Pensez à toutes les informations que vous saisissez chaque jour sur votre téléphone ou votre ordinateur. Des conversations avec vos amis proches aux recherches médicales sensibles, en passant par vos coordonnées bancaires : les appareils d’aujourd’hui font partie intégrante de notre quotidien. Les attaquants savent parfaitement que votre téléphone et votre ordinateur portable contiennent une grande quantité de données sensibles, et ils savent aussi que ces données peuvent se revendre à prix d’or.
Le spyware (ou logiciel espion) désigne cette famille d’applications malveillantes qui cherchent à rester aussi indétectables que possible, tout en transmettant la moindre information personnelle à leur commanditaire. Il peut s’agir d’un cybercriminel appâté par le gain comme d’une cellule gouvernementale entière : le spyware va du simple keylogger aux exploits zero-click les plus complexes. Savoir reconnaître les signes vous aidera à protéger les données qui vous sont chères, et à mieux dormir la nuit.
Qu’est-ce qu’un spyware ?
Un spyware est un type de logiciel malveillant, ou malware, installé secrètement sur un ordinateur ou un appareil mobile à l’insu de l’utilisateur. Sa fonction première consiste à infiltrer l’appareil pour recueillir des informations sensibles sur les activités de l’utilisateur, puis à transmettre ces données à des tiers non autorisés : annonceurs frauduleux, fermes de données ou autres intermédiaires.
Pour comprendre l’intérêt du spyware, il faut le replacer dans un contexte plus large. Les groupes de pirates sont aujourd’hui sophistiqués, non seulement sur le plan technique, mais aussi sur le plan économique. L’essor d’espaces en ligne qui permettent aux acteurs malveillants de se rencontrer a fait que des groupes aux compétences très diverses peuvent désormais mettre en commun et monnayer les malwares qu’ils développent et les données qu’ils dérobent.
Des dizaines de millions de dollars circulent sur ce marché noir : les données récoltées lors d’attaques par spyware sont souvent revendues à des groupes plus offensifs, qui s’en servent pour alimenter des campagnes de phishing et des attaques par ransomware.
Par ailleurs, l’époque où les gouvernements ignoraient tout d’internet est révolue. Le spyware baigne dans les accusations de surveillance étatique. Et si des fournisseurs de spyware réputés comme NSO Group affirment n’accorder de licences qu’à des gouvernements souhaitant utiliser leur technologie pour arrêter des criminels, les preuves de son utilisation contre des journalistes existent déjà.
Certaines variantes de spyware, comme les stalkerwares, sont spécifiquement conçues pour suivre la localisation d’une personne. Ce type de spyware peut être installé discrètement sur un appareil mobile et permet de suivre les déplacements physiques de l’utilisateur, d’intercepter ses communications comme les SMS et les e-mails, d’enregistrer ses conversations téléphoniques et d’accéder à des contenus privés tels que des photos et des vidéos.
Le fonctionnement d’un spyware
Acquérir une compréhension de base des techniques, tactiques et procédures (TTP) employées par les spywares est indispensable pour assurer votre propre sécurité.
Comment un spyware s’installe sur votre appareil
Un spyware peut s’installer sur un appareil à l’insu de son utilisateur par de nombreuses voies. Package d’installation d’une application (généralement un fichier .exe), transfert de fichier, site web malveillant ou simple clé USB : la méthode d’infection dépend avant tout de la situation de la victime. Comme le spyware vise souvent des cibles précises, les techniques d’infection sont fréquemment taillées sur mesure pour la personne visée.
Pegasus, un spyware bien précis dont nous parlerons plus bas, exploite par exemple des failles zero-touch. Une équipe gouvernementale peut ainsi implanter le spyware via un appel manqué sur WhatsApp. Le propriétaire du téléphone n’a strictement aucune interaction à effectuer pour que le téléchargement s’opère, et l’exécution du spyware supprime ensuite la trace de l’appel manqué : l’utilisateur ne se doute de rien.
Rares sont les déploiements de spyware aussi évolués : l’ingénierie sociale obtient le même résultat avec bien moins de compétences techniques et d’investissement. Cette approche plus classique permet aux attaquants de tirer parti du renseignement en Open-source pour produire des liens de phishing extrêmement persuasifs et ciblés, qui dirigent l’utilisateur vers un serveur hébergeant le spyware.
Enfin, les déploiements de spyware exploitent aussi les personnes de confiance en interne. Le déploiement se fait alors via un émetteur-récepteur sans fil local, ou par téléchargement manuel sur le téléphone de la cible.
Comment un spyware collecte vos données
Une fois installé sur votre appareil, le spyware met immédiatement en route toute une série de fonctions. Ces scripts collectent tout ce que vous tapez sur le clavier de l’appareil : ils peuvent activer et enregistrer le micro, la caméra et des captures d’écran, accéder à tous les fichiers, capturer le contenu de vos e-mails, de vos messages et de vos applications de réseaux sociaux, et conserver l’historique de votre navigateur.
L’immense éventail de données qu’un spyware parvient à collecter s’explique en partie par les keyloggers. Généralement logiciels, ils se contentent de surveiller et d’enregistrer chaque frappe sur le clavier de votre appareil. Ces fichiers sont transmis au pirate de différentes façons : parfois exfiltrés vers un serveur tiers, parfois envoyés par e-mail, parfois même mis en ligne directement sur un site web ou une base de données publics.
Certains keyloggers sont plus évolués que d’autres et parviennent à détourner les programmes d’accessibilité des smartphones, pourtant destinés à aider les utilisateurs malvoyants.
Comment un spyware passe entre les mailles du filet
Détecter un spyware est notoirement difficile. Les applications de spyware démarrent souvent dès la mise sous tension et le démarrage de l’appareil infecté : leur objectif est ensuite de rester indétectables tout en s’exécutant en arrière-plan. Elles y parviennent parfois en se faisant passer pour des utilitaires ou des applications anodines, avec des noms et des icônes passe-partout.
Elles se fondent ainsi dans la masse des innombrables autres processus de votre appareil. Pour se faire plus discrets encore, certains modifient les paramètres de l’appareil afin de ne pas apparaître dans la barre des tâches ni sur le bureau.
Le premier indice de la présence d’un spyware est souvent une baisse sensible des performances : ralentissement du traitement, problèmes de connectivité réseau, mais aussi consommation de données accrue et autonomie réduite, en particulier sur les appareils mobiles.
Puisque les saisies de l’utilisateur sont enregistrées et envoyées vers une base de données malveillante, ces nouveaux flux de données vers un serveur externe présentent un risque de détection. Cela signifie que des téléphones et des appareils connectés à des réseaux d’entreprise pourraient être repérés, car même des outils de défense réseau basiques signaleraient ce trafic comme suspect.
Les auteurs de spywares mettent donc souvent en place un contournement aussi néfaste que simple : ils communiquent tout bonnement via des canaux non sécurisés, dissimulant le transfert malveillant au vu et au su de tous.
Les dégâts causés par un spyware
Une fois qu’un appareil a été mis sur écoute pour ses précieux flux d’informations, le commanditaire choisit ce qu’il en fait. Pour les gouvernements et les forces de l’ordre, ces données alimentent une campagne de renseignement plus vaste visant à établir l’innocence d’un suspect. Pour les pirates black hat, en revanche, ces données capturées sont souvent revendues à d’autres attaquants, qui peuvent ensuite s’en servir pour usurper une identité.
Ouvrir des lignes de crédit à votre nom, utiliser les informations de votre carte bancaire pour effectuer des transactions en ligne, déployer des formes de malware plus directes et plus intrusives sur l’appareil : le monde leur appartient.
Comme un spyware peut modifier les paramètres du pare-feu, un appareil infecté devient très vulnérable à de nouvelles attaques. L’appareil peut alors être enrôlé dans un botnet ou dans un réseau publicitaire malveillant, le spyware pouvant également fausser les résultats des moteurs de recherche pour vous orienter vers des publicités dont les attaquants tirent une rémunération.
De plus, le spyware s’accompagne souvent de fenêtres publicitaires intempestives. Ces publicités peuvent se révéler particulièrement intrusives, en s’affichant même sans connexion internet, et deviennent une source d’irritation permanente.
Parfois, les dégâts infligés à votre ordinateur finissent par endommager le système lui-même. Le spyware a tendance à consommer une part considérable de la mémoire, de la puissance de calcul et de la bande passante de votre ordinateur, faute d’optimisation des performances. Les appareils touchés par un spyware peuvent donc présenter des lenteurs et des latences lors du passage d’une application à une autre ou pendant les activités en ligne.
Dans les cas les plus graves, le spyware peut provoquer des plantages système réguliers ou une surchauffe, avec un risque de dommages irréversibles.
Les types de spyware
Vu la diversité des spywares en circulation, il reste difficile de savoir précisément à quoi se fier. Les exemples suivants éclairent les différents types existants.
Adware
L’adware affiche principalement des publicités non désirées, en modifiant souvent les paramètres du navigateur ou en manipulant les recherches sur le web. Généralement moins nocif que les autres variantes de spyware, l’adware peut néanmoins dégrader les performances de l’appareil et se révéler très agaçant.
En août 2023, des chercheurs ont découvert que plus de 40 applications du Google Play Store chargeaient discrètement des publicités lorsque l’écran du téléphone était éteint. Parmi elles figuraient les applications Music Downloader, News et Calendar, pour un total de plus de 2,5 millions d’installations.
Pendant l’installation, ces packages peuvent se connecter à un serveur tiers pour récupérer les derniers adwares ou plugins, sans enregistrer directement le moindre fichier sur le disque dur. De plus, les installateurs de ces adwares peuvent détourner les mécanismes de diffusion et servir à distribuer des types de malwares bien plus graves.
Keyloggers
Compte tenu de la profondeur de la collecte de données qu’ils permettent, les keyloggers trouvent leur meilleure illustration dans les spywares d’origine étatique. Pegasus est le produit phare de la société de renseignement israélienne NSO Group : outre l’exploit zero-click déjà évoqué, les capacités de Pegasus lui permettent de capturer chaque frappe au clavier, d’activer le micro et la caméra, de prendre régulièrement des captures d’écran et d’exfiltrer l’intégralité des fichiers présents sur l’appareil et sur les comptes cloud associés. L’Allemagne, la Belgique, la France, la Hongrie, la Pologne, la Thaïlande et les Émirats arabes unis ne sont que quelques-uns des pays qui ont soit reconnu avoir utilisé le spyware Pegasus, soit ouvert des enquêtes sur son emploi contre leurs propres citoyens.
Chevaux de Troie dotés de fonctions d’espionnage
Un spyware n’a pas besoin d’être aussi sophistiqué que les produits de NSO. En 2023, on a découvert que le Google Play Store hébergeait deux applications populaires de gestion de fichiers qui étaient, en effet, des chevaux de Troie chinois dotés de fonctions d’espionnage avancées.
Ces applications, File Recovery and Data Recovery (plus d’un million d’installations) et File Manager (plus de 500 000 installations), avaient été développées par la même entité. Ces deux applications Android se lancent automatiquement au redémarrage de l’appareil, sans le consentement de l’utilisateur. Elles collectent ensuite en toute discrétion un large éventail d’informations personnelles : listes de contacts, fichiers multimédias, localisation en temps réel, codes réseau de l’opérateur mobile et de la carte SIM, ainsi que des détails sur l’appareil lui-même.
De plus, le volume de données dérobées s’est révélé alarmant, chaque application effectuant régulièrement plus d’une centaine de transmissions vers plusieurs serveurs malveillants.
Rootkits
Les rootkits sont particulièrement bien placés pour jouer un rôle dans l’espionnage, puisqu’ils sont conçus pour obtenir un accès privilégié à un système tout en restant indétectables. Une découverte récente a mis au jour un rootkit qui s’introduisait dans les ordinateurs à l’un des niveaux les plus fondamentaux depuis 2016. Surnommé CosmicStrand, ce rootkit compromet l’UEFI, un code de démarrage situé sur la carte mère elle-même.
C’est tout le premier logiciel exécuté au démarrage d’un ordinateur : il influence donc l’ensemble des systèmes d’exploitation et des logiciels chargés par la suite. En raison des points d’ancrage qu’il est possible d’insérer dans le processus de démarrage, les appareils restent infectés même après un remplacement complet du disque dur.
Ce qui inquiète vraiment les chercheurs en sécurité, c’est que des rootkits de ce type circulent dans la nature depuis relativement longtemps. CosmicStrand a désormais été attribué à un groupe malveillant sinophone, mais il est fort probable que d’autres rootkits existent et n’aient tout simplement pas encore été repérés.
Comment se protéger des spywares
À moins de vous être fait des ennemis très puissants, se protéger d’un spyware revient en grande partie à maintenir une bonne hygiène de sécurité. Pour plus de sûreté, un logiciel anti-spyware aide à tenir les curieux à distance. La plateforme de surveillance et gestion à distance (RMM) de NinjaOne offre une visibilité complète sur les appareils des utilisateurs finaux, ce qui permet de savoir précisément quels logiciels s’exécutent sur chaque ressource.
Avec cette nouvelle référence de configuration en matière de visibilité, il devient possible de configurer, corriger, désinstaller et surveiller les applications de vos utilisateurs finaux à grande échelle, sans dépendre d’un réseau d’entreprise, d’un VPN ou d’un domaine coûteux et chronophage. Pouvoir éliminer les vulnérabilités et repérer automatiquement celles qui posent problème est un élément clé de la protection des équipes contre les spywares.
Dernière fonction anti-spyware : les capacités de chiffrement de disque de NinjaOne. Elles identifient les Drive non chiffrés et les chiffrent de manière sécurisée conformément aux bonnes pratiques du secteur, ce qui renforce le durcissement de points particulièrement sensibles. Avec NinjaOne, les collaborateurs et la propriété intellectuelle de votre entreprise restent protégés face à un paysage du spyware en constante évolution.
Pour une présentation en images de la façon dont les spywares infectent les appareils et de ce à quoi ressemble une bonne protection, regardez cette vidéo : « Qu’est-ce qu’un spyware ? Les différents types et comment s’en protéger ».
