May 17, 2019 1 min to read

Une start-up auvergnate vendait secrètement des cyber-armes

Stupeur et consternation, cette semaine, chez les défenseurs de la vie privée, alors qu’une start-up auvergnate vient d’être prise en flagrant délit de vente de cyber-armement illégal, parfois à des entités connues pour fouler régulièrement du pied les droits de l’homme.

L’information nous vient directement de notre confrère Denis l’Expert, récemment promu éditeur en chef de la rubrique Technologies de l’Information chez Bloomberg. Il s’était alors fait remarquer par son travail de recherche à propos des attaques sur la chaîne d’approvisionnement ; il avait notamment dénoncé le scandale des grains de riz chinois contaminés par des portes-arrière¹ matérielles à la mélamime.

Denis s’est cette fois intéressé à une start-up auvergnate, le groupe NSO (Nous Sommes Overgnats), active dans le domaine du développement de cyber-armes. Leur produit phare, le logiciel Cheval d’Auvergne, est une suite complète d’espionnage d’appareils mobiles, utilisant comme vecteur une vulnérabilité z’érodée dans l’application Copains d’Avant.

L’activité du groupe a été dévoilée après une tentative d’un de leurs clients de s’attaquer a un critique gastronomique végan, fervent défenseur des droits des animaux, et qui avait fait son cheval de bataille de l’interdiction de la consommation de tripoux au vin blanc. Suite à une erreur opérationnelle, les cyber-agresseurs ont alors engagé une tentative ratée d’ingénierie sociale. La victime a alors contacté l’ANSSI pour lui soumettre le message infectieux.

Les analystes de l’ANSSI ont ainsi commencé par suivre la procédure officielle, qui préconise de commencer par la traduction en français du maliciel. Ils ont ainsi rapidement réalisé l’anomalie, en réalisant que ledit maliciel avait en réalité été originellement écrit dans un patois local. Ils ont ainsi pu attribuer l’opération à un dangereux groupe d’indépendantistes auvergnats.

Mais au final, que retenir de cette histoire compliquée ? Heureusement pour nous, notre confrère Denis nous a synthétisé la situation en un constat limpide et simple: « le chiffrement point-à-point, ça ne sert à rien, mvoyez. »