EncroChat : ce que révèle la piste de Bad Binder

Une opération de 2020 longtemps restée opaque

EncroChat vendait des téléphones Android modifiés, dont la messagerie chiffrée était accessible derrière une apparence de smartphone ordinaire. En 2020, une opération française a permis de collecter des messages sur ce réseau. Les enquêteurs avaient alors indiqué avoir utilisé le mécanisme de mise à jour automatique des appareils, sans exposer les détails techniques de l'implant installé.

Cette discrétion explique pourquoi le fonctionnement précis de l'opération est resté discuté dans plusieurs procédures judiciaires européennes. Dans son bilan de juin 2023, Europol a attribué à l'exploitation des données EncroChat 6 558 arrestations, l'interception de centaines de tonnes de stupéfiants et l'identification d'une centaine de projets d'assassinat. Ces chiffres décrivent les suites policières de l'opération, pas le nombre de téléphones effectivement infectés.

La piste technique : CVE-2019-2215, dite Bad Binder

L'enquête de Computer Weekly s'appuie sur un rapport de la société tchèque Invasys et sur l'analyse d'un téléphone saisi. D'après ces travaux, le programme retrouvé utilisait Bad Binder au démarrage afin d'obtenir des privilèges élevés sur l'appareil. Cette vulnérabilité, référencée CVE-2019-2215, concerne le pilote Binder du noyau Android : il s'agit d'un défaut de type use-after-free, c'est-à-dire l'utilisation d'une zone mémoire après sa libération.

Google Project Zero documente que le correctif avait existé dans certaines branches du noyau dès 2018, mais n'avait pas été distribué à de nombreux appareils Android. Google a publié un correctif dans son bulletin de sécurité d'octobre 2019 pour les appareils concernés. La faille était donc connue avant l'opération de 2020, mais un téléphone resté sur une version ancienne pouvait encore y être exposé.

Une fausse mise à jour comme porte d'entrée

Selon Computer Weekly, les téléphones EncroChat contactaient automatiquement leur serveur de mise à jour. Les enquêteurs français auraient pris le contrôle de ce canal côté infrastructure, puis diffusé un paquet présenté comme une mise à jour. Les analyses décrites par le média indiquent que l'implant combinait Bad Binder avec Frida, un outil légitime d'instrumentation utilisé notamment par des chercheurs en sécurité.

Une fois les privilèges obtenus, le logiciel aurait pu observer des processus de la messagerie et copier des données depuis le téléphone. Le point important est qu'une messagerie chiffrée ne protège pas un appareil déjà compromis : le message peut être lu avant son chiffrement ou après son déchiffrement. Cela ne signifie pas que le chiffrement d'EncroChat a été cassé. Les travaux disponibles décrivent au contraire une collecte sur les terminaux.

Ce que cette affaire rappelle sur les mises à jour

L'enseignement général n'est pas de se méfier de toute mise à jour, mais de comprendre sa place dans la sécurité d'un appareil. Un téléphone qui ne reçoit plus les correctifs du fabricant conserve des failles connues. À l'inverse, une mise à jour distribuée depuis une infrastructure compromise peut devenir un vecteur d'intrusion : c'est un scénario à très fort impact, car elle bénéficie habituellement de la confiance de l'utilisateur.

Pour un usage courant, le réflexe utile est de vérifier que le système et les applications reçoivent encore leurs mises à jour de sécurité, puis de remplacer un appareil qui n'est plus maintenu. Il ne faut pas installer un fichier APK reçu par message ou depuis un site inconnu sous prétexte de « mise à jour ». Les mises à jour doivent passer par les canaux prévus par le constructeur ou le magasin officiel.

Ce que nous ne pouvons pas vérifier

Le rapport complet d'Invasys n'est pas publié par les autorités françaises et celles-ci n'ont pas confirmé publiquement l'ensemble de la chaîne technique détaillée par Computer Weekly. Les éléments présentés reposent sur la rétro-ingénierie d'un implant retrouvé sur un téléphone et sur des documents judiciaires rapportés par le média.

Nous ne pouvons donc pas affirmer, au-delà de ces analyses, quels téléphones ont été infectés, quelles fonctions précises ont été utilisées dans chaque cas, ni si toutes les capacités théoriques du logiciel ont été activées. Le nombre de 66 134 cartes SIM cité dans l'enquête correspond au recensement du réseau effectué à partir d'images de serveurs, pas à une liste confirmée d'appareils compromis.

Sources : Google Project Zero ↗ · Computer Weekly ↗ · ZDNET France ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.