Babar (logiciel malveillant)

Dès 2009, les services de renseignement français sont fortement soupçonnés d'être à l'origine de Babar[1], des chercheurs ont désigné la Direction générale de la Sécurité extérieure comme en étant l'auteur présumé[2].

Le 21 mars 2014, Le Monde publie, dans le cadre des révélations d'Edward Snowden, un document classé top secret du Centre de la sécurité des télécommunications Canada décrivant une plateforme d'espionnage informatique nommée SNOWGLOBE, dotée des modules nommés SNOWBALL et SNOWMAN[3]. Le document publié par Le Monde est un extrait de 7 pages, la version complète de 25 pages sera publiée par la suite le 17 janvier 2015 par Der Spiegel[4].

Dans ce document, on apprend notamment que les chaînes de caractères laissées dans les exécutables suggéreraient que le nom de code utilisé en interne par le logiciel soit « Babar », et que son développement soit l'œuvre d'un certain « titi ». L'unité du kilooctet est utilisé plutôt que celle du kilobyte, la locale « fr_FR » est définie dans le code, et les chaînes en anglais qui s'y trouvent sont rédigées dans un langage plutôt approximatif ; autant d'éléments qui suggéreraient la paternité de la France sur ce logiciel.

Le 18 février 2015, soit deux jours seulement après la révélation par Kaspersky des réalisations de l'Equation Group, qui est à l'origine de logiciels à visée d'espionnage similaire pour le compte des États-Unis[5], un groupe d'analystes de logiciels malveillants publie une série d'articles détaillant massivement le fonctionnement interne de Babar. Un premier papier est publié par Marion Marschalek de l'entreprise de cyberdéfense Cyphort[6] - [7], suivi quelques heures plus tard par un article de Paul Rascagnères sur le blog de G DATA[8]. Concomitamment, des articles annonçant les nouvelles informations connues sur l'outil d'espionnage sont publiés dans les éditions en ligne de Le Monde[9], Vice[2] et Le Soir[10].

Le 6 mars 2015, Kaspersky publie une note au sujet de Babar et de ses variantes, dans laquelle il surnomme le groupe qui en est à l'origine « Animal Farm » (La Ferme des animaux), et dit notamment avoir trouvé des traces d'activité remontant à 2007[11] - [12]. Le 19 juin 2015, les trois chercheurs à l'origine des publications faites en février tiennent une nouvelle présentation à l'occasion la conférence de rétro-ingénierie REcon 2015[13].

En juin 2016, Bernard Barbier, qui était directeur technique à la DGSE en 2012, a confirmé lors d'un Symposium CentraleSupélec que Babar avait été créé par la DGSE[14] - [15].

Décrit comme un « kit d'espionnage complet », Babar comprend notamment un enregistreur de frappe, des fonctions de prise de captures d'écran, de récupération de diverses informations du système, telles que le contenu du presse-papier, le nom des fenêtres ouvertes, la langue, la disposition de clavier, la présence de certains antivirus, mais aussi et surtout la possibilité d'intercepter les conversations de divers logiciels de messagerie instantanée et de voix sur IP.

Pour ce faire, Babar injecte du code malveillant dans la mémoire de processus ; il cible notamment les navigateurs web Internet Explorer, Firefox, Opera, Google Chrome, Safari, les logiciels de visualisation de documents Microsoft Office, Adobe Acrobat, Bloc-notes, WordPad, et les logiciels de messagerie instantanée Skype, Windows Live Messenger, ooVoo, Nimbuzz, Google Talk, Yahoo Messenger et X-Lite (en). Il intercepte alors une liste prédéfinie d'appels aux API système. Il comprend une implémentation du protocole MSNP.

Les serveurs qui reçoivent les informations dérobées par Babar (serveurs dits « C&C (en) » dans le jargon de la sécurité informatique) sont répartis dans divers pays, et seraient présents principalement sur des sites web compromis, ainsi que des hébergements gratuits. La partie serveur de Babar est écrite en PHP[6].

Selon le CSTC, une des principales cibles de Babar serait l'Iran, avec notamment :

• le ministère des Affaires étrangères de l'Iran ;
• l'université de science et de technologie d'Iran (en) ;
• l'organisation de l'énergie atomique d'Iran ;
• la Data Communication Company of Iran (DCI) ;
• l'organisation de la recherche iranienne pour la science et la technologie (en), de l'université Imam-Hossein ;
• l'université de technologie Malek-Ashtar (en).

Seraient aussi concernés les Five Eyes, l'Europe avec la Grèce, la France, la Norvège, l'Espagne, ainsi que l'Afrique avec la Côte d'Ivoire et l'Algérie. Le fait que d'anciennes colonies françaises soient visées, ainsi que des organisations francophones, y compris de médias, aurait orienté parmi d'autres choses l'attribution de Babar à la France par le CSTC[1].