Un nouveau logiciel espion très perfectionné vient d'être découvert : Casper, de son petit nom donné par ses créateurs. Toute une généalogie de virus est ainsi en train d'être reconstituée grâce à ces trouvailles récentes. Le plus ancien, Evil Bunny a été disséqué le mois dernier. Sa parenté avec Babar, un autre programme, est alors apparue. Aujourd'hui, la société Eset affirme que Casper est de la même famille. Joan Calvet, l'auteur du rapport, l'attribue avec «un haut niveau de confiance» aux mêmes développeurs que Babar, d'après le rapport que Libération a pu consulter avant sa publication.

Joan Clavet est incapable de relier Casper aux services secrets français, et ainsi de confirmer ou d'infirmer l'hypothèse émise par les services de renseignement canadien. «Aucun signe ne pointe vers qui que ce soit», explique le chercheur. La direction générale de la sécurité extérieure (DGSE), contactée par Libération, «ne commente pas ses activités réelles ou supposées». «Tout est neutre, très bien fait, en anglais, comme si Casper était une version mature de Babar [conçu en 2009, ndlr], dont les erreurs auraient été corrigées.» Un faisceau d'indices rend crédible la piste française.

Pour accéder aux ordinateurs, Casper utilise deux failles alors inconnues, appelées de «zero day», dans Flash. C’est ce qui permet en quelque sorte d’ouvrir les portes des ordinateurs cibles puis, dans un deuxième temps, de collecter les informations. Quant à ce qui est fait de ces informations, Eset n’en a pour l’instant aucune idée. D’autres programmes, non identifiés, prennent le relais. Ce cloisonnement (ouverture, renseignement, exploitation) souligne là encore l’habileté de ses concepteurs.

La principale inconnue concerne les cibles réelles. Le chercheur s'interroge sur l'opportunité de piéger un tel site (jpic.gov.sy), destiné à transmettre des plaintes aux autorités syriennes. Il juge peu crédible que les attaquants aient ciblé précisément les utilisateurs de ce site. «C'est peut-être un choix d'opportunité, suppose Joan Calvet. Un récent piratage de ce site a montré que sa sécurité était défaillante. Le site est hébergé en Syrie, ce qui le rend accessible même si la connexion internet vers le reste du monde est coupée.» Sans oublier le brouillage des pistes : le virus est installé sur un site gouvernemental syrien, les regards se tournent donc en premier vers le régime de Bachar al-Assad, coutumier des attaques informatiques contre ses opposants.

Par hypothèse, Joan Calvet en déduit que les victimes étaient peut-être redirigées vers le site infecté à partir d'une autre source, comme un lien malicieux dans un email par exemple. «Toutes les victimes ciblées étaient en Syrie», affirme le chercheur. Ses concepteurs, probablement pas.