Premiers résultats de l’analyse de GData sur le logiciel d’espionnage Babar
L’affaire Edward Snowden n’a pas fini de faire couler de l’encre. Les experts du GData SecurityLabs ont analysé le code malveillant Babar et leurs conclusions viennent ainsi étayer les affirmations selon lesquelles un outil autre qu’EvilBunny a été utilisé dans le cadre du programme de cybespionnage étatique qui a défrayé la chronique.
GDATA révèle les fonctionnalités de Babar
L’opération SNOWGLOBE aurait en effet été permise par plusieurs programmes, dont Babar.
C’est ce qu’a publié en mars 2014 le journal Le Monde, suivi en janvier 2015 par l’hebdomadaire allemand Der Spiegel concernant la fameuse campagne et ses composants, dont deux connus sous l’appellation Snowball et un troisième baptisé Snowman.
Des chercheurs de l’entreprise de sécurité allemande ont réussi à se procurer un exemplaire du virus décrit dans les documents du Communication Security Establishment Canada (CSEC) fournis par Edward Snowden.
Ils lèvent pour la première fois le voile sur son fonctionnement sur les terminaux infectés : capter les textes saisis sur le clavier ou le contenu affiché sur l’écran, enregistrer les conversations audio et intercepter les échanges instantanés. Avec ces capacités, il remplit parfaitement son rôle de « mouchard », même s’il reste assez rudimentaire.
Babar serait une version améliorée d’EvilBunny
Autre révélation, la comparaison des échantillons de Babar avec ceux d’EvilBunny, découvert quelques mois plus tôt, met en évidence des similitudes frappantes entre les codes (design, méthode d’infection, de camouflage…), permettant d’établir que tous deux sont l’œuvre de la même équipe de développeurs.
Deux des trois implants identifiés par le CSEC sont donc maintenant révélés. En revanche, les études menées par la firme GData n’ont pas permis de prouver formellement le lien avec « une agence de renseignement française » comme le suspectent les services canadiens. Malgré cette question majeure en suspens, l’avancée dans l’enquête sur ces spywares est appréciable.