Maliciel d'espionnage bancaire Gauss visant les banques libanaises

Le 9 août 2012, Kaspersky Lab a révélé Gauss, une boîte à outils de cyberespionnage modulaire qu'il avait mise au jour en enquêtant sur le maliciel Flame pour le compte de l'Union internationale des télécommunications. Gauss se distinguait avant tout par un point : il s'agissait du premier cheval de Troie bancaire connu publiquement commandité par un État, et ses modules de vol d'identifiants étaient réglés spécifiquement sur les plateformes de banque en ligne utilisées par des banques libanaises.

Ce qui s'est passé

Kaspersky a estimé que Gauss avait été produit par la même plateforme de développement que Flame, lui-même étroitement apparenté à Stuxnet et Duqu — une chaîne d'outils largement attribuée par les chercheurs et la presse à un effort de renseignement américano-israélien. Gauss était modulaire, avec des composants nommés d'après des mathématiciens et des scientifiques (Gauss, Lagrange, Gödel, Tailler, Kurt), et se propageait via des clés USB et d'autres vecteurs tout en collectant de nombreuses données système, réseau et navigateur.

Sa caractéristique déterminante était un ensemble de routines codées en dur destinées à intercepter les identifiants d'institutions financières précises : Bank of Beirut, Byblos Bank, Fransabank, BlomBank et Credit Libanais, aux côtés de Citibank et PayPal. Cela rendait Gauss unique parmi les maliciels étatiques de l'époque, qui s'étaient concentrés sur le sabotage industriel (Stuxnet) ou l'espionnage pur (Flame). La boîte à outils installait également une police personnalisée, Palida Narrow, dont la présence sur un système devint une simple signature de détection.

Impact

• Plus de 2 500 systèmes infectés ont été enregistrés dans la télémétrie de Kaspersky, dont plus de 1 600 au Liban — bien davantage qu'en Israël et dans les territoires palestiniens, les zones suivantes les plus touchées.
• Les banques libanaises ciblées et leurs clients ont été exposés au vol d'identifiants de banque en ligne, de cookies, de mots de passe de navigateur et de configurations de comptes.
• Gauss transportait une charge USB chiffrée (« Gödel ») dont la clé de déchiffrement était dérivée des propriétés d'un système cible précis. Malgré un effort public de sollicitation, la charge n'a jamais été cassée, laissant son objectif final inconnu.

Attribution

Kaspersky s'est abstenu de nommer un commanditaire mais a affirmé sans détour que Gauss provenait de la même « usine » que celle ayant construit Flame, sous-entendant un État-nation bien doté. Les reportages ultérieurs ont systématiquement situé Gauss dans la lignée américano-israélienne « Olympic Games »/Equation des opérations ayant produit Stuxnet, Flame et Duqu. Aucun gouvernement n'a reconnu en être responsable.

Pourquoi c'est important

Gauss a effacé la frontière entre collecte de renseignement et surveillance du système financier. En concevant une plateforme d'espionnage de niveau étatique pour surveiller les flux d'argent à travers des banques libanaises nommément désignées — des établissements depuis longtemps associés à l'intermédiation financière régionale — il a montré comment les cyberopérations pouvaient viser à suivre les transactions et les réseaux de financement plutôt que simplement voler des secrets ou causer des dommages. Il demeure l'exemple canonique d'un État militarisant les techniques de cheval de Troie bancaire, et la charge Gödel non déchiffrée reste l'une des énigmes non résolues les plus célèbres de la recherche sur les maliciels.