Des failles sur le mouchard informatique de la police allemande

Le Chaos Computer Club (CCC), le plus grand rassemblement de hackers en Europe, a publié samedi les résultats d'une analyse de ce qu'il décrit comme un malware développé pour la police allemande. "Le malware peut non seulement siphonner des données intimes, mais il offre aussi un contrôle à distance ou une fonctionnalité de backdoor pour envoyer et exécuter d'autres programmes arbitraires", résume le CCC. Ce dernier démontre que le malware peut aussi être contrôlé par des tiers, les commandes n'étant pas chiffrées pour être sécurisées. Les hackers ont d'ailleurs écrit une application permettant de contrôler l'espion, après avoir averti le ministère de l'intérieur de leurs découvertes.

L'existence du logiciel, baptisé "Quellen-TKÜ" (ce qui veut dire "interception judiciaire à la source"), n'est pas une découverte. La police allemande a le droit d'utiliser des dispositifs d'interception des données sur les ordinateurs pour opérer une écoute des communications électroniques, semblable aux écoutes réalisées sur les lignes téléphoniques classiques. Mais la cour constitutionnelle allemande avait interdit en février 2008 l'utilisation de tels dispositifs pour accéder à des données privées, ou prendre le contrôle de l'ordinateur du suspect.

Or les travaux du Chaos Computer Club, qui publie le fichier binaire du logiciel, montrent que Quellen-TKÜ peut être utilisé pour envoyer des données ou même installer des modules supplémentaires à distance. Pour les hackers, cela pose un problème de sincérité de l'enquête, puisqu'il est alors possible d'envoyer de fausses preuves sur l'ordinateur du suspect, ou au contraire d'en supprimer. Le problème est d'autant plus grave qu'aucune sécurité n'empêche qu'un tiers utilise les commandes du programme pour envoyer lui-même des données à distance.

Le logiciel permet notamment d'activer la webcam ou le microphone de l'ordinateur à distance, et de récupérer ces données pour surveiller une pièce ou entendre ce que dit un suspect dans sa maison ou son bureau. Il peut aussi envoyer des captures d'écran du navigateur, ce qui permet y compris l'espionnage des e-mails ou des documents saisis sur des traitements de texte en ligne ; ce qui selon le CCC serait interdit par la cour constitutionnelle.

En France, les interceptions à distance sur les ordinateurs des suspects étaient officiellement interdites avant la loi Loppsi de 2011, qui a introduit le dispositif dans l'arsenal judiciaire. Depuis, la loi permet aux policiers de "mettre en place un dispositif technique ayant pour objet, sans le consentement des intéressés, d'accéder, en tous lieux, à des données informatiques, de les enregistrer, les conserver et les transmettre, telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données ou telles qu'il les y introduit par saisie de caractères". Le mouchard peut être installé par une intervention physique sur l'ordinateur du suspect, en son absence, ou alors "le juge d'instruction peut également autoriser la transmission par un réseau de communications électroniques de ce dispositif".