et elle a préfiguré l'ère des logiciels espions mercenaires (Pegasus de NSO Group, etc.) en montrant comment des acteurs étatiques peu dotés pouvaient parvenir à une compromission mobile de masse. La négligence des opérateurs dans la gestion de leurs serveurs — laisser des téraoctets de butin accessibles publiquement — est aussi devenue un cas d'école de l'attribution par les défaillances de sécurité opérationnelle.