Comment les Emirats arabes unis ont tenté de racheter des failles « zero day » à… un journaliste américain ?

C’est une histoire à la fois cocasse et louche. Joseph Cox, journaliste pour le site web Motherboard, spécialisé dans la cybersécurité, en est le protagoniste. L’intéressé a donc pris sa plume pour conter ses dernières tribulations dans les colonnes du média américain, et de commencer par le commencement, à savoir, un tweet anodin publié à l’occasion de l’Offensive Con, conférence organisée en février dernier à Berlin, en Allemagne.

Après avoir notifié sa présence à l’événement berlinois, M. Cox a invité toute personne souhaitant discuter de rachats et de ventes relatifs à des failles zero day de le contacter sur la messagerie chiffrée Signal au numéro indiqué. Et de préciser dans son article que le sujet des vulnérabilités zero day s’inscrivait dans la ligne éditoriale du journal. Rapidement, un utilisateur surnommé « A » prit contact avec lui.

Zero day, des failles juteuses

Ce fameux « A » se présente alors comme un employé de Haboob, une entreprise de cybersécurité basée en Arabie Saoudite. « Comment vas-tu Joseph ? Je suis tombé sur votre tweet et nous sommes vraiment intéressés par l’achat de 0 day. Aussi, nous embauchons et cherchons à mettre en place des échanges avec des acteurs de ce domaine », lui écrit-il.

Avant de poursuivre, tâchons de rappeler la signification d’une faille zero day. Une faille zero day, c’est une brèche informatique exploitable et tenue secrète par la personne ou le groupe de personnes à l’origine de sa découverte. En outre, cette faille n’est pas répertoriée. Elle permet à des hackers, voire à des agences de renseignement, d’en tirer profit au maximum jusqu’au moment où elle sera révélée au grand public, et donc corrigée. Il s’avère que des entreprises rachètent ce type de failles à prix d’or : elles sont d’ailleurs devenues un business très juteux.

Abu Dabi, capitale des Émirats arabes unis // Source : neildodhia via Pixabay

Revenons à nos moutons : monsieur « A » contacte donc Joseph Cox dans l’optique d’acquérir des failles zero day. C’est à ce moment-là que le terme « cocasse » prend tout son sens. Selon J.C, son compte Twitter et ses publications ne faisaient aucun doute quant à la nature de sa profession. Or, Haboob n’aurait probablement pas tenté d’établir un contact avec lui si elle s’était aperçue de son activité de journaliste.

DarkMatter, un rôle trouble

Haboob, qui se décrit comme l’un des leaders dans son domaine, serait en effet étroitement lié à DarkMatter, selon des sources de la région citées par MotherBoard. Cette société de cyberespionnage implantée aux Émirats arabes unis (EAU) est notamment soupçonnée d’avoir collaboré avec la monarchie pétrolière dans diverses cyberopérations. DarkMatter nie ces accusations : selon elle, ses activités se cantonneraient à de la cyberdéfense. Ce n’est pourtant pas ce que prouvent les enquêtes de The Intercept, Reuters et Foreign Policy.

Faisons donc le point : la firme de cybersécurité Haboob serait associée à DarkMatter, elle-même utilisée par les agences d’Émirats arabes unis dans le cadre d’opérations de cyberespionnage. En d’autres termes, l’intérêt de Haboob à l’égard des failles zero day pourrait directement profiter à DarkMatter, et donc aux organismes de renseignement de la pétromonarchie. Une supposition établie à partir d’un simple tweet… d’un journaliste américain.