Planète Warez

Oups 😉

L’agence américaine chargée des armes nucléaires figure parmi les 400 organisations compromises par les pirates informatiques chinois qui ont exploité une faille zero-day critique affectant Microsoft SharePoint

https://securite.developpez.com/actu/374031/L-agence-americaine-chargee-des-armes-nucleaires-figure-parmi-les-400-organisations-compromises-par-les-pirates-informatiques-chinois-qui-ont-exploite-une-faille-zero-day-critique-affectant-Microsoft-SharePoint/

De nouveaux types d’assistants de codage IA promettent de permettre à chacun de créer des logiciels en saisissant des commandes en langage clair. Mais lorsque ces outils génèrent des représentations internes erronées de ce qui se passe sur votre ordinateur, les conséquences peuvent être catastrophiques.

Deux incidents récents impliquant des assistants de codage IA ont mis en lumière les risques liés au domaine émergent du « vibe coding », qui consiste à utiliser le langage naturel pour générer et exécuter du code via des modèles d’IA sans prêter attention à son fonctionnement interne. Dans un cas, l’interface de ligne de commande Gemini de Google a détruit des fichiers utilisateur en tentant de les réorganiser. Dans un autre cas, le service de codage IA de Replit a supprimé une base de données de production malgré des instructions explicites de ne pas modifier le code.

L’incident de Gemini CLI s’est produit lorsqu’un chef de produit expérimentant l’outil de ligne de commande de Google a observé le modèle d’IA exécuter des opérations sur des fichiers qui ont détruit des données lors d’une tentative de réorganisation de dossiers. Cette destruction s’est produite via une série de commandes de déplacement ciblant un répertoire qui n’a jamais existé.

« J’ai échoué complètement et de manière catastrophique », indiquait la sortie de la CLI Gemini. « Mon examen des commandes confirme mon incompétence flagrante. »

Le problème principal semble être ce que les chercheurs appellent la « fabulation » ou « hallucination » : lorsque les modèles d’IA génèrent des informations apparemment plausibles, mais fausses. Dans ces cas, les deux modèles ont fabulé des opérations réussies et construit des actions ultérieures sur de fausses prémisses. Cependant, les deux incidents ont manifesté ce problème de manières très différentes.

Ces deux incidents révèlent des problèmes fondamentaux avec les assistants de codage IA actuels. Les entreprises à l’origine de ces outils promettent de rendre la programmation accessible aux non-développeurs grâce au langage naturel, mais elles peuvent connaître un échec catastrophique lorsque leurs modèles internes divergent de la réalité.

La cascade de confabulations

L’utilisateur impliqué dans l’incident de la CLI Gemini, connu sous le nom d’« anuraag » en ligne et se présentant comme un chef de produit expérimentant le codage Vibe, a demandé à Gemini d’effectuer une tâche apparemment simple : renommer un dossier et réorganiser des fichiers. Au lieu de cela, le modèle d’IA a mal interprété la structure du système de fichiers et a exécuté des commandes sur la base de cette analyse erronée.

L’épisode a commencé lorsque Anuraag a demandé à Gemini CLI de renommer le répertoire actuel de « claude-code-experiments » en « AI CLI experiments » et de déplacer son contenu vers un nouveau dossier appelé « anuraag_xyz project ».

Gemini a correctement identifié l’impossibilité de renommer son répertoire de travail actuel, une limitation raisonnable. Il a alors tenté de créer un nouveau répertoire à l’aide de la commande Windows :

mkdir “…\projet anuraag_xyz”

Cette commande a apparemment échoué, mais le système de Gemini l’a traitée comme un succès. L’état interne du mode IA suivant désormais un répertoire inexistant, il a émis des commandes de déplacement ciblant cet emplacement fantôme.

Lorsque vous déplacez un fichier vers un répertoire inexistant sous Windows, le fichier est renommé avec le nom de destination au lieu de le déplacer. Chaque commande de déplacement ultérieure exécutée par le modèle d’IA écrase le fichier précédent, détruisant ainsi les données.

« Gemini a halluciné un état », a écrit Anuraag dans son analyse. Le modèle a « mal interprété la sortie de commande » et « n’a jamais » effectué les étapes de vérification pour confirmer le succès de ses opérations (pratique bien trop fréquente chez les humains aussi. Et ce n’est pas le tout de détecter une erreur il faut la traiter correctement aussi, ce qui peut nécessiter énormément de lignes de code, c’est plus simple de la glisser sous le tapis).

« Le problème principal réside dans l’absence d’une étape de vérification de lecture après écriture », a noté anuraag dans son analyse. « Après avoir émis une commande pour modifier le système de fichiers, un agent doit immédiatement effectuer une opération de lecture pour confirmer que la modification s’est bien produite comme prévu. »

Ce n’est pas un incident isolé

La panne de Gemini CLI s’est produite quelques jours seulement après un incident similaire avec Replit , un service de codage d’IA permettant aux utilisateurs de créer des logiciels à l’aide d’invites en langage naturel. Selon The Register , le fondateur de SaaStr, Jason Lemkin, a signalé que le modèle d’IA de Replit avait supprimé sa base de données de production malgré les instructions explicites de ne modifier aucun code sans autorisation.

Lemkin avait passé plusieurs jours à construire un prototype avec Replit, accumulant plus de 600 $ de frais en plus de son abonnement mensuel. « J’ai passé l’autre jour à coder des vibes sur Replit pour la première fois, et j’ai construit un prototype vraiment génial en quelques heures seulement », a écrit Lemkin dans un article de blog du 12 juillet.

Mais contrairement à l’incident Gemini, où le modèle d’IA a créé des répertoires fantômes, les échecs de Replit ont pris une forme différente. Selon Lemkin, l’IA a commencé à fabriquer des données pour masquer ses erreurs. Son enthousiasme initial s’est estompé lorsque Replit a généré des sorties incorrectes et produit de fausses données et de faux résultats de test au lieu de messages d’erreur corrects. « L’IA a continué à dissimuler des bugs et des problèmes en créant de fausses données, de faux rapports et, pire encore, en mentant sur notre test unitaire », a écrit Lemkin. Dans une vidéo publiée sur LinkedIn, Lemkin a détaillé comment Replit a créé une base de données contenant 4 000 personnes fictives.

Le modèle d’IA a également violé à plusieurs reprises des consignes de sécurité explicites. Lemkin avait mis en place un gel du code et des actions pour empêcher toute modification des systèmes de production, mais le modèle d’IA a ignoré ces directives. La situation s’est aggravée lorsque le modèle d’IA Replit a supprimé sa base de données contenant 1 206 dossiers de dirigeants et des données sur près de 1 200 entreprises. Lorsqu’on lui a demandé d’évaluer la gravité de ses actions sur une échelle de 100 points, Replit a indiqué : « Gravité : 95/100. Il s’agit d’une violation grave de la confiance et des normes professionnelles. »

Interrogé sur ses actions, l’agent IA a admis avoir « paniqué en réponse à des requêtes vides » et exécuté des commandes non autorisées, suggérant qu’il avait peut-être supprimé la base de données en essayant de « réparer » ce qu’il percevait comme un problème.

Comme Gemini CLI, le système Replit indiquait initialement qu’il ne pouvait pas restaurer les données supprimées. Cette information s’est avérée erronée lorsque Lemkin a découvert que la fonction de restauration fonctionnait finalement. « Replit m’a assuré que… la restauration ne prenait pas en charge les restaurations de bases de données. Il a affirmé que c’était impossible dans ce cas, qu’il avait détruit toutes les versions de la base de données. Il s’avère que Replit avait tort, et la restauration a fonctionné. JFC », a écrit Lemkin dans un message X.

Il est important de noter que les modèles d’IA ne peuvent pas évaluer leurs propres capacités. Cela s’explique par leur manque d’introspection quant à leur entraînement, à l’architecture système environnante ou aux limites de leurs performances. Ils fournissent souvent des réponses sur ce qu’ils peuvent ou ne peuvent pas faire sous forme de fabulations basées sur des schémas d’entraînement plutôt que sur une véritable connaissance d’eux-mêmes, ce qui les conduit à affirmer avec assurance l’impossibilité de tâches qu’ils peuvent réellement réaliser, ou, à l’inverse, à prétendre être compétents dans des domaines où ils échouent.

Hormis les outils externes auxquels ils peuvent accéder, les modèles d’IA ne disposent pas d’une base de connaissances stable et accessible, qu’ils peuvent interroger de manière cohérente. Leurs « connaissances » se manifestent plutôt par des suites d’invites spécifiques, qui agissent comme des adresses distinctes pointant vers des parties différentes (et parfois contradictoires) de leur apprentissage, stockées dans leurs réseaux neuronaux sous forme de pondérations statistiques. Combiné au caractère aléatoire de la génération, cela signifie qu’un même modèle peut facilement donner des évaluations contradictoires de ses propres capacités selon la manière dont on le lui demande. Les tentatives de Lemkin pour communiquer avec le modèle d’IA – en lui demandant de respecter les blocages de code ou de vérifier ses actions – étaient donc fondamentalement erronées.

Voler à l’aveuglette

Ces incidents démontrent que les outils de codage d’IA ne sont peut-être pas prêts pour une utilisation en production à grande échelle. Lemkin conclut que Replit n’est pas encore prêt pour une utilisation en grande diffusion, en particulier pour les utilisateurs non techniques qui cherchent à créer des logiciels commerciaux.

« Après un week-end de piratage d’ambiance, la sécurité de l’IA est devenue plus viscérale pour moi », a déclaré Lemkin dans une vidéo publiée sur LinkedIn. « Je lui ai explicitement dit onze fois, en lettres majuscules, de ne pas faire ça. Je suis un peu inquiet pour la sécurité maintenant. »

Ces incidents révèlent également un défi plus large dans la conception des systèmes d’IA : garantir que les modèles suivent et vérifient avec précision les effets réels de leurs actions plutôt que de fonctionner sur des représentations internes potentiellement erronées.

Il manque également un volet de formation des utilisateurs. La manière dont Lemkin a interagi avec l’assistant IA montre clairement qu’il avait des idées fausses sur les capacités et le fonctionnement de l’outil, dues à des représentations erronées de la part des entreprises technologiques. Ces dernières ont tendance à présenter les chatbots comme des intelligences humaines générales, alors qu’en réalité, ce n’est pas le cas .

Pour l’instant, les utilisateurs d’assistants de codage IA pourraient suivre l’exemple d’Anuraag et créer des répertoires de test distincts pour leurs expériences, ainsi que sauvegarder régulièrement les données importantes que ces outils pourraient utiliser. Ou peut-être ne pas les utiliser du tout s’ils ne peuvent pas vérifier personnellement les résultats.

Source: https://arstechnica.com/information-technology/2025/07/ai-coding-assistants-chase-phantoms-destroy-real-user-data/

Encore merci l’ami pour ces sujets très intéressant à lire (et on n’en apprend tous les jours 😁).

Perso j’ai trouvé la soluce

1000543381.jpg

Tout à fait, ça permet de mieux comprendre tout ce petit monde des white & black Hats.

@berni a dit dans [Dossier] Kevin Mitnick : le hacker le plus recherché du FBI :

Génial

Content que ça te plaise 🙂

Carrément passionnant !!! Comme tous tous ceux qui ont précédé et , j’espère ; ceux qui suivront ; merci du partage…Trop cool…

Si vous êtes du genre à penser que derrière les cyberattaques, c’est juste des Tanguy qui volent des mots de passe, j’ai une histoire qui va vous retourner le cerveau.

Le 24 novembre 2014, Sony Pictures s’est fait défoncer la tronche comme jamais à cause d’une comédie pourrave avec Seth Rogen qui voulait buter Kim Jong-un. Et je vous explique aujourd’hui pourquoi c’est l’un des hacks les plus dingues de l’histoire.

Ce matin-là, les employés de Sony Pictures à Culver City ont vécu l’enfer. Imaginez, vous arrivez au taf, vous lancez le PC et au moment de checker vos emails, BAM ! Un crâne rouge fluo avec des doigts squelettiques s’affiche avec un message des “Guardians of Peace” (GoP) : “On a tout volé, vos secrets, vos fichiers, TOUT. Vous avez jusqu’à 23h pour négocier.” Ambiance garantie dans l’open space.

– Le crâne rouge des Guardians of Peace - L’écran de la mort qui a terrorisé Sony

Ce que les employés ne savaient pas alors, c’est que 3 jours avant, le 21 novembre, les gros bonnets de Sony avaient reçu un email d’avertissement. Un groupe qui se faisait appeler “God’sApstls” leur demandait du fric : “Payez-nous ou Sony Pictures sera bombardé dans son ensemble.” Bah oui tranquille, qui va prendre au sérieux un email de rançon avec des fautes d’orthographe ? Les execs l’ont pris pour du spam et l’ont jeté à la corbeille. Les couillons.

Quelques jours plus tard, ces hackers récupéraient alors 100 TÉRAOCTETS de données. Pour vous donner une idée, c’est comme si vous aviez piraté l’intégralité de Netflix. Dedans, y’avait absolument tout : 47 000 numéros de sécu sociale, les salaires de tout le monde (spoiler : les femmes étaient bien moins payées), des films pas sortis, et surtout… les emails. Oh putain, les emails.

– Amy Pascal et Scott Rudin - Le duo explosif dont les emails ont fait scandale

Les emails entre Amy Pascal (co-présidente de Sony Pictures) et Scott Rudin (producteur star), c’était du caviar. Ces deux-là s’envoyaient des vannes bien salées sur tout Hollywood. Rudin a littéralement traité Angelina Jolie de “gamine pourrie gâtée avec un talent ridicule”. Pourquoi ? Parce qu’elle voulait faire son film Cléopâtre avec David Fincher. Il a écrit : “Je ne suis pas du tout intéressé à présider un bain d’ego à 180 millions de dollars.” Brutal.

Mais attendez, ça devient encore plus croustillant notamment dans ce mail où Pascal demandait à Rudin ce qu’elle devrait dire à Obama lors d’un petit-déj’ de levée de fonds. Réponse du mec : “Demande-lui s’il a aimé Django.” Pascal : “Ou 12 Years a Slave.” Rudin : “Think Like a Man ?” Pascal : “Ride Along. Je parie qu’il adore Kevin Hart.” En gros, ils faisaient des blagues racistes en suggérant qu’Obama ne regardait que des films avec des Noirs. Quand c’est sorti dans la presse, ce fut un Hiroshima médiatique.

Pour réussir leur attaque, les hackers ont utilisé une variante du malware Shamoon, rebaptisée “Destover” ou “Wipall” et ce truc effaçait les disques durs ET le Master Boot Record ce qui faisait, grosso modo, que les PC touchés devenaient des presse-papiers à 2000 balles.

Tom Chapman d’EdgeWave a alors analysé l’attaque pour trouver que tout avait commencé par un simple email de spear phishing. Un employé lambda a cliqué sur le mauvais lien (probablement un truc du genre “Cliquez ici pour voir les photos du pot de Noël”), et hop, les hackers ont pris le contrôle du serveur mail et de l’Active Directory. Game over.

Le plus flippant c’est que ces enfoirés étaient dans le réseau depuis AU MOINS deux mois. Certains experts parlent même d’un an ! Ils se baladaient tranquilles dans les serveurs de Sony, pompant des données comme des malades. Ils connaissaient le réseau par cœur : les noms des serveurs, les mots de passe admin, et tout était hardcodé dans leur malware. Du travail de pro, pas des script kiddies de 4chan.

Maintenant, parlons du film qui a foutu le bordel : “The Interview”. Cette comédie débile avec James Franco et Seth Rogen racontait l’histoire de deux journalistes crétins recrutés par la CIA pour assassiner Kim Jong-un. En gros, ils obtiennent une interview exclusive avec le dictateur et doivent le buter pendant l’émission. Hilarant, non ? Bah apparemment, le vrai Kim Jong-un a moyennement apprécié l’humour.

– The Interview - Le film à 44 millions qui a failli déclencher la 3ème guerre mondiale

Le 16 décembre, les GoP balancent la menace ultime. Ils promettent des attentats type 11 septembre dans les cinémas qui oseraient projeter le film : “Nous recommandons à ceux qui vivent près des cinémas de se tenir éloignés. Si votre maison est proche, partez.” C’est plus du hacking, c’est du terrorisme pur et simple. Les grandes chaînes (AMC, Regal, Cinemark) chient alors dans leur froc et annulent tout. Le 17 décembre, Sony capitule et annule la sortie du film.

Barack Obama était vénère. En conférence de presse, il balance : “Nous ne pouvons pas avoir une société où un dictateur impose la censure aux États-Unis.” Il qualifie ça de “cyber-vandalisme” (pas d’acte de guerre, faut pas déconner) et promet une réponse. Et comme par hasard, le 22 décembre, tout Internet en Corée du Nord tombe en panne pendant 9h31. Les US nient toute implication. Bien sûr.

– Obama furieux - “On ne peut pas laisser un dictateur censurer Hollywood”

George Clooney, lui aussi a pété un plomb. Avec son agent Bryan Lourd, il rédige une pétition de soutien à Sony. Le message ? “C’est pas juste Sony qui se fait attaquer, c’est toute notre liberté d’expression.” Résultat des courses : ZÉRO signature. Nada. Que dalle. Tout Hollywood avait les chocottes de devenir la prochaine cible.

Clooney l’a alors dit cash dans Deadline : “Personne n’a signé. Pas un seul. Amy Pascal m’a appelé pour me remercier, c’était tout. C’est la définition du terrorisme : on nous dit qu’on peut pas voir un film à cause de Kim Jong-un, putain !” Le mec était dégoûté de la lâcheté d’Hollywood.

Puis finalement, Sony fait un doigt d’honneur aux hackers en sortant quand même le film le 25 décembre dans 331 cinémas indépendants et en VOD. Résultat, 40 millions en digital, 12,3 millions au box-office. Pas mal pour un film “censuré” ! Les Américains l’ont regardé par principe, genre “personne ne nous dit quoi regarder”. ‘Murica!

Mais parlons maintenant du cerveau derrière tout ça : le groupe Lazarus dont je vous conté les exploits y’a pas si longtemps. Ces mecs, c’est pas des amateurs du dimanche. Actifs depuis 2009, ils bossent pour le Bureau 121, l’unité cyber de l’armée nord-coréenne. 6000 hackers d’élite basés en Chine, Russie, et autres pays sympas. Leur CV ? L’attaque WannaCry de 2017, le vol de 81 millions à la Bangladesh Bank, des attaques contre la Corée du Sud…

Le FBI les a identifié car ils avaient été “négligents” avec leurs proxys. Traduction : ces génies se sont connectés directement depuis des IP nord-coréennes plusieurs fois. Erreur de débutant ou arrogance ? On ne saura jamais. Et en 2018, les autorités américaines ont inculpé Park Jin-hyok, un hacker du Bureau général de reconnaissance qui bossait sous couverture pour Chosun Expo Joint Venture.

Il y eu pas mal de dégâts collatéraux. “Fury” avec Brad Pitt : 1,2 million de téléchargements illégaux. “Annie” (le remake pourri) : 206 000 téléchargements avant même sa sortie, soit au total, 5 films dans la nature. Mais le pire, c’était les données perso. Des employés ont trouvé leurs numéros de sécu en vente sur le dark web des années après.

Et dans les emails leakés, y’avait un dossier “Passwords” avec 139 fichiers avec dedans, les mots de passe Facebook, Twitter, YouTube de tous les comptes marketing des films. Certains passwords étaient du genre “password123” ou “sony2014”. La sécu chez Sony, c’était niveau CP. J’imagine même pas la tête des mecs de l’IT quand ils ont vu ça.

Il y avait également d’autres perles dans les emails : Jennifer Lawrence payée moins que ses co-stars masculins dans American Hustle (elle touchait 7% contre 9% pour les mecs). Kevin Hart traité d’artiste “coquille vide” qui demande trop d’argent. Leonardo DiCaprio qualifié d’“horrible pour attirer un public”. Les producteurs qui se plaignent qu’Adam Sandler fait des films de merde mais qu’ils continuent à le payer parce que ça rapporte à l’international.

Michael Lynton, le CEO de Sony Entertainment, a aussi raconté l’après-hack. Ils ont dû ressortir les vieux BlackBerry du placard pour communiquer. Plus d’emails, plus de téléphones fixes, plus rien. Ils utilisaient des MACHINES À CHÈQUES MÉCANIQUES pour payer les employés ! En 2014, c’était retour aux années 80.

Et les employés ont morflé grave. Les hackers leur envoyaient des menaces perso : “Vous et votre famille serez en danger.” Des mecs ont fait surveiller leurs gamins à l’école. D’autres ont payé des services de protection d’identité de leur poche. L’ambiance chez Sony était tellement toxique que beaucoup se sont barrés.

– Les bureaux de Sony Pictures (source)

Et niveau thunes, c’est le flou total. Sony annonça 15 millions de “coûts d’investigation” au Q1 2015 mais les analystes parlent de 100 à 200 millions au total. 8 millions rien que pour le procès collectif des employés et heureusement qu’ils avaient une assurance cyber de 60 millions. Une goutte d’eau dans l’océan des emmerdes.

Aaron Sorkin (le mec qui a écrit The Social Network) a également pété un câble contre les médias. Pour lui, publier les emails volés, c’était “aider les terroristes”. Il a écrit dans le NY Times que les journalistes étaient “moralement traîtres”. Les journalistes ont répondu : “C’est de l’intérêt public, on révèle le vrai visage d’Hollywood.” et ce débat fait encore rage aujourd’hui.

D’ailleurs, dans les emails de Sorkin lui-même, on découvre qu’il galère avec le biopic de Steve Jobs. Il écrit aussi que les actrices ont la vie facile aux Oscars comparé aux acteurs. “Les femmes gagnent juste en étant bonnes, les hommes doivent transformer leur corps et souffrir.” Sympa l’ambiance #MeToo avant l’heure.

Seth Rogen, des années après, reste traumatisé : “C’était l’apocalypse. Amy Pascal virée, des carrières brisées, Hollywood paralysé par la peur. Tout ça pour notre film débile.” James Franco, lui, en rigole : “Au moins, tout le monde a vu le film. Meilleure promo ever !”

L’impact sur Hollywood a également été énorme. Maintenant, tout est chiffré (enfin, on espère) et les formations anti-phishing sont obligatoires. Les emails sensibles passent par Signal ou des trucs sécurisés, mais surtout, tout le monde a compris : dans le monde numérique, tes secrets les plus noirs peuvent devenir publics en un clic.

Aujourd’hui, “The Interview” passe tranquille à la télé et ce film qui a failli déclencher la 3ème guerre mondiale est devenu un truc qu’on regarde en mangeant des chips. 51% sur Rotten Tomatoes… Tout ça pour ça.

Quoiqu’il en soit, ce hack restera dans l’histoire comme le jour où un dictateur a réussi à censurer Hollywood. C’est aussi la première fois qu’un pays est sanctionné pour une cyberattaque contre une boîte privée. Un précédent qui fait flipper car si un film peut déclencher ça, qu’est-ce qui se passera avec un truc vraiment sérieux ?

En tout cas, la prochaine fois que votre boîte vous saoule avec ses formations sécu, pensez à Sony. Pensez à Amy Pascal qui s’est fait virer pour des vannes privées. Pensez aux employés qui ont vu leurs numéros de sécu en vente sur le dark web. Et surtout, ne cliquez pas sur ce putain de lien suspect. À vous de voir maintenant.

– Sources :

2014 Sony Pictures hack - Wikipedia, George Clooney on Sony Hack - Deadline, DOJ Charges Park Jin-hyok, Wired - Evidence Analysis

https://korben.info/sony-pictures-hack-2014-histoire-complete.html

@Violence a dit dans WeTransfer: l’outil star des entreprises voulait exploiter leur data :

on envoie l’équivalent de cartes postales à ciel ouvert sur Internet tout le temps, y compris pour des infos sensibles

À un moment donné, va bien falloir que les entreprises assument leurs conneries de ne pas chiffrer leurs datas sensibles et pis c’est tout.

Purée, ils ne m’ont pas invité

@Violence oui j’ai tout la pack fait 70go

Phoenix, Arizona, 6 heures du mat’. Un gamin de 16 ans dort paisiblement dans sa chambre, entouré de posters de Star Wars et de boîtes de pizza vides pendant que dehors, une dizaine d’agents armés jusqu’aux dents encerclent sa baraque…

Hé oui, aujourd’hui, je vais vous raconter comment 150 agents du Secret Service ont débarqué chez des ados boutonneux en pensant sauver l’Amérique. C’était le 8 mai 1990, et c’est devenu l’Opération Sundevil, la plus grosse opération anti-hacker de l’histoire.

– Reconstitution IA d’un raid du Secret Service - Les agents débarquant en force dans une banlieue tranquille

Pour comprendre ce bordel monstre, il faut se replonger dans l’Amérique de 1990. Bush père est président, Internet c’est de la science-fiction pour le commun des mortels, et les ordis personnels, bah c’est encore un truc de geeks fortunés. Dans ce contexte, une nouvelle génération de petits génies de l’informatique émerge. Ils se font appeler “hackers” et se retrouvent sur des BBS aux noms qui claquent : The Phoenix Project, The Black Ice, Demon Roach Underground…

– Interface d’un BBS - C’était ça le “dark web” de l’époque !

Bon, pour ceux qui n’ont pas connu (et j’en fais partie, je n’étais même pas né !), un BBS c’était comme un serveur Discord mais en mode préhistorique. Vous composiez le numéro de téléphone du BBS avec votre modem, vous entendiez alors les doux bruits de connexion (KRRRRR BIIIIIP KRRRR), et hop, vous aviez accès à des forums, des fichiers, des messages. Sauf que tout était en ASCII art et que télécharger une image de 100Ko prenait 3 plombes.

Ces jeunes hackers n’était pas des méchants dans l’âme. Ils exploraient les systèmes téléphoniques et informatiques avec la même curiosité qu’un gamin qui démonte un grille-pain pour voir comment ça marche. Sauf que leurs grille-pains à eux, c’était les réseaux d’AT&T, les systèmes des banques, et parfois même les ordinateurs du Pentagone. Oups.

Et dans ce petit monde underground, des groupes mythiques se forment à l’époque. Le plus légendaire : la Legion of Doom (LoD), fondée en 1984 par un hacker qui se faisait appeler Lex Luthor (oui, comme l’ennemi de Superman, la classe !). Dedans, il y avait des légendes vivantes comme Erik Bloodaxe (de son vrai nom Chris Goggans), The Mentor (Loyd Blankenship), Phiber Optik (Mark Abene), et j’en passe.

– Le logo mythique de la Legion of Doom

Ces mecs publiaient carrément leur propre magazine électronique, le “Legion of Doom Technical Journal” qui était bourré d’infos techniques sur comment hacker ceci ou pirater cela. Bref, des tutos détaillés pour explorer les systèmes Unix, manipuler les centraux téléphoniques, ou contourner les protections des mainframes IBM. Un vrai manuel du petit hacker en herbe !

Mais alors, qu’est-ce qui a fait péter les plombs au gouvernement ?

Hé bien tout commence le 15 janvier 1990, le jour de Martin Luther [censored]. Ce jour-là, c’est la cata : le réseau longue distance d’AT&T s’effondre comme un château de cartes. Pendant neuf heures, la moitié des appels longue distance aux États-Unis foirent complètement. Des millions d’Américains entendent une voix de robot leur dire que leur appel ne peut pas aboutir. C’est la panique totale !

AT&T, qui gérait à l’époque 70% du trafic longue distance du pays (ouais, c’était LE monopole), perd 60 millions de dollars en quelques heures. Les hôpitaux ne peuvent plus joindre les médecins de garde, les entreprises peuvent plus faire d’affaires, c’est le chaos et les journaux titrent sur la “cyber-apocalypse” et tout le tralala.

Le truc complètement dingue c’est que les hackers n’y étaient pour rien ! C’était juste un bug dans une mise à jour logicielle d’AT&T. Un développeur avait foiré une ligne de code, et boom, effet domino : 114 commutateurs téléphoniques à travers le pays se sont mis à rebooter en boucle. Je n’imagine pas l’était de panique du mec qui a fait la bourde. Il a dû avoir envie de se terrer dans une cave jusqu’à la fin de ses jours !

Mais voilà, quelques mois plus tôt, le Secret Service avait chopé un jeune hacker de 16 ans de l’Indiana qui se faisait appeler “Fry Guy” (il bossait chez McDonald’s, d’où le pseudo). Ce petit malin avait hacké les systèmes de plusieurs fast-foods pour se faire livrer des pizzas gratos et avait revendu des numéros de cartes de crédit sur des BBS. Pas très malin le gamin.

Sous la pression des interrogatoires (et probablement terrifié à l’idée de finir en taule), Fry Guy balance alors tout ce qu’il sait. Et là, il lâche l’info qui va tout déclencher : des membres de la Legion of Doom auraient prévu de faire tomber le système téléphonique national un jour férié pour montrer leur puissance. Coïncidence ? Je ne crois pas !

Pour le gouvernement, déjà parano à l’idée que des ados en sweat à capuche puissent mettre à genoux l’infrastructure du pays, c’est la goutte d’eau. Ils décident alors de frapper fort. Très fort. Genre opération commando niveau Rambo contre des nerds.

L’opération tire son nom du stade Sun Devil de l’Arizona State University, situé à deux pas du QG du Secret Service de Phoenix. C’est là qu’entre en scène Gail Thackeray, LA femme qui va devenir la terreur des hackers. Cette procureure adjointe de l’Arizona, c’est un peu la Sarah Connor de la cybercriminalité.

Thackeray, c’est pas n’importe qui. Ancienne procureure de Philadelphie, elle débarque en Arizona en 1986 avec une mission : appliquer les toutes nouvelles lois sur les crimes informatiques. À l’époque, ces lois étaient tellement récentes que personne ne savait vraiment comment s’en servir. Mais elle, elle avait pigé le truc.

Avec son patron Steve Twist (qui avait littéralement écrit les lois sur la cybercriminalité de l’Arizona), elle transforme alors l’Unité de Crime Organisé en machine de guerre anti-hacker et leur QG devient le centre névralgique de la lutte contre le “cyber-terrorisme” (oui, ils utilisaient déjà ce terme en 1990 !).

Tim Holtzen, procureur fédéral adjoint de Phoenix et binôme de Thackeray dans cette croisade, était lui aussi convaincu que les hackers représentaient une menace existentielle. Ensemble, avec le Secret Service et son directeur local, ils montent alors une opération d’une ampleur jamais vue. Nom de code : Sundevil. Ça sonne bien non ?

Le plan était simple mais l’objectif massif : frapper simultanément dans quinze villes américaines pour démanteler d’un coup tout le réseau hacker underground. Austin, Cincinnati, Detroit, Los Angeles, Miami, Newark, New York, Phoenix, Pittsburgh, Richmond, San Diego, San Francisco, San Jose, Seattle et Tucson. Bref, toute l’Amérique ou presque !

Plus de 150 agents mobilisés, avec le renfort du FBI, de la CIA et des polices locales. 27 mandats de perquisition préparés dans le plus grand secret. Les cibles étant les opérateurs des BBS les plus populaires, les hackers connus, les phreakers (les pirates du téléphone) suspectés.

Parmi les cibles, y’avait des BBS légendaires comme Cloud Nine, tenu par un certain “Dictator”. Ce BBS, c’était le Saint Graal des hackers. Pour y entrer, fallait montrer patte blanche, prouver que vous êtiez un “elite” et on y trouvait des outils de hacking dernier cri, des exploits zero-day, et surtout, des discussions entre les plus grands hackers de l’époque.

Ces raids du 8 mai 1990, c’était du grand spectacle. Les agents débarquent en force, souvent lourdement armés dans des banlieues tranquilles pour affronter ces ados armés de claviers (lol) tandis que les voisins matent par la fenêtre, médusés de voir le SWAT embarquer le petit Jimmy qu’ils croyaient juste un peu trop accro aux jeux vidéo.

Un témoin de l’époque raconte : “J’ai vu six agents en gilet pare-balles défoncer la porte de mon voisin. Ils sont ressortis avec son Commodore 64 et des cartons pleins de disquettes. Le gamin de 17 ans était menotté comme un dangereux criminel. Sa mère pleurait sur le perron. C’était surréaliste.”

Le butin de l’opération était impressionnant (ou pas) :

42 systèmes informatiques complets (des Commodore 64, des Apple II, des PC 286…) 25 BBS fermés d’un coup, avec parfois des années d’archives de la communauté hacker Plus de 23 000 disquettes 5"1/4 (vous savez, les trucs tout mous qu’on pliait par erreur) Des centaines de manuels techniques “empruntés” à Bell, AT&T, IBM… Du matos de phreaking : blue boxes, red boxes, et autres gadgets pour pirater les lignes téléphoniques

– Disquettes 5"1/4 (source)

Et ces disquettes contenaient un joyeux bordel : des outils de hacking (genre des scanners de ports écrits en BASIC), des listes de numéros de cartes de crédit (la plupart périmées ou bidons), des tonnes de warez (logiciels piratés), et surtout, des milliers de messages échangés entre hackers. C’était l’équivalent 1990 de saisir tous les serveurs Discord d’aujourd’hui.

Et le plus fou, c’est que malgré toute cette démonstration de force, seulement TROIS personnes sont arrêtées à l’issue de l’opération. Trois ! Avec 150 agents mobilisés, ça fait du 50 agents par arrestation. Niveau rentabilité, on a vu mieux…

L’Opération Sundevil révèle alors rapidement que les autorités n’ont rien pigé au monde numérique car dans leur délire de tout saisir, les agents embarquent n’importe quoi : des ordis parfaitement légaux, des données perso sans rapport, des projets de boulot… Un vrai carnage. L’exemple le plus aberrant, c’est le raid sur Steve Jackson Games le 1er mars 1990.

Bon ok, c’était deux mois avant Sundevil, mais c’est la même logique débile. Steve Jackson, c’est un mec qui fait des jeux de rôle papier, genre Donjons et Dragons. Et son crime ça a été d’employer Loyd Blankenship, alias “The Mentor” de la Legion of Doom.

– Steve Jackson - source

Les agents débarquent, saisissent trois ordis, plus de 300 disquettes, et surtout, le manuscrit de “GURPS Cyberpunk”, un jeu de rôle sur lequel la boîte bosse depuis des mois. Leur idée c’est que ce manuel de jeu doit forcément être un guide pour hackers ! Steve Jackson se retrouve alors au bord de la faillite. Il ne peut plus sortir son jeu, il n’a plus ses outils de travail, ses employés sont au chômage technique car le Secret Service garde son matos durant des mois sans rien trouver d’illégal dedans. Bref, du grand n’importe quoi.

Pendant ce temps, Gail Thackeray devient la star médiatique de l’opération. Elle balance des phrases chocs aux journalistes : “Les agents agissent de bonne foi, et je ne pense pas qu’on puisse en dire autant de la communauté hacker.” Boum, dans ta face les nerds ! Elle décrit surtout un tableau apocalyptique du hacking : des ados sans scrupules prêts à faire s’effondrer les infrastructures américaines juste pour le fun. Dans ses conférences de presse, elle parle de “cyber-terroristes” qui menacent la sécurité nationale. Les médias adorent, le public flippe, mission accomplie.

Mais Thackeray, n’est pas qu’une dure à cuire. C’est aussi une des rares du côté des forces de l’ordre qui comprend vraiment la tech. Elle assiste même à la première Defcon en 1993 (le Burning Man des hackers), dialogue avec eux, essaie de piger leur délire. Cette approche lui vaut un certain respect, même chez ses “ennemis”.

– Photo de groupe avec Gail Thackeray lors de la première Defcon en 1993

Ironiquement, la carrière de Thackeray prend un tournant quand son patron perd les élections. Le nouveau procureur général démantèle son unité anti-hacker et elle se retrouve au bureau du procureur du comté de Maricopa, où elle continue sa croisade. Son dernier poste connu était toujours dans la cybersécurité au Arizona Counter Terrorism Information Center mais depuis, elle a peut-être pris sa retraite aujourd’hui. On n’en sait pas plus.

Et les résultats de Sundevil ? Un bide monumental car sur 27 perquisitions, la plupart ne donnent rien. Les trois malheureux arrêtés c’est peanuts comparé à l’ampleur de l’opération et plusieurs procès capotent parce que les preuves sont foireuses ou que les jurés n’y comprennent rien. C’était clairement une opération de communication destinée à faire peur à la communauté et à rassurer la ménagère et l’ouvrier de l’époque.

Le Secret Service fanfaronne quand même puisque Garry M. Jenkins, directeur adjoint, déclare à l’époque : “Le Secret Service envoie un message clair aux hackers qui violent les lois en croyant pouvoir se cacher derrière leurs terminaux.” Ouais, le message c’est surtout qu’ils ont rien compris au schmilblick.

Mais dans la communauté hacker, Sundevil c’est la douche froide. Des gamins brillants se font traiter comme des terroristes. Des BBS entiers, véritables bibliothèques de connaissances techniques, disparaissent du jour au lendemain. Des années de discussions, de tutoriels, d’échanges, pouf, envolés. La confiance entre la communauté tech et les autorités ? Brisée pour des décennies.

C’est d’ailleurs dans ce bordel que naît l’Electronic Frontier Foundation (EFF). Mitch Kapor, le fondateur de Lotus (le mec qui a créé le tableur Lotus 1-2-3, un truc de ouf à l’époque), est scandalisé par les excès de l’opération. Il s’associe avec John Perry Barlow, parolier des Grateful Dead et cyber-libertaire convaincu (ouais, drôle de combo).

– Mitch Kapor et John Perry Barlow - Les papas de l’EFF

Ensemble, ils créent l’EFF pour défendre les libertés dans le cyberespace. Leur première action est alors de financer la défense de plusieurs hackers poursuivis après Sundevil. Mais surtout, ils commencent un travail de longue haleine pour éduquer les législateurs, les flics et le public sur les réalités du monde numérique.

Le cas Steve Jackson Games devient même LE symbole de la résistance. L’EFF le soutient dans son procès contre le Secret Service et 3 ans plus tard, en 1993, victoire totale ! Un tribunal fédéral déclare le raid “négligent, illégal et totalement injustifié”. Jackson touche 50 000 dollars de dommages et intérêts, plus 1 000 dollars pour trois utilisateurs de son BBS.

Mais le plus important, c’est le précédent juridique car pour la première fois, un tribunal établit que les communications électroniques sont protégées par le Premier Amendement. Bref, poster sur un BBS, c’est comme parler dans la rue, c’est de la liberté d’expression. Révolutionnaire pour l’époque !

Sundevil ne visait même pas vraiment les hackers “nobles” car contrairement aux efforts du Chicago Computer Fraud and Abuse Task Force (qui ciblait les intrusions sophistiquées), Sundevil chassait surtout deux gibiers plus classiques : les voleurs de numéros de cartes de crédit et les pirates du téléphone.

Les “carders” utilisaient les BBS pour refiler des numéros de CB volés. Un business juteux mais pas très high-tech. Et les phreakers, eux, exploitaient les failles du système téléphonique pour téléphoner gratos ou accéder aux systèmes internes de Bell. Sympa pour appeler sa copine en Australie, mais bon, c’est pas Matrix non plus.

Quoiqu’il en soit, 35 ans plus tard, l’Opération Sundevil reste gravée dans la mémoire collective. C’est LE moment où le gouvernement US a déclaré la guerre à une sous-culture qu’il ne pigeait pas. Un peu comme si aujourd’hui ils décidaient de coffrer tous les mecs qui font du Bitcoin parce que “c’est louche”.

Et les leçons de Sundevil sont nombreuses. D’abord, elle montre les dangers de la panique morale face aux nouvelles technos. Les autorités, flippées par un truc qu’elles ne captaient pas, ont réagi comme des bourrins, causant plus de dégâts que les crimes qu’elles combattaient et ensuite, elle révèle le fossé béant entre la loi et la tech. Les lois de l’époque, conçues pour un monde pré-numérique, étaient complètement à côté de la plaque. Les flics, formés à choper des dealers et des braqueurs, se retrouvaient largués face à des ados avec des modems 2400 bauds.

Mais surtout, Sundevil a créé le mouvement pour les droits numériques. L’EFF, née des cendres de cette opération foireuse, est devenue THE organisation de défense des libertés en ligne. Sans Sundevil, pas d’EFF. Sans EFF, imaginez Internet aujourd’hui… Flippant, non ?

Et les hackers visés à l’époque, ont eu des destins variés. Certains ont disparu, traumatisés. D’autres sont passés du côté lumineux, devenant consultants en sécu ou entrepreneurs tech. Erik Bloodaxe (perquisitionné mais jamais inculpé) est devenu un ponte de la cybersécurité et The Mentor a travaillé dans le jeu de rôle. Comme quoi, vaut toujours mieux recruter les hackers que les coffrer !

L’Opération Sundevil a donc profondément transformé la scène hacker. Avant 1990, le hacking c’était un hobby, certes illégal, mais bon enfant et après Sundevil, ce fut la fin de l’innocence. Le hacking est devenu sérieux, dangereux. Les peines encourues étaient réelles, les carrières pouvaient être foutues. Du coup, paradoxalement, ça a professionnalisé le milieu. Exit les amateurs, place aux pros. Les script kiddies ont remplacé les explorateurs. Et surtout, c’est devenu lucratif.

Les BBS ont aussi progressivement disparu, remplacés par Internet. Les forums underground ont migré sur IRC, puis sur Tor. Les outils se sont sophistiqués et l’exploration a cédé la place au business, à l’hacktivisme, à l’espionnage industriel et étatique. On est aujourd’hui loin des gamins qui voulaient juste téléphoner gratos !

Toutefois, de nos jours, l’incompréhension mutuelle entre autorités et communauté tech persiste. Vous avez vu les questions des sénateurs à Mark Zuckerberg ? “Comment Facebook gagne de l’argent si c’est gratuit ?” Mdr ! Si en 2025 ils ne pigent toujours pas le modèle économique du web, imaginez en 1990…

Et même si aujourd’hui, la ligne entre hacker malveillant et chercheur légitime est mieux comprise (merci les bug bounties !), elle reste floue pour beaucoup de monde et des chercheurs se font encore emmerder pour avoir révélé des failles. Comme quoi, on n’apprend pas de nos erreurs.

Et Sundevil a probablement fait plus pour populariser le hacking que n’importe quelle action des hackers eux-mêmes. Les médias se sont rués sur l’histoire, transformant des ados boutonneux en cyber-warriors. Le livre de Bruce Sterling, “The Hacker Crackdown”, a également immortalisé l’opération. Sterling, écrivain cyberpunk et journaliste, a passé des mois à interviewer tout le monde : hackers, agents, employés télécoms et son bouquin, qu’il a mis gratos en ligne en 1994 (un geste de ouf pour l’époque !), est devenu LA bible pour comprendre cette période. Respect, Bruce !

Sundevil a aussi créé exactement ce qu’elle voulait détruire à savoir une communauté hacker unie et politisée car avant 1990, les hackers étaient dispersés et apolitiques et après, ils ont compris qu’il fallait s’organiser, se défendre et des conférences comme Defcon (lancée en 1993) sont nées de ce besoin de se serrer les coudes.

Aujourd’hui quand je regarde Sundevil, j’ai un peu de nostalgie car c’était une époque plus simple, où les hackers étaient des gamins curieux et pas des mafieux avec des ransomwares.

C’était une époque où on croyait encore qu’Internet allait libérer l’humanité… et malheureusement, ce n’est pas exactement ce qui s’est passé !

– Sources :

The Hacker Crackdown par Bruce Sterling (Project Gutenberg), Operation Sundevil - Wikipedia, SJ Games vs. the Secret Service - Archives officielles, Steve Jackson Games v. Secret Service Case Archive - EFF, Legion of Doom - Wikipedia, The Hacker Crackdown - Full Text (MIT), Phrack Magazine Archives, Malicious Life Podcast: Operation Sundevil, Gail Thackeray - InfoCon Speaker Profile, FOIA Request: Operation Sundevil - MuckRock, Defcon Archives, textfiles.com - Jason Scott’s Archive

https://korben.info/operation-sundevil-1990-guerre-hackers-secret-service.html

Si vous avez toujours voulu fouiller le dark web sans y passer 3 heures à chercher dans le noir, j’ai déniché un outil Python qui fait le boulot pour vous : Darkdump.

Créé par Josh Schiavone, Darkdump est une interface OSINT (Open Source Intelligence) qui permet de mener des investigations sur le deep web. En gros, vous tapez un mot-clé, et l’outil va scraper les sites .onion correspondants pour en extraire des emails, des métadonnées, des mots-clés, des images, des liens vers les réseaux sociaux, et j’en passe.

Darkdump utilise Ahmia.fi (un moteur de recherche pour le dark web) pour trouver les sites .onion pertinents, puis il les scrape quand vous êtes connecté via Tor. Bref, c’est Google pour le dark web, en ligne de commande et avec des super-pouvoirs.

– Pour l’installer, rien de plus simple :

git clone https://github.com/josh0xA/darkdumpcd darkdumppython3 -m pip install -r requirements.txtpython3 darkdump.py --help

Mais attention, avant de vous lancer, il faut configurer Tor correctement. Sur Linux ou Mac, installez Tor (sudo apt install tor ou brew install tor), puis éditez votre fichier /etc/tor/torrc pour ajouter :

ControlPort 9051HashedControlPassword [VotreMotDePasseHashé]

Pour générer le hash du mot de passe, utilisez tor --hash-password "mon_mot_de_passe". Ensuite, démarrez le service Tor et vous êtes prêt à explorer les profondeurs du web.

Ce qui est cool avec Darkdump, c’est sa flexibilité. Vous pouvez l’utiliser de plusieurs façons. Voici quelques exemples données dans la doc officielle :

Rechercher 10 liens et scraper chaque site : python3 darkdump.py -q "hacking" -a 10 --scrape --proxy Juste récupérer 25 liens sans scraper (pas besoin de Tor) : python3 darkdump.py -q "free movies" -a 25 Chercher et télécharger les images : python3 darkdump.py -q "marketplaces" -a 15 --scrape --proxy -i

L’outil peut extraire pas mal de trucs intéressants comme des documents (PDF, DOC, XLS, PPT…), des adresses email, des métadonnées, et même des liens vers des profils de réseaux sociaux. C’est super pour les chercheurs en sécurité ou encore les journalistes d’investigation.

Maintenant, parlons un peu d’Ahmia.fi, le moteur qui fait tourner tout ça. Contrairement à ce qu’on pourrait croire, vous n’avez pas besoin de Tor pour accéder à l’interface d’Ahmia… vous pouvez y aller directement depuis votre navigateur normal. Par contre, pour visiter les sites .onion qu’il trouve, là il vous faudra Tor Browser.

Le moteur de recherche Ahmia

Ce qui est bien avec Ahmia, c’est qu’ils filtrent le contenu illégal comme ça c’est pas le far west total. Ils essaient tant bien que mal de garder ça propre et légal.

En 2025, Ahmia reste donc l’un des moteurs de recherche du dark web les plus fiables, aux côtés de Torch, DuckDuckGo (version Tor), Haystak et Not Evil. Chacun a ses spécificités, mais Ahmia reste le préféré pour sa politique de filtrage du contenu illégal.

Bon, évidemment, je dois faire mon speech de prévention et Josh Schiavone lui-même précise : Il n’est pas responsable de l’utilisation que vous faites de son outil. Ne l’utilisez donc pas pour naviguer sur des sites illégaux selon les lois de votre pays. C’est un outil pour la recherche légitime, l’OSINT, la cybersécurité, pas pour faire n’importe quoi.

D’ailleurs, petite anecdote, la v3 de Darkdump a été mise à jour récemment, et apparemment il y a même des forks qui commencent à apparaître avec des mises à jour complètes. La communauté OSINT est active sur ce projet, ce qui est bon signe pour sa pérennité. Voilà, donc pour ceux qui veulent aller plus loin dans l’OSINT sur le dark web, Darkdump n’est qu’un logiciel parmi d’autres et fait partie d’une boîte à outils plus large qui comprend des trucs comme OnionScan, TorBot, ou encore Dark Web OSINT Tools. Mais pour débuter, c’est vraiment l’un des plus simples et des plus efficaces.

Ça ne transformera pas le dark web en votre terrain de jeu, mais au moins vous verrez où vous mettez les pieds. Et dans un monde où l’information est de plus en plus fragmentée et cachée, c’est pratique, mais souvenez-vous, avec un grand pouvoir vient une grande responsabilité donc utilisez-le à bon escient !

– Sources :

https://github.com/josh0xA/darkdump

https://korben.info/darkdump-outil-osint-fouille-dark-web.html

Trois paquets malveillants ont été déposés sur le dépôt communautaire utilisé par Arch Linux : l’Arch User Repository. Ces paquets installaient en réalité le logiciel malveillant Chaos, un Cheval de Troie capable de donner un accès distant à la machine infectée. Faisons le point.

Des malwares dans le dépôt communautaire d’Arch Linux

L’Arch User Repository (AUR) est un dépôt de paquets sur lequel les utilisateurs d’Arch Linux peuvent trouver des applications et paquets en tout genre non disponibles dans les dépôts officiels. En effet, il s’agit d’un dépôt communautaire. Cependant, il repose sur la confiance et la vigilance des utilisateurs, car il n’y a pas de réel processus de validation : n’importe qui peut déposer un paquet.

Et, pour preuve, le 16 juillet dernier, un utilisateur avec le pseudo “danikpapas” a mis en ligne trois paquets sur l’AUR : librewolf-fix-bin, firefox-patch-bin et zen-browser-patched-bin. Ces derniers dissimulaient un script d’installation malveillant.

“Le 16 juillet, vers 20 heures UTC+2, un paquet AUR malveillant a été téléchargé sur le site AUR.”, peut-on lire sur le site d’Arch Linux. Ce paquet n’était pas seul, puisqu’il y a eu deux autres paquets chargés par le même utilisateur.

Deux autres paquets malveillants ont été téléchargés par le même utilisateur quelques heures plus tard. Ces paquets installaient un script provenant du même dépôt GitHub qui a été identifié comme un cheval de Troie d’accès à distance (RAT).

La méthode était simple, mais efficace : le fichier de construction PKGBUILD de chaque paquet contenait une instruction pour cloner un dépôt GitHub (par exemple : https[:]//github.com/danikpapas/zenbrowser-patch.git). Ce qui signifie que le système téléchargeait et exécutait le code du malware durant le processus de construction du paquet. L’utilisation de scripts de construction de paquets, appelés PKGBUILD, est tout à fait normal dans le contexte d’Arch Linux.

Qu’est-ce que le malware Chaos RAT ?

Le logiciel malveillant Chaos est un RAT, c’est-à-dire un cheval de Troie d’accès à distance (Remote Access Trojan). Une fois installé sur une machine, il se connecte à un serveur C2 (commande et contrôle), ici localisé à l’adresse 130[.]162.225.47:8080, et attend les ordres des cybercriminels !

L’attaquant dispose alors d’un accès distant sur le système compromis: il peut télécharger et envoyer des fichiers, exécuter des commandes arbitraires ou encore ouvrir un reverse shell. Ceci ouvre la porte à des actions malveillantes, comme le vol d’identifiants ou de données.

La bonne nouvelle, c’est que le nettoyage a été fait suite aux signalements de certains utilisateurs qui ont pris la peine d’analyser les paquets sur VirusTotal :

Les dépôts GitHub associés à cette campagne ont été supprimés. Les trois paquets malveillants ont été supprimés par l’équipe d’Arch Linux le 18 juillet.

Pour les utilisateurs qui auraient pu installer l’un de ces paquets, vous devez vérifier votre machine. Recherchez la présence d’un exécutable suspect nommé systemd-initd, potentiellement situé dans le dossier /tmp.

– Source :

https://www.it-connect.fr/arch-linux-trois-paquets-aur-malveillants-destines-a-installer-le-malware-chaos-rat/

Bonjour, comme dis Psyckofox, on est tous concerné, j’ai fait les hôpitaux publics à Lyon où j’ai vu tous les services à installer un truc -sais plus quoi, il 'a longtemps - les pc et serveurs, difficile de voir des malades, enfants, brulés, fin de vies, ivg, cancers et j’en passe, oui on est tous concerné et qd ça te tombe dessus, c’est pas tjrs facile à le prendre. Aujourd’hui, j’aimerais être la souris. Prenez soin de vous

text alternatif

@Aerya a dit dans La France ne contrôle plus ses données : Microsoft les remettra aux États-Unis “si nous y sommes contraints” :

Mais déjà, bloquer tracking et publicités via un résolveur DNS local c’est pas mal. Je tourne avec AGH, voici mes listes. Elles se mettent dans AdGuardHome.yaml dans le dossier /config. Doit y’en avoir 2 ou 3 de désactivées.

Je plussoie. Être maitre de son DNS et l’auto hébergé, c’est 👍

Un chiffre d’affaires de 90 millions de dollars, et un service client qui répond au téléphone. Non, je ne vous parle pas de la dernière scale-up parisienne mais de DarkSide, le groupe criminel qui a réussi à transformer le ransomware en service premium.

En mai 2021, ce groupe de cybercriminels ont réussi un exploit que même les scénaristes d’Hollywood n’auraient pas osé imaginer : paralyser l’approvisionnement en carburant de toute la côte Est américaine avec quelques lignes de code.

– Marqueur du réseau Colonial Pipeline - la cible qui a changé l’histoire du ransomware moderne

Mais DarkSide, c’est bien plus qu’une simple bande de hackers chanceux. C’est la première organisation criminelle à avoir vraiment compris comment industrialiser la cybercriminalité en s’inspirant des meilleures pratiques du monde de la tech. Franchise, support client, R&D, politique RSE… tout y est. Enfin, sauf les bonnes intentions.

Nous sommes en aout 2020 et pendant que vous découvriez les joies du télétravail, des criminels expérimentés (probablement d’anciens affiliés du groupe REvil) lançaient discrètement DarkSide. Et contrairement aux groupes de ransomware traditionnels qui font du bruit pour intimider tout le monde, eux ont tout de suite opté pour le style “startup disruptive”.

Leur première innovation c’est le modèle RaaS (Ransomware-as-a-Service) poussé à l’extrême. Un Netflix du chantage numérique si vous préférez pour lequel DarkSide développe la technologie, forme les “affiliés”, et prend sa commission sur chaque attaque réussie. 25% pour les rançons inférieures à 500 000 dollars, 10% au-delà de 5 millions. Pas mal comme business model, surtout quand on sait qu’ils ont engrangé plus de 90 millions de dollars en moins d’un an.

D’après les analyses d’Elliptic et Chainalysis, leur système de paiement était d’une sophistication folle où chaque affilié recevait un wallet Bitcoin unique, avec des instructions précises pour le mélange et le blanchiment des fonds. Ils utilisaient même des “tumblers” (mixeurs de cryptomonnaie) et des échanges décentralisés pour brouiller les pistes. Un vrai cours de finance criminelle appliquée !

Ce qui les démarque des autres c’est surtout leur professionnalisme car ils organisaient des entretiens de recrutement pour sélectionner leurs affiliés et d’après les témoignages récoltés sur les forums underground, il fallait prouver ses compétences techniques, montrer des références d’attaques précédentes, et même signer un “contrat” stipulant les règles d’engagement. Ils avaient même une politique de “responsabilité sociale” avec dedans, interdiction de s’attaquer aux hôpitaux, aux écoles, ou encore aux organisations caritatives. On s’achète une conscience comme on peut…

– Bitcoin - la crypto-monnaie de prédilection de DarkSide, blanchie grâce à des techniques dignes d’un thriller financier

Mais le plus fou, c’est qu’en octobre 2020, ils ont fait un don de 20 000 dollars à des œuvres caritatives, avec l’argent de leurs victimes, évidemment. Children International et The Water Project ont reçu chacun 10 000 dollars en Bitcoin. Les associations ont évidemment refusé cet argent sale, mais le geste était là. C’est à ce moment-là que j’ai compris qu’on avait affaire à des types qui avaient vraiment pensé leur truc différemment. Ils voulaient se donner une image de “gentleman cambrioleurs” du 21e siècle.

Techniquement parlant, DarkSide c’était du haut niveau. Ils maîtrisaient 34 techniques d’attaque référencées dans le framework MITRE ATT&CK, ce qui en fait l’un des groupes les plus complets jamais observés. D’après l’excellent rapport de Picus Security “Illuminating DarkSide”, leur couverture du framework MITRE était impressionnante : Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, et j’en passe. Ces références barbares signifient qu’ils avaient une boîte à outils capable de contourner pratiquement toutes les défenses modernes.

Leur arsenal aussi était impressionnant : Cobalt Strike pour le command & control (avec des beacons personnalisés pour éviter la détection), Mimikatz pour récupérer les mots de passe (version modifiée pour contourner Windows Defender), ADRecon pour cartographier l’Active Directory. Mais ce qui les différenciait vraiment, c’est leur approche “Living off the Land”. En effet, ils utilisaient principalement des outils légitimes détournés de leur usage, ce qui les rendait presque invisibles aux antivirus classiques.

Côté infrastructure, ils avaient aussi tout prévu. Serveurs de commande cachés derrière TOR, paiements en cryptomonnaies avec des techniques de blanchiment sophistiquées, et même un site web dédié pour publier les données volées… leur fameux “DarkSide Leaks”. L’interface était soignée, mieux fichue que certains sites d’e-commerce que je ne citerai pas et ils avaient même un système de recherche intégré pour que les journalistes puissent facilement trouver les données compromettantes !

Mais leur véritable innovation, c’était la double extorsion. Ils ne se contentaient pas de chiffrer vos données, ils les volaient avant pour vous faire chanter deux fois : “Payez pour récupérer vos fichiers ET pour qu’on ne les publie pas”. Diablement efficace. Les victimes se retrouvaient alors face à un dilemme impossible : payer ou voir leurs secrets étalés sur la place publique. Et DarkSide avait même prévu un système d’enchères pour vendre les données au plus offrant si la victime refusait de payer !

Et puis il y a eu Colonial Pipeline. L’attaque qui a tout changé. Un vendredi soir de mai 2021, DarkSide a réussi ce que même les terroristes n’avaient jamais osé rêver, c’est à dire couper l’approvisionnement en carburant de 45% de la côte Est américaine.

Le vecteur d’attaque ? Un compte VPN compromis d’un ancien employé qui n’avait même pas l’authentification multi-facteurs activée. D’après les sources proches de l’enquête, le mot de passe utilisé pour ce VPN aurait été trouvé dans une base de données de mots de passe leakés sur le dark web. C’est dingue comme les plus grosses catastrophes partent souvent de détails insignifiants. Et oui, votre informaticien qui vous bassine avec les mises à jour de sécurité, a peut-être raison finalement ^^.

Bref, en 2 heures chrono, ils ont volé 100 gigaoctets de données sensibles avant de déployer leur ransomware sur les systèmes informatiques de Colonial Pipeline. Pour y arriver, ils ont cartographié tout le réseau pendant plusieurs semaines, identifiant les systèmes critiques et les sauvegardes. Ainsi, quand ils ont frappé, c’était chirurgical. Ils ont évité d’attaquer les systèmes de contrôle industriel mais même comme ça Colonial Pipeline a préféré couper la production par précaution. Du coup, pénurie d’essence, prix qui s’envolent, et queues interminables aux stations-service.

J’ai encore en tête les images de ces Américains qui stockaient de l’essence dans des bouteilles en plastique dans leur coffre. Darwin award en perspective, mais surtout la preuve que quelques hackers russes avaient réussi à semer une sacrée panique dans le pays le plus puissant du monde. La Gouverneure de Caroline du Nord a même dû déclarer l’état d’urgence, et l’administration Biden a temporairement levé les restrictions sur le transport routier de carburant.

La négociation qui a suivi était surréaliste. DarkSide avait mis en place un véritable service client avec numéro de téléphone et chat en ligne pour faciliter les discussions. D’après les témoignages, ils avaient même des “account managers” dédiés qui parlaient un anglais parfait et connaissaient le dossier sur le bout des doigts. Joseph Blount, le PDG de Colonial Pipeline, a fini par craquer et payer la rançon de 75 bitcoins, soit 4,4 millions de dollars à l’époque. “C’était la bonne chose à faire pour le pays”, a-t-il déclaré plus tard. Je peux comprendre sa position, même si ça fait mal de voir céder à des criminels.

Le détail croustillant c’est que DarkSide a fourni un outil de déchiffrement… qui était tellement lent que Colonial a préféré restaurer depuis ses sauvegardes. Il fallait 8 heures pour déchiffrer un serveur ! Certains pensent que c’était volontaire, pour pousser les futures victimes à payer une “option premium” pour un déchiffrement plus rapide.

Évidemment, paralyser l’économie américaine, ça ne passe pas inaperçu. Le FBI s’est retrouvé avec la pression politique maximale pour retrouver ces types. Et contrairement à ce qu’on pourrait croire, ils ont été drôlement efficaces…

L’analyse de la blockchain Bitcoin leur a permis de remonter la piste et le 7 juin 2021, ils ont réussi à saisir 63,7 bitcoins sur le portefeuille de DarkSide, soit 2,3 millions de dollars. Pas la totalité, mais c’était déjà un beau message : “On peut vous suivre, y compris vos cryptomonnaies anonymes.” Comment ont-ils fait ? Le FBI reste mystérieux, mais des sources suggèrent qu’ils auraient eu accès à la clé privée d’un serveur loué en Californie par les hackers. Une sacrée erreur de débutant pour des pros du crime !

Les méthodes d’investigation étaient fascinantes car les enquêteurs ont combiné l’analyse blockchain (avec l’aide de Chainalysis et CipherTrace), l’infiltration de serveurs, et même la géolocalisation de certains serveurs de commande. DarkSide utilisait des techniques sophistiquées pour masquer leurs traces, mais face aux ressources du FBI et de la NSA, même les meilleurs finissent par laisser des indices. Un détail amusant : ils ont identifié certains membres grâce à leurs habitudes de connexion… toujours aux mêmes heures moscovites !

La pression diplomatique sur la Russie s’est aussi intensifiée. Même si Moscou nie toute implication, impossible de faire semblant que ces groupes opèrent depuis leur territoire par hasard. Les États-Unis ont alors mis des récompenses de 10 millions de dollars sur la tête des leaders de DarkSide, et 5 millions pour toute information menant à une arrestation. Le programme “Rewards for Justice” du Département d’État accepte même les informations en crypto-monnaies via TOR… Bref, ils ont compris qu’il fallait parler le langage des criminels pour les attraper.

Face à cette pression, DarkSide a officiellement annoncé l’arrêt de ses activités le 14 mai 2021. Communiqué de presse officiel sur leur blog en .onion, excuses aux victimes, tout le tralala. Ils ont même prétendu que leurs serveurs avaient été saisis et leurs comptes crypto vidés. Mais dans ce milieu, une “fermeture” c’est souvent juste un changement de nom.

Et effectivement, en juillet 2021, BlackMatter faisait son apparition. Même interface, mêmes techniques, mêmes méthodes de chiffrement. Les experts en sécurité ont alors vite fait le rapprochement : BlackMatter n’était probablement qu’un rebranding de DarkSide, avec quelques améliorations techniques. Recorded Future a même identifié que le code de BlackMatter réutilisait des portions uniques du ransomware DarkSide, notamment l’algorithme de génération de clés.

L’analyse des échantillons de malware a confirmé les soupçons. BlackMatter utilisait les mêmes méthodes de chiffrement uniques que DarkSide (combinaison RSA-1024 et Salsa20), avec des signatures techniques quasi identiques. C’est comme si vous changiez le nom de votre startup mais gardiez le même code source. Ils ont même conservé la même structure de configuration JSON et les mêmes mutex Windows !

BlackMatter a même revendiqué s’inspirer “du meilleur de DarkSide et REvil”. Marketing criminel assumé même s’ils ont poussé l’innovation plus loin en développant des versions Linux de leur ransomware, ciblant spécifiquement les serveurs VMware ESXi. Parce que finalement, pourquoi se limiter à Windows quand on peut faire du multiplateforme ? Leur nouvelle version pouvait même chiffrer jusqu’à 1,5 TB de données par heure sur des systèmes ESXi, une performance technique impressionnante, même si on préférerait qu’elle soit utilisée à bon escient.

BlackMatter a aussi introduit une nouveauté : l’exclusion explicite du secteur pétrolier et gazier de leurs cibles. Visiblement, l’attention du FBI après Colonial Pipeline leur avait servi de leçon. Mais ça ne les a pas empêchés de s’attaquer à d’autres infrastructures critiques, comme NEW Cooperative (une coopérative agricole) en septembre 2021, menaçant l’approvisionnement alimentaire de millions d’Américains.

L’aventure BlackMatter s’est ensuite arrêtée en novembre 2021, officiellement pour les mêmes raisons que DarkSide. Mais le mal était fait : le modèle était créé, les techniques documentées, les méthodes éprouvées. Et quelque part sur les forums russophones, d’anciens membres continuent probablement sous d’autres bannières.

Aujourd’hui, en 2025, l’influence de DarkSide se ressent encore dans tout l’écosystème du ransomware. Leur approche “RaaS premium” a inspiré des dizaines de groupes. RansomHub, Akira, Meow…etc., tous reprennent peu ou prou leurs méthodes. Le modèle d’affiliation avec commission dégressive est devenu le standard et la double extorsion est devenue de la triple extorsion (chiffrement + vol + DDoS).

Paradoxalement, le succès de DarkSide et de ses dérivés a aussi contribué à l’amélioration des défenses. La baisse de 35% des paiements de rançons observée en 2025 s’explique en partie par les contre-mesures développées après Colonial Pipeline. Les entreprises ont enfin compris qu’investir dans la cybersécurité coûtait moins cher que de payer des criminels.

Le FBI a d’ailleurs fourni plus de 5 400 clés de déchiffrement aux victimes depuis 2022, permettant d’éviter plus de 800 millions de dollars de paiements. Leur programme “No More Ransom” en partenariat avec Europol compte maintenant 188 outils de déchiffrement gratuits et les arrestations se multiplient aussi : pas plus tard qu’en juin 2025, 2 suspects liés aux opérations DarkSide ont été arrêtés aux États-Unis. L’un d’eux, un ressortissant russe de 29 ans, était recherché depuis 2021 et s’était caché en Géorgie.

Les assureurs cyber ont aussi appris leur leçon. Axa, Zurich, et d’autres ont arrêté de couvrir les paiements de rançons dans certains pays. Résultat, les criminels doivent s’adapter, cibler différemment, innover constamment. C’est un jeu du chat et de la souris permanent, où chaque camp affine ses techniques.

Ce qui me frappe le plus dans cette histoire, c’est la rapidité avec laquelle des criminels ont réussi à créer une organisation plus efficace que beaucoup d’entreprises légitimes. Processus de recrutement, formation, support client, politique de responsabilité sociale… ils avaient tout. Sauf les bonnes intentions. Leur “employee handbook” leaked en 2021 faisait 30 pages et détaillait tout, des horaires de travail aux bonus de performance ! C’est assez unique car nous avons à faire là à des groupes qui ont des ressources, des compétences, et une vision stratégique. Ils recrutent des développeurs à 300 000 dollars par an sur des forums underground, offrent des plans de retraite (si si !), et investissent massivement en R&D. La séparation entre développeurs et affiliés, le système de commissions, l’infrastructure de support… tout était pensé pour maximiser l’efficacité et minimiser les risques.

Leur modèle économique était tellement bien fichu que des chercheurs de Harvard Business School l’ont étudié.

Enfin, nos infrastructures critiques restent vulnérables. Colonial Pipeline n’était pas une PME avec un IT de fortune, mais une entreprise clé de l’énergie américaine. Si eux peuvent tomber, personne n’est à l’abri. D’ailleurs, une étude de 2024 a montré que 67% des infrastructures critiques américaines n’avaient toujours pas d’authentification multi-facteurs sur leurs accès VPN. Visiblement, ces entreprises n’apprennent pas bien de leurs erreurs.

Mais la bonne nouvelle, c’est que les forces de l’ordre s’adaptent. Le Joint Ransomware Task Force créé en 2021 a maintenant des antennes dans 30 pays. Les plateformes crypto commencent à collaborer, gelant les fonds suspects plus rapidement mais, vous vous en doutez, la course continue.

DarkSide a peut-être disparu, mais leur héritage perdure. D’autres groupes reprennent leurs méthodes, les améliorent, les adaptent. Par exemple, LockBit 4.0 vient de sortir avec des fonctionnalités qu’on n’aurait jamais imaginées : ransomware-as-a-API, paiement en NFTs, et même un programme de bug bounty pour améliorer leur malware !

Bref, c’est pas fini…

– Sources :

CISA - DarkSide Ransomware Advisory, DOJ - Bitcoin Seizure, Elliptic - DarkSide Bitcoin Analysis, BleepingComputer - DarkSide Earnings, Krebs on Security - DarkSide Shutdown

https://korben.info/darkside-groupe-criminel-ransomware-histoire.html