Un conseil de sécurité bien connu commence à montrer ses limites : ne cliquez pas sur des liens suspects. Une nouvelle série de reportages indique que des logiciels espions infectent les appareils de journalistes via des publicités qu'ils n'ont jamais cliquées. Le même récapitulatif d'actualités signalait aussi une faille zero-day exploitée dans les pare-feu Palo Alto, une faille critique dans Drupal et des poursuites pénales contre un ingénieur d'OpenAI accusé d'avoir mis sur écoute une salle de direction. Le premier point compte le plus pour quiconque travaille avec des sources sensibles, car un logiciel espion zero-click diffusé via des publicités malveillantes que les journalistes rencontrent en naviguant change la donne en matière de défense personnelle.

Comment les logiciels espions publicitaires zero-click atteignent les journalistes

Le mot clé est « zero-click ». Le hameçonnage traditionnel nécessite qu'une personne ouvre un fichier ou touche un lien. Une attaque zero-click ne demande aucune action de la cible. Ici, le canal de diffusion est la publicité en ligne : une annonce est montrée à une personne ciblée, et cette annonce suffit à déclencher une compromission.

Selon la couverture des recherches de The Citizen Lab, l'unité de recherche sur les droits numériques de l'Université de Toronto, c'est la première fois que des preuves techniques sont rendues publiques montrant un logiciel espion mercenaire sophistiqué distribué via des publicités ciblées. Certains reportages décrivent aussi une agence publicitaire israélienne plaçant des annonces qui exposaient les personnes les ayant vues à des attaques de logiciels espions. Nous ne disposons que de détails de niveau résumé sur les mécanismes techniques, alors traitez les spécificités avec prudence jusqu'à la lecture des recherches complètes.

Le schéma général est toutefois clair. Les réseaux publicitaires sont conçus pour identifier des audiences particulières et leur diffuser du contenu sans leur intervention. Cette même précision est attrayante pour les vendeurs de surveillance qui veulent atteindre une personne spécifique, comme un reporter, sans que cette personne ait fait quoi que ce soit de mal. Un cas antérieur impliquait des dizaines d'appareils au sein d'une organisation médiatique : notre rapport sur les conclusions de Citizen Lab concernant des appareils d'Al Jazeera piratés via des publicités malveillantes couvre la manière dont la même catégorie d'attaque y a été documentée.

Pourquoi un VPN seul n'arrête pas cette attaque

Ceci est un site dédié à la vie privée, la question du VPN mérite donc une réponse directe. Un VPN chiffre le trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. Ce sont de vrais avantages, mais ils répondent à un problème différent.

Une publicité malveillante est diffusée sur le web normal, et le contenu atteint toujours votre navigateur ou votre application, que votre connexion soit tunnelisée ou non. Si l'appareil sous-jacent présente une faiblesse non corrigée que le contenu publicitaire peut exploiter, le VPN n'y change rien. Certains produits VPN incluent un blocage des publicités ou des traqueurs au niveau DNS, ce qui peut réduire l'exposition, mais il s'agit d'une fonctionnalité distincte et non d'une garantie. Un VPN est une couche, et il ne faut pas le confondre avec une protection contre les logiciels espions diffusés via le contenu que vous chargez.

Les protections qui réduisent l'exposition : mises à jour, bloqueurs de publicités et modes verrouillés

Aucune mesure unique ne rend une personne immunisée contre un attaquant bien financé, mais plusieurs mesures réduisent l'ouverture.

  • Installez les mises à jour rapidement. Ce type de logiciel espion dépend de failles logicielles. Les mises à jour du système d'exploitation et du navigateur colmatent ces failles, donc les retarder garde la porte ouverte plus longtemps.
  • Utilisez un bloqueur de publicités. Si la voie d'infection est une publicité, alors ne pas charger la publicité supprime le vecteur de diffusion. Les bloqueurs intégrés au navigateur et le filtrage au niveau du réseau sont tous deux des options.
  • Activez les modes renforcés. Les principales plateformes mobiles proposent des paramètres de haute sécurité destinés aux personnes exposées à un risque élevé d'attaques ciblées. Ils échangent un peu de confort contre une surface d'attaque réduite, ce qui est un compromis raisonnable pour les journalistes, les militants et les utilisateurs similaires.
  • Réduisez ce qui s'exécute en arrière-plan. Supprimez les applications que vous n'utilisez pas, limitez les applications très publicitaires et maintenez les navigateurs et applications à jour en même temps que le système d'exploitation.
  • Redémarrez et surveillez. Des redémarrages réguliers et une attention portée à une consommation de batterie inhabituelle, à la chaleur ou aux plantages ne prouvent rien, mais ce sont des habitudes peu coûteuses. Les rédactions disposant de personnel informatique ou de sécurité devraient leur demander d'examiner les appareils des employés couvrant des sujets sensibles.

Les organisations ont aussi un rôle. Un média peut établir une politique de base exigeant les mises à jour, des modes renforcés obligatoires pour les reporters à haut risque et un blocage de publicités approuvé sur les appareils professionnels, plutôt que de laisser chaque reporter se débrouiller seul.

Zero-day Palo Alto : un rappel de corriger les appareils de périphérie

Le même récapitulatif notait qu'une faille zero-day dans les pare-feu Palo Alto est exploitée. Nous n'avons pas de détails au-delà du résumé, alors consultez les avis du fournisseur concernant les versions affectées et les correctifs. La leçon recoupe l'affaire du logiciel espion : les attaquants s'en prennent aux logiciels que les gens croient être leurs protecteurs. Les pare-feu et autres appareils de périphérie se situent entre un réseau et Internet, ce qui en fait des cibles précieuses, et une faille zero-day exploitée signifie que les attaques ont lieu avant ou au moment où un correctif devient disponible.

Si vous gérez ce type d'équipement, traitez les recommandations du fournisseur comme urgentes, restreignez autant que possible l'exposition publique des interfaces de gestion et examinez les journaux pour détecter une activité inhabituelle. Le récapitulatif mentionnait aussi une faille critique dans Drupal, que les propriétaires de sites utilisant cette plateforme devraient vérifier par rapport aux avis de sécurité officiels.

Ce que cela signifie pour vous

Si vous êtes journaliste, chercheur, militant ou toute personne susceptible d'intéresser un gouvernement ou un sous-traitant de la surveillance, « je ne clique pas sur des liens étranges » ne suffit plus. Le risque peut survenir lors d'une navigation ordinaire. Pour la plupart des autres lecteurs, le risque pratique est plus faible, mais les mesures qui aident les utilisateurs à haut risque profitent aussi à tout le monde : mises à jour, blocage des publicités et une approche raisonnable des applications que vous conservez.

L'inculpation de l'ingénieur d'OpenAI pour mise sur écoute est une affaire distincte, mais elle s'inscrit dans un thème : les menaces de surveillance vont des logiciels à distance aux appareils physiques, et les conversations sensibles méritent de la prudence dans les deux mondes.

Points clés à retenir

  • Les publicités malveillantes à logiciel espion zero-click que les journalistes peuvent voir peuvent compromettre un appareil sans aucun clic, donc la prudence face aux liens ne suffit pas comme défense.
  • Un VPN protège votre connexion, pas votre appareil contre un contenu exploitant une faille, donc ne comptez pas sur lui pour cette menace.
  • Appliquez les mises à jour du système d'exploitation et du navigateur dès qu'elles sont disponibles.
  • Activez les modes verrouillés ou renforcés sur votre téléphone et utilisez un blocage des publicités.
  • Corrigez rapidement les appareils de périphérie comme les pare-feu Palo Alto et suivez les avis du fournisseur.

Pour un exemple documenté de compromission via publicité malveillante, lisez notre couverture de l'enquête de Citizen Lab sur Al Jazeera, puis consacrez dix minutes aujourd'hui à mettre à jour vos appareils et à activer les protections les plus fortes qu'ils offrent.