👌[Encrochat] Le logiciel espion classé « secret défense » de la DGSI, celui qui a fait tomber 6 500 personnes en Europe, vient d'être décortiqué.
Ce n'était pas une arme cyber d'État. C'était un exploit récupéré sur GitHub, publié par Google, repéré chez Pegasus, collé à un outil de test open source. Le tout écrit avec une telle négligence qu'un expert allemand qui a analysé le code le compare à un projet d'étudiant.
C'est français, et ça fonctionne !
Six ans de secret de la défense nationale pour ça.
Rappel du dossier. EncroChat, c'était le cryptophone du crime organisé européen. 60 000 abonnés, 1 000 euros le téléphone, 1 500 euros l'abonnement semestriel. Un BQ Aquaris modifié, deux systèmes d'exploitation dont un caché derrière une combinaison de touches, une partition chiffrée, effacement automatique des messages sous quatorze jours. Pas de navigateur, pas d'app store, pas de GPS. Réputé impénétrable, et il l'était. La gendarmerie a passé des années à s'y casser les dents, les outils forensiques classiques ne donnaient rien.
Puis, fin 2019, un coup de chance.
Une chercheuse de Google Project Zero, Maddie Stone, tombe sur une faille Android 0-day utilisée dans une chaîne d'attaque qui installait Pegasus, le logiciel espion de NSO Group. Elle la documente le 27 septembre 2019. Nom de code Bad Binder, référence CVE-2019-2215. C'est son tout premier bug chez Project Zero.
La faille traînait dans le noyau Linux depuis 2017 sans avoir jamais été corrigée côté Android. 2,5 milliards de téléphones exposés. Une semaine après le signalement, le proof of concept de Stone est publié sur GitHub, ouvert à tous.
Google patche ses Pixel. Pas EncroChat. Les données récupérées en 2020 montreront que la totalité du parc tournait encore sur une build Android 8 datée du 14 novembre 2018. Une porte grande ouverte, laissée ouverte pendant deux ans.
Le C3N, la cellule cyber de la gendarmerie, comprend l'opportunité. Presque tous les serveurs EncroChat sont hébergés chez OVH à Roubaix, donc en juridiction française. Réquisition. OVH copie 71 machines virtuelles réparties sur 33 sous-domaines, et 66 134 cartes SIM sont identifiées sur le réseau.
le plan : reconstruire un clone du serveur de mise à jour d'EncroChat à partir des copies, faire basculer tous les clients du monde vers ce faux serveur via un load balancer, puis pousser Bad Binder dans une fausse mise à jour. Les téléphones vérifiaient les mises à jour à chaque usage, en silence, sans notification ni consentement. Le vecteur idéal.
Le C3N passe la main au STNCJ, le service technique national de captation judiciaire, créé en 2018 et rattaché à la direction technique de la DGSI. Ces gens retournent sur GitHub. Ils y téléchargent Frida, un toolkit open source d'instrumentation Android que les chercheurs en sécurité utilisent pour tester des applications. Une fois lancé en root, Frida permet d'observer, d'intercepter et de modifier n'importe quelle action du téléphone en temps réel. Ce sera le cœur de l'implant français.
L'équipe accumule les erreurs de code et repousse l'attaque de trois semaines. Mercredi 1er avril 2020, 15h15 : le code de l'implant, stocké sur une clé USB dans un coffre, est sorti et injecté dans le système de mise à jour d'EncroChat. Le lendemain matin, le trafic d'exfiltration sature les liens réseau d'OVH.
32 014 téléphones infectés en deux mois. Chaque événement remonte en JSON vers un serveur à l'adresse 147.135.143.19, dans la même plage IP que les vrais serveurs EncroChat. Chaque mot de passe saisi, chaque image créée ou reçue, chaque message, chaque note. Et surtout chaque changement de relais mobile, ce qui donne le suivi des déplacements en direct. Un message quittait le téléphone en moins d'une seconde et s'affichait sur un écran de police en moins de vingt.
Sauf que le code était mauvais. La plupart des implants plantaient. Il a fallu réinfecter, relancer, recommencer pendant une semaine entière. Le 12 juin 2020, seconde tentative sur les nouveaux modèles X3, échec, couverture grillée. EncroChat coupe son réseau dans la nuit et conseille à ses clients de détruire physiquement leurs téléphones.
Et là commence la vraie affaire.
Des milliers de procès s'ouvrent partout en Europe sur la base de ces messages. La France refuse de dire comment ils ont été obtenus. Secret de la défense nationale, révélation passible de poursuites pénales. Des avocats se retrouvent à devoir contester une preuve dont personne ne veut expliquer la provenance. Ça dure six ans.
Août 2024, un juge de Londres finit par ordonner à la police britannique de remettre un téléphone infecté à des experts indépendants. Direction Brno, en Tchéquie, chez Invasys, une société qui vend du logiciel espion aux gouvernements. Un NSO en version légale. Ils vont rejouer le hack français contre le hack français.
Ils commencent par dessouder les puces mémoire, en détruisent deux sur six, et se heurtent à une partition chiffrée protégée par une double couche cryptographique adossée au matériel. Alors ils font exactement ce que le STNCJ avait fait : ils reconstruisent un faux serveur de mise à jour et poussent leur propre malware. En décembre 2024, ils extraient l'implant français. Début 2025, 70 % du code est reversé.
Le verdict technique : trois processus cachés tournant en superuser permanent. Un contrôleur déguisé en « com. android.device », un nom qu'aucune application Android réelle n'utilise. Six hooks nommés sans la moindre précaution, Exploit_c à Exploit_h. Une bibliothèque baptisée « libexploit », ce qui, comme le note le rapport, indique assez clairement l'intention. Aucune contre-mesure élémentaire contre la détection.
Deux détails valent le détour. Le code obfusqué contient des libellés de fonction en tchèque. Et cette erreur admise par le C3N en août 2020, où un « to » signifiait en réalité « from » dans les données d'appel, s'explique par deux mots oubliés dans le code. Révéler ces deux mots était officiellement un délit.
Mais le plus grave n'est pas technique. Les 71 images de serveurs remises aux experts par la police britannique étaient altérées. Incomplètes, modifiées, corrompues, et précisément dans les zones critiques au fonctionnement du système. Invasys parle d'une violation grossière de la chaîne de conservation des preuves et estime que la manipulation semble délibérée.
Coût de la rétro-ingénierie qui a fait sauter le secret : 2 millions de livres. Payés pour découvrir qu'un service d'État avait copié un exploit public sur GitHub et l'avait collé à un outil de test open source.
Ce que cette affaire raconte n'est pas que la police française serait incompétente. Le hack a fonctionné, à très grande échelle. Le problème est ailleurs. Le secret défense a couvert pendant six ans un bricolage, pas une capacité stratégique. Et pendant ces six ans, des milliers de personnes ont été jugées sur des preuves que leurs avocats n'avaient pas le droit d'examiner, au nom d'un secret qui protégeait surtout l'embarras du prestataire.
Enquête originale : Duncan Campbell et Bill Goodwin, Computer Weekly, 17 août 2026. Adaptation française : Jean-Marc Manach, Next.
Next
Le logiciel espion « secret défense » de la DGSI était un fork d’un exploit disponible sur GitHub
Ayant permis plus de 6 000 arrestations, la saisie de 900M d’euros et de 270 tonnes de drogues, le piratage du cryptophone Encrochat reposait sur...
