Un outil gratuit et open source appelé Zero Breach Toolkit circule comme scanner de spyware mercenaire. Une analyse sur le Beam Blog a examiné son code et sa documentation et s'est proposé de couvrir trois points : ce que l'outil vérifie, lesquelles des affirmations virales tiennent la route, et comment l'évaluer. Cet article s'appuie sur ce cadrage, mais il est important d'être clair sur sa portée. Notre source est un court résumé de cette analyse, et non les conclusions complètes. Lorsque cet article va au-delà de ce résumé, il propose des conseils généraux et le signale.

La question de fond compte davantage que n'importe quel outil pris isolément. Comprendre les limites des scanners de spyware mercenaire vous aide à décider du poids à accorder à un résultat, qu'il indique « propre » ou non.

Ce que Zero Breach Toolkit vérifie réellement

Selon le résumé du Beam Blog, Zero Breach Toolkit est un scanner gratuit et open source destiné au spyware mercenaire. Les auteurs de l'analyse ont examiné son code et sa documentation, ce qui est le bon point de départ : le comportement réel d'un scanner réside dans ce que fait le code, et non dans la façon dont un post sur les réseaux sociaux le décrit.

Le résumé ne liste pas les vérifications spécifiques effectuées par la boîte à outils, nous ne les devinerons donc pas. Pour la liste exacte des indicateurs, des sources de données et des plateformes prises en charge, les lecteurs doivent consulter la documentation de l'outil lui-même et l'analyse complète du Beam Blog. Ce que le modèle open source vous apporte, c'est la possibilité de voir ces vérifications par vous-même, ou de vous appuyer sur d'autres personnes qui les ont inspectées.

Affirmations virales face à ce que le code vérifie

L'analyse du Beam Blog est explicitement structurée autour de la distinction entre ce que les affirmations virales ont juste et ce qu'elles ont faux. C'est une habitude utile pour tout outil qui se diffuse rapidement. La popularité n'est pas une preuve, et une affirmation assurée dans un post ou une vidéo n'équivaut pas à un comportement démontré dans le code source.

Lorsque vous voyez un outil de sécurité décrit en termes généraux et absolus, posez une question simple : chaque affirmation peut-elle être rattachée à quelque chose dans le code ou la documentation ? Des affirmations telles que « détecte tous les spywares » ou « prouve que votre téléphone est sûr » sont des signaux d'alerte pour tout scanner, car les outils de détection fonctionnent généralement en recherchant des signes connus, ce qui comporte des limites inhérentes. Nous ne pouvons pas vous dire, à partir du résumé source, quelles affirmations spécifiques sur Zero Breach Toolkit ont été confirmées ou rejetées ; consultez l'analyse complète pour ce détail.

Ce que les scanners de spyware ne peuvent pas détecter

Cette section relève du contexte général et non d'une conclusion de l'analyse du Beam Blog. Les scanners de ce type recherchent généralement des preuves qu'ils connaissent déjà, telles que des fichiers, des processus, des indicateurs réseau particuliers ou des traces laissées dans les journaux. Cette approche a des limites prévisibles :

  • Techniques inconnues ou nouvelles. Si un outil ne dispose pas d'un indicateur pour une menace, il ne peut pas la signaler.
  • Traces qui n'ont jamais été enregistrées ou qui ont été supprimées. Un scan ne peut examiner que ce qui est disponible sur l'appareil ou dans les données que vous lui fournissez.
  • Résultats trop confiants. Un message « aucun résultat » signifie que l'outil n'a rien trouvé de ce qu'il sait rechercher, et non qu'il n'y a rien.

La leçon pratique est qu'un scan propre constitue une preuve limitée, et non une preuve de sécurité. De même, un résultat positif mérite un suivi attentif avec des experts qualifiés plutôt qu'une panique.

Une liste de contrôle pour évaluer les outils de sécurité avant de les exécuter

L'analyse du Beam Blog se propose de montrer comment évaluer la boîte à outils. La liste de contrôle ci-dessous est notre propre conseil général, utile pour tout scanner que vous trouvez en ligne :

  1. Lisez ou trouvez une analyse du code source. L'open source n'aide que si quelqu'un inspecte réellement le code. Recherchez des analyses indépendantes, pas seulement la description du projet par lui-même.
  2. Vérifiez les mainteneurs. Qui le publie ? Existe-t-il un historique de mises à jour, un suivi des problèmes et des réponses aux questions ?
  3. Examinez les permissions. Méfiez-vous de tout outil qui demande un accès étendu qu'il ne nécessite pas clairement. Comprenez quelles données il lit et si quelque chose quitte votre appareil.
  4. Recherchez des résultats reproductibles. Un outil digne de confiance devrait produire une sortie cohérente et explicable, et sa documentation devrait indiquer ce que signifie chaque résultat.
  5. Téléchargez depuis la source officielle. Les imitations d'outils populaires sont un moyen courant de distribuer des logiciels malveillants. Les opérateurs de ransomwares, par exemple, s'appuient sur des outils spécialement conçus, comme le montre l'utilitaire d'évasion défensive GentleKiller utilisé par le groupe de ransomware The Gentlemen. Un faux « scanner de sécurité » pourrait être tout aussi nuisible.

Ce que cela signifie pour vous

La plupart des gens ne sont pas la cible de spyware mercenaire, mais la curiosité à l'égard de ces outils est compréhensible, et un scanner open source gratuit peut constituer une partie raisonnable d'une évaluation plus large si vous le traitez avec prudence. Avant d'exécuter quoi que ce soit, appliquez la liste de contrôle ci-dessus. Lisez ce que les évaluateurs indépendants ont trouvé et gardez des attentes réalistes quant à ce que tout scanner peut vous dire.

Si vous avez de véritables raisons de croire que vous êtes ciblé, un scanner est un point de départ, et non un substitut à l'aide de professionnels de la sécurité expérimentés.

Points clés à retenir

  • Évaluez tout scanner de spyware avant de l'exécuter : examinez le code source, les mainteneurs, les permissions et la reproductibilité des résultats.
  • Séparez les affirmations virales de ce que le code et la documentation montrent réellement.
  • Gardez à l'esprit les limites fondamentales des scanners de spyware mercenaire : un scanner trouve ce qu'il sait rechercher, donc un scan propre constitue une preuve limitée, et non la preuve que votre appareil est sûr.
  • Lisez l'analyse complète du Beam Blog sur Zero Breach Toolkit et la documentation de l'outil lui-même pour connaître les vérifications spécifiques qu'il effectue.

Une approche prudente et sceptique vous protège mieux que n'importe quel outil, aussi populaire devienne-t-il.