Pour aider la capture d’un harceleur de jeunes filles, le réseau social a financé le développement d’un malware exploitant une faille zero-day dans Tails Linux. Coût de l’opération : plusieurs centaines de milliers de dollars.
Il était devenu l’homme à abattre au sein des équipes de sécurité de Facebook. Buster Hernandez, 41 ans, a utilisé le réseau social pour harceler et menacer brutalement des petites filles pendant des années, dans le but de leur soutirer des selfies pornographiques. Le problème, comme le relate Vice, c’est qu’il restait insaisissable. Facebook dispose d’équipes spécialisées pour déceler les agissements illégaux sur sa plate-forme et, si possible, identifier leurs auteurs. Mais Buster Hernandez leur filait toujours entre les doigts, même après avoir nommé une personne dédiée à sa poursuite et créé un modèle d’apprentissage automatique spécial pour identifier ses multiples comptes sous pseudonyme. Le FBI, qui était également impliqué dans cette traque, a même essayé de le pirater, sans succès.
Facebook a alors décidé de prendre le taureau par les cornes et fait ce qu’aucun géant du net n’a fait jusqu’à présent : développer un logiciel pour pirater l’un de ses utilisateurs. Buster Hernandez demeurait insaisissable parce qu’il utilisait le système d’exploitation Tails Linux, qui s’appuie notamment sur Tor pour cacher les adresses IP d’origine de ses utilisateurs. Par le passé, ce logiciel a également été utilisé par le lanceur d’alerte Edward Snowden pour échapper aux griffes de son ancien employeur, la NSA.
Facebook n’a pas créé directement ce malware, mais a fait intervenir une société spécialisée qui a eu l’idée d’utiliser une faille zero-day dans le lecteur vidéo de Tails Linux pour faire fuiter l’adresse IP d’origine. Ce développement aurait coûté plusieurs centaines de milliers de dollars. Une fois finalisé, l’outil a été transmis au FBI, qui l’a utilisé pour dresser une souricière. Les enquêteurs ont pris contact avec une victime qui a été chargée d’envoyer au harceleur une vidéo piégée. L’homme a été rapidement retrouvé. En février dernier, il a plaidé coupable à 41 chefs d’accusation, comme la production de contenu pédopornographique et les menaces de mort.
Un cas exceptionnel, souligne Facebook
Mais cette histoire suscite aussi de nombreuses questions. D’après les sources interrogées par Vice, Facebook a agi dans le cadre de la légalité. Mais est-il éthiquement correct qu’une société privée développe un malware pour aider les forces de l’ordre à capturer l’un de ses utilisateurs ? Et comment peut-on être certain que ce malware ne soit pas ensuite détourné de son but premier et serve à identifier des dissidents et des journalistes qui utilisent également Tails Linux ? Côté Facebook, on souligne que ce cas était une exception. « C’était un cas unique, car [Buster Hernandez] utilisait des méthodes si sophistiquées pour cacher son identité, que nous avons décidé de façon extraordinaire de travailler avec des experts en sécurité pour aider le FBI à le traduire en justice », a expliqué un porte-parole de Facebook auprès de Vice.
Du côté des développeurs de Tails Linux, on souligne que la faille zero-day utilisée ne leur a jamais été révélée. D’après les sources interrogées, Facebook avait l’intention de le faire, mais comme le code vulnérable a finalement disparu à la suite d’une mise à jour de Tails, le réseau social a estimé que cela n’était plus nécessaire. Une décision discutable, car finalement peu transparente. Évidemment, tout le monde est ravi de voir ce criminel derrière les barreaux, mais cette histoire laisse quand même un arrière-goût étrange…
source : 01net