Piratage EncroChat : la faille « Bad Binder » au cœur de l'opération française
Un rapport de 146 pages de la société tchèque Invasys révèle que les autorités françaises ont exploité la faille Android « Bad Binder » pour infiltrer EncroChat.
La vulnérabilité « Bad Binder » au cœur du piratage d'EncroChat par la DGSI
Un rapport de 146 pages de la société tchèque de cybersécurité Invasys lève en partie le voile sur les méthodes techniques employées par les autorités françaises pour pirater la messagerie sécurisée EncroChat. Selon ZDNet France, qui s'appuie sur un article de Computer Weekly, les gendarmes et les spécialistes de la Direction générale de la sécurité intérieure (DGSI) auraient combiné la faille Android « Bad Binder » et l'outil de cybersécurité « Frida » pour s'infiltrer dans l'infrastructure de la plateforme.
Jusqu'alors, les détails techniques de l'opération restaient largement confidentiels. Lors du dévoilement de ce coup de filet spectaculaire en juillet 2020, les deux dispositifs techniques clés étaient couverts par le secret de la défense nationale. Les gendarmes avaient simplement reconnu avoir profité des mises à jour automatiques des téléphones pour déployer leur dispositif.
Une fausse mise à jour comme vecteur d'infection
Devant la justice britannique, des experts avaient précisé le mécanisme global : un programme malveillant transmis aux utilisateurs sous la forme d'une mise à jour logicielle, rendue possible par la prise de contrôle préalable du serveur d'update d'EncroChat. C'est une décision judiciaire britannique qui a ensuite ouvert la voie à l'étude, par Invasys, de téléphones EncroChat saisis.
La société a ainsi pu identifier des traces du lancement de « Bad Binder » au démarrage des appareils infectés par cette fausse mise à jour. Signalée par des chercheurs de Google en octobre 2019, cette vulnérabilité permet d'obtenir un accès total à un appareil Android. À l'époque, ces chercheurs estimaient probable que NSO Group, le fabricant du logiciel espion Pegasus, se soit déjà emparé de cette faille.
« Frida », un outil de surveillance en temps réel
Outre « Bad Binder », les autorités françaises se seraient également appuyées sur « Frida », une boîte à outils de cybersécurité qui, une fois installée sur un téléphone, permet de suivre et d'interrompre des processus en temps réel. Computer Weekly résume l'ensemble comme un « logiciel espion de rêve » pour des opérateurs de surveillance.
Ce combo technique constitue, six ans après les faits, la description la plus précise jamais rendue publique des moyens déployés lors de cette opération d'interception internationale.
Un bilan judiciaire considérable
Dans un bilan publié en juin 2023, l'agence Europol faisait état d'une centaine de projets d'assassinat repérés grâce aux données interceptées, de centaines de tonnes de stupéfiants saisies et de 6 558 suspects arrêtés à travers l'Europe.
Deux ressortissants canadiens, accusés d'être respectivement le patron et le directeur technique d'EncroChat, ont été extradés vers la France. La date de leur procès n'est pas encore connue.
Un débat juridique persistant
L'opération continue de susciter des contestations. Ses détracteurs estiment qu'elle a permis aux forces de l'ordre de procéder à une collecte massive de données, jugée trop large et en dehors du cadre légal des interceptions. L'accusation, en revanche, soutient que la messagerie avait été conçue « sur commande » de criminels, ce qui justifierait les moyens employés.
La révélation du rôle de « Bad Binder » relance les questions sur la frontière entre opération de police judiciaire et exploitation offensive de failles de sécurité informatique — un débat qui reste entier devant plusieurs juridictions européennes.
Source: ZDNet France