Pubs Discover-Tech : le logiciel espion zéro clic de Candiru

Une société israélienne qui se présentait comme une agence publicitaire a utilisé des publicités en ligne ciblées pour installer un logiciel espion "zéro clic" sur les appareils de personnes dans le monde entier, selon une nouvelle étude du Citizen Lab et de Confiant.

Le Citizen Lab est un institut de recherche en investigation numérique. Confiant est une entreprise de cybersécurité spécialisée dans les technologies publicitaires. Les deux ont mené des enquêtes parallèles sur Discover-Tech et ont découvert que ses publicités avaient servi à infecter les appareils d'au moins 45 journalistes d'Al Jazeera.

La même infrastructure a aussi diffusé des publicités jusque dans les réseaux internes de dizaines d'agences gouvernementales et d'organisations internationales. Le rapport ne précise pas combien d'appareils de responsables ont été compromis. Selon le Citizen Lab, des publicités de Discover-Tech sont apparues sur des appareils au sein de "réseaux sensibles pour la sécurité nationale dans le monde entier", dont celui de l'OTAN.

Confiant a examiné de son côté des données de ciblage. L'entreprise a relevé des indices montrant que les publicités malveillantes s'étaient affichées sur des réseaux appartenant au département de la Défense américain, à l'Autorité des systèmes d'information d'Estonie (RIA), à l'Agence internationale de l'énergie atomique (AIEA) et à la Cour pénale internationale. La RIA est l'agence publique estonienne chargée des systèmes d'information et de la cybersécurité du pays.

Candiru parmi les clients

D'après le rapport, Discover-Tech travaillait avec Candiru, un éditeur israélien de logiciels espions. Le produit de Candiru sert depuis longtemps à surveiller des membres de la société civile, et le département du Commerce américain a placé l'entreprise sur liste noire en 2021.

Selon les chercheurs, Candiru a confié à Discover-Tech la diffusion des publicités et s'en est servi pour cibler des journalistes d'Al Jazeera, entre autres. Le rapport indique que ces publicités "ont discrètement poussé des millions d'appareils à contacter les serveurs de Candiru, probablement à des fins de pistage et de reconnaissance à grande échelle".

Candiru n'était pas le seul éditeur de logiciels espions parmi les clients. Le Citizen Lab affirme que Discover-Tech travaillait aussi avec d'autres sociétés israéliennes du secteur et leur donnait accès aux plateformes publicitaires de Google et du russe Yandex. Depuis la publication de l'étude, Google et d'autres grandes plateformes ont bloqué l'entreprise.

Une infection dès l'affichage de la pub

La plateforme de Discover-Tech s'appelle Controlium. Selon le rapport, elle permet aux clients du logiciel espion de "désanonymiser, d'établir l'empreinte et d'infecter automatiquement des appareils au moment même où une publicité s'affiche - une forme d'attaque zéro clic, où les appareils peuvent être infectés automatiquement dès qu'une publicité est présentée à leurs utilisateurs".

La désanonymisation consiste ici à croiser des données chiffrées ou pseudonymes avec des données publiques jusqu'à pouvoir identifier une personne précise.

Lorsqu'une cible déjà identifiée ouvre une page contenant l'une des publicités de l'entreprise, Discover-Tech exécute automatiquement du JavaScript malveillant. D'après les chercheurs, ce dispositif évite de "partager directement du code malveillant, ni même des pointeurs vers du code malveillant, avec les entreprises qui diffusent et affichent les publicités". Les régies qui affichent le contenu n'ont donc pas grand-chose à inspecter.

Le Citizen Lab a analysé quatre milliards d'enregistrements de placements publicitaires de Discover-Tech. En quatre mois seulement, les publicités auraient été affichées dans des applications Android et iOS et sur près de 200 000 sites web distincts.

Une fois l'appareil infecté, Controlium permet aux opérateurs du logiciel espion d'enregistrer les appels, d'activer le micro et d'extraire messages et e-mails. Outre des responsables gouvernementaux, la plateforme aurait été utilisée contre des journalistes, des dissidents et du personnel d'ambassades.

Une passerelle vers l'écosystème publicitaire

Le rapport décrit Discover-Tech comme une "passerelle entre les acteurs de la publicité et l'écosystème des logiciels espions mercenaires". Et d'ajouter : "En réalité, il semble que servir de passerelle soit la raison d'être principale de Discover-Tech."

Ce modèle permet de contourner deux obstacles auxquels se heurtent habituellement les opérateurs de logiciels espions. Le premier est la règle selon laquelle seuls des représentants de l'État peuvent acheter le logiciel. Le second est la nécessité de piéger la cible pour qu'elle clique sur un lien ou ouvre un fichier.

Des chercheurs avaient déjà évoqué la possibilité de détourner la publicité en ligne à des fins d'espionnage. Les nouvelles conclusions sont bien plus détaillées, et les chercheurs affirment que c'est la première fois que des preuves techniques viennent étayer ces soupçons.

Un second acteur : Dark Cartographer

Les éditeurs de logiciels espions ne sont pas les seuls clients. Les chercheurs ont identifié un autre acteur malveillant, qu'ils ont baptisé Dark Cartographer. Celui-ci utilise le logiciel de Discover-Tech pour exploiter des failles chez les opérateurs mobiles et associer les identifiants publicitaires des appareils à des numéros de téléphone. Selon le rapport, cela a permis une désanonymisation massive d'internautes.

Pour le Citizen Lab, l'absence de régulation dans la publicité numérique doit cesser.

"Les acteurs de la publicité doivent considérablement renforcer leurs capacités en cybersécurité et en détection des menaces pour écarter efficacement les annonceurs malveillants sur toute la chaîne d'approvisionnement", indique le rapport. "Ils doivent contrôler, filtrer et auditer rigoureusement et régulièrement leurs partenaires commerciaux, et les tenir responsables de leurs propres chaînes d'approvisionnement."

Notre analyse

La plupart des débats sur les logiciels espions portent sur les chaînes d'exploitation vendues par des éditeurs comme NSO Group, comme dans notre récent article sur Pegasus en Pologne. Cette étude met en lumière autre chose : le canal de diffusion peut être un service commercial tout à fait ordinaire. Si les conclusions se confirment, acheter de l'espace publicitaire est peut-être devenu un moyen pratique d'atteindre des cibles qui ignoreraient des messages d'hameçonnage.

L'affaire s'inscrit aussi dans une tendance plus large de détournement des infrastructures publicitaires. Les criminels utilisent depuis longtemps la publicité malveillante, notamment lors des récentes campagnes ClickFix détournant Google Ads. La différence ici, c'est qu'aucun clic n'est nécessaire et que les victimes sont soigneusement choisies.

Pour les organisations dont le personnel est exposé, cela laisse penser que le blocage des publicités sur les appareils et réseaux professionnels relève de la sécurité, et pas seulement du confort des utilisateurs. Reste à voir si d'autres plateformes publicitaires suivront Google en coupant l'accès à l'entreprise, si les régulateurs donneront suite à l'appel du Citizen Lab à contrôler la chaîne d'approvisionnement, et si les agences citées par Confiant feront état de compromissions confirmées.