[Espionnage] Du Togo à l’Inde, sur la trace des logiciels espions du groupe Donot Team

Dans un rapport publié le 7 octobre, les chercheurs en sécurité informatique d’Amnesty International expliquent avoir identifié deux logiciels espions envoyés à un militant des droits de l’homme au Togo.

Les chercheurs en sécurité informatique d’Amnesty International ont remonté la piste jusqu’au groupe Donot Team, déjà connu pour des attaques informatiques en Asie du Sud-Est.
Les chercheurs en sécurité informatique d’Amnesty International ont remonté la piste jusqu’au groupe Donot Team, déjà connu pour des attaques informatiques en Asie du Sud-Est.

Décembre 2019 : un militant des droits de l’homme résidant au Togo reçoit une série de messages étranges sur l’application WhatsApp. Son correspondant, qui lui écrit en anglais depuis un numéro indien, tente de se faire passer pour une connaissance et lui demande d’installer une autre application de messagerie pour poursuivre la conversation.
Méfiant, l’activiste contacte Amnesty International et transmet aux experts informatiques de l’organisation le fichier d’installation. Après analyse, la « messagerie » en question dissimule surtout le logiciel espion StealJob, capable d’aspirer, à l’insu de son utilisateur, de très nombreuses informations, comme la géolocalisation ou les SMS, de capter les messages WhatsApp en temps réel et d’enregistrer les appels passés par le téléphone.

Moins d’un mois plus tard, un autre message suspect parvient au même activiste, cette fois sur sa boîte d’e-mails. Un peu plus subtil, et rédigé cette fois en français, le courriel l’incite à télécharger une pièce jointe, qui contient elle aussi un logiciel espion, pour Windows cette fois, YTY. YTY comme StealJob sont des logiciels relativement peu courants, déjà reliés par le passé à un groupe baptisé Donot Team, soupçonné d’opérer principalement depuis et vers l’Asie du Sud-Est.

Liens piégés et fichiers vérolés
Les chercheurs en sécurité informatique d’Amnesty international ont pu remonter la piste laissée par les pirates qui ont visé ce militant des droits de l’homme au Togo. Ils ont découvert une infrastructure, partiellement mal dissimulée et utilisée pour envoyer des liens piégés et des fichiers vérolés à des centaines de destinataires. Les adresses IP (Internet Protocol, l’adresse d’une machine sur le réseau) de ces cibles étaient dans leur écrasante majorité situées au Pakistan, au Cachemire et, dans une moindre mesure, en Inde et au Bangladesh. Une distribution qui correspond aux ciblages de Donot Team déjà observés par le passé.

Google 1

Les serveurs identifiés par les chercheurs d’Amnesty International sont utilisés par une entreprise privée, Innefu Labs, située en Inde. Sur son site, cette dernière se présente comme une « start-up de recherche et développement en cybersécurité » et liste parmi ses clients l’armée indienne et la Border Security Force (BSF), la puissante force de police chargée de la surveillance et de la défense des frontières du pays avec le Pakistan et le Bangladesh. Les CV et profils LinkedIn de plusieurs employés de l’entreprise semblent indiquer que la conception ou l’amélioration de logiciels espions font partie de leurs attributions.

Source : LeMonde