Début février 2019. Des messages particulièrement menaçants atterrissent sur des messageries d’internautes français. « Vous vous demandez probablement pourquoi vous recevez ce mail. Je suis un hackeur qui a piraté votre appareil il y a quelques mois. J’ai mis en place un virus sur le site pour adulte (porno) et devinez quoi, vous avez visité ce site pour vous amuser (vous savez ce que je veux dire). »
Dans un long message, le pirate affirmait ensuite avoir enregistré une vidéo en double écran, celui de sa victime – durant la consultation du site pornographique – et celle en provenance de la webcam. Une vidéo qu’on imagine compromettante et qui sera envoyée aux proches, famille et collègues. Sauf si une rançon de quelques centaines d’euros est payée.
En 2019, des millions de français ont reçu ce genre de messages, un style d’arnaque alors très en vogue. Comme raconté par Libération, une partie d’entre eux pourrait être le fait de deux jeunes français, Augustin I. et Jordan R., poursuivis cette semaine devant le tribunal correctionnel de Paris pour extorsion, tentative d’extorsion, accès et maintien dans un système de traitement automatisé de données, ainsi que blanchiment.
Du bluff
En réalité, ces menaces étaient du bluff. Certes, il y a bien eu des vidéos, mais elles n’ont pas été exploitées par les hackeurs Il n’y a pas non plus, la plupart du temps, de piratage du terminal cible. Mais sur la dizaine de millions d’adresses de messageries ciblées, environ 600 internautes seraient tombés dans le panneau, selon l’une des déclarations d’un des deux hackeurs.
Un nombre important de victimes qui aurait permis d’accumuler frauduleusement jusqu’à l’équivalent d’environ 400 000 euros en bitcoins sur les six premiers mois de l’année 2019, la période de prévention de la procédure. Après coup, en regardant les transactions sur les portefeuilles de monnaie virtuelle, les enquêteurs ont estimé que l’arnaque au crypto-porno, menées par plusieurs groupes de cybercriminels, avait soutiré l’équivalent de 1,3 million d’euros.
Âgés de 25 ans, Augustin I. et Jordan R. jouent gros devant le tribunal. Le premier, un grand bonhomme fin aux faux airs de François Fillon, veut reprendre des études dans l’informatique. Le second va bientôt être père, et après avoir obtenu une certification en développement web, il a enchaîné deux postes avant d’accrocher un job bien payé dans une entreprise gravitant autour du jeu vidéo. “J’ai un peu réalisé mon rêve d’enfance”, assure-t-il.
Logiciel malveillant maison
Selon l’accusation, les deux suspects, alors âgés à peine de 20 ans, avaient mis au point une technique bien rodée pour tromper leurs victimes. Tout d’abord, un logiciel malveillant maison, Varenyky, développé par Augustin I., leur avait permis de se constituer un réseau de machines zombies. Les cibles avaient été trompées par des messages d’hameçonnage annonçant l’envoi d’une facture ou d’un colis. Ce malware, codé en C++, était une variante de Tinynuke, la première création du jeune homme.
Le botnet de 1300 machines, géré par Jordan R., était ensuite utilisé pour envoyer en masse des demandes de rançons, dirigées d’abord vers des adresses orange.fr. Un opérateur particulièrement visé parce que l’un des mis en cause avait identifié une manière de contourner le filtre anti-spam, et parce que les pirates avaient décidé de ne s’attaquer qu’à des internautes français, par crainte de la justice américaine.
Le malware Varenyky avait également une fonctionnalité d’activation de la webcam, testée pendant plusieurs jours. Elle se déclenchait après avoir détecté des mots clés chez la victime. Mais au vu du nombre trop élevé de faux positifs et de l’impossibilité de lier chaque vidéo à sa victime, les pirates ont assuré ne pas avoir tenté d’exploiter la fonctionnalité.$
Piste de l’argent
Pour remonter aux deux mis en cause, les enquêteurs ont d’abord suivi la piste de l’argent. En s’intéressant aux adresses bitcoins envoyées dans les messages de demande de rançon, ils découvrent que l’un des wallet a déjà été partagé sur une page GitHub par un développeur appelant à des dons. Il s’agit de Jordan R.
En suivant ce fil, la police se penche ensuite sur son compte bancaire. Elle remarque alors un virement sortant vers le compte d’Augustin I., un jeune homme déjà visé par une autre enquête de cybercriminalité au préjudice d’une banque française. Reste alors à interpeller les suspects, visés par un mandat de recherche dès avril 2019, qui vivent en Ukraine.
Jordan R. sera le premier arrêté à l’aéroport de Roissy, à son retour en France au début du mois de septembre 2019. Quelques mois plus tard, Augustin I. se rend à son tour, en se présentant au commissariat du 15e arrondissement de Paris. Non sans avoir au préalable jeté son ordinateur dans la Vistule, en Pologne. Quatre jours d’audience sont prévus pour ce procès.