Outre de nouvelles révélations dans la presse, le Security Lab d’Amnesty international vient de publier un rapport faisant le point sur ce qu’on sait aujourd’hui des capacités d’intrusion du logiciel espion.
Mai 2025 : le géant des réseaux sociaux Meta obtient aux Etats-Unis la condamnation du NSO Group, cette société israélienne derrière le redoutable logiciel espion Pegasus qui avait visé jusqu'au président Macron. De l’histoire ancienne, plus d’un an plus tard ? Pas tout à fait.
Selon le consortium de journalistes « Forbidden stories », Sébastien Lecornu, l’actuel premier ministre, aurait lui aussi été ciblé par le Maroc avec ce logiciel espion en juillet 2019. Tandis que dans le même temps les pouvoirs publics français s’interrogeaient sur l’achat d’une licence, avec une fourchette de prix évoquée entre 60 et 80 millions d’euros…
Un gros chèque qui était le reflet des impressionnantes capacités d’intrusion de Pegasus. Comme le détaille Amnesty international dans un rapport fouillé, basé sur ses précédentes recherches et des documents dévoilés dans le cadre du contentieux judiciaire américain, le logiciel espion avait très rapidement évolué vers des attaques sophistiquées.
Si en 2013 l’entreprise visait notamment des téléphones Blackberry, elle avait ainsi rapidement élargi ses capacités. Son arsenal comptait ainsi des attaques déclenchées, de type « homme du milieu », en ligne, par une injection réseau ou encore physique, sans doute en « référence à l'infection d'un appareil via des interfaces radio telles que le Wi-Fi ou le Bluetooth lorsque l'appareil se trouve à portée de la cible », commente le « Security Lab » d’Amnesty international.
Mais surtout, NSO Group était en mesure de faire des attaques « zéro clic », sans intervention de l’utilisateur ciblé, « depuis au moins 2017 » pour les appareils Apple et « sur la plupart des appareils Android depuis début 2018 ». Autant de vecteurs d’attaque appelés en interne, pour ceux visant l’écosystème Android, « Eden », « Erised » ou encore « Heaven ». Côté Apple, NSO Groupe utilisait notamment « Diablo », qui visait une faille dans les appels Wifi, ou « Dragonfly », qui ciblait les appareils via l’application iMessage.
NSO Group avait également développé toute une méthodologie pour couvrir ses traces. En témoigne son équipe des « White Services », chargée de mettre sur pied une infrastructure blanchie, c’est-à-dire pouvant éviter toute attribution gênante vers l’entreprise ou ses clients.
Il s’agissait alors à la fois de mettre en place des serveurs d’anonymisation, vraisemblablement payés en crypto-monnaie pour tenter de masquer les traces. Mais aussi des comptes d’attaque chargés d’envoyer des exploits, par exemple des comptes Apple enregistrés avec une adresse Gmail.
Autant d’informations qui apportent des éléments précieux « sur le fonctionnement interne et les capacités d'un logiciel espion sophistiqué », relève de manière générale Amnesty international. Elles offrent ainsi « un éclairage nouveau et important sur le processus et la méthodologie utilisée pour cibler et infecter des appareils ». Une connaissance qui devrait être utile pour débusquer les logiciels espions qui ont succédé aujourd’hui à Pegasus.
