Le 24 août dernier, X Corp. a envoyé une lettre de mise en demeure au développeur de Nitter et une autre à celui de XCancel (une instance célèbre de Nitter). Le délai accordé était très court (environ 24h), et depuis, les deux services sont hors ligne.

Alors que s'est-il passé ?

Nitter, c'était sept ans de travail bénévole pour lire les posts publics de Twitter puis de X sans avoir besoin de compte, sans pub, sans JavaScript et surtout sans laisser son adresse IP à Elon Musk et ses sbires. On remplaçait x.com par nitter.net dans l'URL, et on lisait ce qui nous intéressait. Y'avait même des extensions de redirection automatique qui le faisaient pas à notre place. Et XCancel qui venait de fêter ses 2 ans, c'était tout pareil !

Aujourd'hui la page d'accueil de XCancel affiche ces 4 lignes qui disent en gros que le service est arrêté jusqu'à nouvel ordre. Celle de Nitter n'est pas plus bavarde et son mainteneur, zedeus, cherche un avocat et refuse de commenter.

Notez qu'aucun tribunal n'a été saisi et qu'une simple lettre a suffi.

Ce que X reproche à ces 2 services, c'est un "usage illicite et un contournement de son API", plus une violation du Texas Harmful Access by Computer Act et du Lanham Act. TechCrunch, qui a pu lire le courrier , rapporte une accusation plus précise qui est que Nitter aurait accédé à des comptes X et à des jetons de session pour récupérer le contenu en douce.

Aux États-Unis, en tout cas, "aspirer" des pages web publiques n'a rien de criminel. Mais le problème, c'est que Nitter ne fonctionne plus comme ça depuis des années. Si on analyse son code, on se rend compte que depuis que Twitter a supprimé les comptes invités début 2024, Zedeus, le développeur de Nitter, a mis en place un tout autre système.

Pour contourner les limites imposées par X.com, il a développé un script tools/get_session.py qui prend en arguments un identifiant X, un mot de passe, un secret à double facteur et un chemin de fichier.

Et là-dedans, il embarque en dur une paire de clés API, se déclare auprès des serveurs de X comme LE client Twitter officiel pour Android en version 10.21 tournant sur un OnePlus A3010, fait passer le flux de connexion par cloudscraper, génère le code à double facteur à la volée, et récupère un jeton OAuth qu'il écrit ensuite dans un fichier.

Au niveau des identifiants, c'est l'hébergeur de l'instance qui les fournit puisque depuis la coupure de 2024, faire tourner Nitter imposait de le relier à un vrai compte X. On est donc très loin du robot anonyme qui lit une page publique. C'est un client officiel simulé, avec des identifiants valides, et c'est exactement ça que la lettre de mise en demeure décrit.

Donc voilà, le problème est bien plus compliqué que du scraping simple. Ce sera donc à un juge de trancher sur le fond.

Depuis, le dépôt GitHub est passé en lecture seule, archivé et selon Zedeus, d'autres instances ont reçu des courriers du même genre. De son côté, X ne s'est pas encore exprimé publiquement sur cette affaire.

Reste la question qui nous intéresse : On fait comment pour lire la merde fasciste de X sans compte maintenant ? Bah honnêtement, y'a pas grand-chose... Moi, je vous recommande d'arrêter d'aller là-dessus pour votre propre bien-être. Mais si vraiment vous êtes accro, le pont ActivityPub bird.makeup répond toujours présent et permet de suivre un compte X public depuis Mastodon. Toutefois, il ne vous affichera pas un fil de discussion direct dans le navigateur comme le faisait XCancel ou Nitter.

Après pour un post précis, il reste éventuellement la Wayback Machine, à condition que quelqu'un ait archivé le tweet avant. Sinon, bah faudra vous reconnecter sur X à l'ancienne avec votre compte...

Source : Techdirt

Un petit boîtier rond, un écran circulaire de 240 pixels de côté, et une seule chose affichée dessus : les avions qui passent au-dessus de votre tête en temps réel. C'est Micro Radar, un projet open source signé Anthony Sturdy, un développeur basé à Londres qui l'a bricolé comme cadeau de mariage pour un ami passionné d'aviation.

L'objet tient dans la paume de la main. Au cœur du montage, un module ESP32-C3, une puce minuscule à WiFi intégré qu'on trouve pour quelques euros, soudée d'usine à un écran rond IPS de 1,28 pouce piloté par un contrôleur GC9A01. Pas besoin de toucher au fer pour relier des fils, tout est déjà connecté.

Là où c'est bien vu, c'est que Micro Radar ne capte pas les avions lui-même. Beaucoup de projets du genre utilisent l'ADS-B, le signal que les avions émettent en continu pour annoncer leur position, ce qui suppose une antenne et un récepteur radio. Ici, rien.

Le boîtier va plutôt chercher les données sur internet, via l'API d'OpenSky Network. OpenSky, c'est un réseau communautaire : des milliers de bénévoles dans le monde branchent chez eux des récepteurs qui captent les avions et mettent toutes ces positions en commun. L'API, l'interface qui permet à un logiciel d'aller piocher dans cette base, renvoie au boîtier les vols autour de vous.

Du coup, l'installation se fait simplement, sans rien brancher d'autre que le courant. Au premier démarrage, l'appareil crée son propre point d'accès WiFi baptisé MicroRadar-Setup. Vous vous y connectez depuis un téléphone, une page de configuration s'ouvre à l'adresse microradar.local, et vous renseignez juste votre position, le rayon à surveiller et vos identifiants OpenSky.

Ces identifiants sont facultatifs mais conseillés. Un compte OpenSky est gratuit et fait passer le quota de 400 à 4000 requêtes par jour, ce qui veut dire un rafraîchissement bien plus fréquent et donc un radar qui colle vraiment au trafic en temps réel plutôt qu'une image qui se met à jour au compte-gouttes.

Au niveau de la fabrication, il faut une imprimante 3D pour sortir les quatre pièces du boîtier en PLA, le corps, la façade, la bague et deux supports, un fer à souder uniquement pour insérer les écrous à chaud, et de la visserie M2. Une lentille en verre minéral de 32,5 mm protège l'écran si besoin. Comptez une à deux heures de montage une fois les pièces imprimées, ce qui est très raisonnable.

Le tout est sous licence MIT et le firmware se compile avec PlatformIO, donc le code en C++ comme les fichiers 3D sont libres, vous pouvez le construire, le modifier et même le revendre sans rien demander à personne. Le projet vit sa petite vie sur GitHub avec les instructions complètes.

Franchement, voir les avions de sa ville tourner sur un cadran rond posé près de l'écran, sans capteur ni abonnement, c'est quand même bien sympa.

Source : Hackster

Vous vous êtes déjà demandé si les IA comprenaient vraiment ce qu'elles racontaient, ou si elles ne faisaient que recracher des mots à partir de statistiques liées aux mots ?

Oui, comme vous, je pensais jusqu'à présent qu'on était vraiment sur un déroulé textuel purement mathématique sans réelle compréhension. Hé bien des chercheurs de UC Berkeley viennent de mettre un gros pavé dans la mare en démontrant que le modèle o1 d'OpenAI est capable d'analyser le langage comme le ferait un étudiant en linguistique. Pas juste d'utiliser le langage, hein mais vraiment de l'analyser, le décortiquer, le comprendre dans sa structure profonde.

L'étude a été menée par Gašper Beguš, prof associé de linguistique à Berkeley, avec ses collègues Maksymilian Dąbkowski et Ryan Rhodes de Rutgers University et les résultats sont publiés dans IEEE Transactions on Artificial Intelligence, donc ça a l'air d'être du sérieux .

Leur truc, c'était de tester si les modèles de langage (LLM) pouvaient faire de la métalinguistique, qui est la capacité non pas simplement d'utiliser une langue, mais aussi de réfléchir sur la langue elle-même. C'est un truc que les humains font naturellement quand ils analysent une phrase, et qu'on a pour le moment jamais observé chez l'animal.

Pour leurs expériences, l'équipe a donc balancé 120 phrases complexes dans quatre modèles différents : GPT-3.5 Turbo, GPT-4, o1 d'OpenAI, et Llama 3.1 de Meta et ils ont regardé comment chaque modèle s'en sortait pour analyser la structure des phrases et résoudre les ambiguïtés, notamment avec la récursion.

La récursion , c'est un concept que Noam Chomsky a théorisé comme étant la caractéristique définitoire du langage humain. C'est en fait la capacité d'imbriquer des phrases dans d'autres phrases, à l'infini. Genre "Le chat que le chien que Pierre a vu a mordu dort". Ouais, c'est tordu, mais c'est ça qui nous différencie aussi des autres animaux.

Et tous ces modèles ont réussi à identifier les phrases récursives, ce qui, jusque-là, n'a rien d'extraordinaire sauf que pour cartographier correctement la structure complexe des phrases, o1 a cartonné avec un score proche de 0.9 sur 1, contre une moyenne de 0.36 pour les autres. C'est un très gros écart.

Je vais vous donner un exemple concret. Avec la phrase "Unidentified flying objects may have conflicting characteristics" (les objets volants non identifiés peuvent avoir des caractéristiques contradictoires), o1 a correctement détecté la récursion. "Flying" modifie "objects", et "unidentified" modifie "flying objects". Il a même poussé le bouchon encore plus loin en proposant une extension de la phrase pour montrer qu'il avait compris le mécanisme.

Mais les chercheurs ne se sont pas arrêtés là car pour éviter que o1 ne triche en utilisant des données de son entraînement, ils ont inventé 30 mini-langues fictives avec leurs propres règles phonologiques. L'idée, c'était de voir si le modèle pouvait inférer les règles d'une langue qu'il n'a jamais vue. Et comme vous vous en doutez, o1 s'en est sorti comme un chef.

Bref, non seulement ces modèles peuvent utiliser le langage, mais certains peuvent "réfléchir" à la façon dont le langage est organisé.

Ce qui est dingue, c'est que cette étude relance le débat sur la compréhension des IA. Est-ce que ces modèles comprennent vraiment ce qu'ils font, ou est-ce qu'ils simulent très bien ? Beguš pense que cette capacité métalinguistique est "très conséquente" parce qu'elle montre que dans ces modèles, on a désormais quelque chose qu'on pensait réservé aux humains.

Attention cependant, qui dit capacité métalinguistique ne veut pas dire que l'IA est consciente ou qu'elle pense comme nous. Faut voir ça plutôt comme une capacité émergente qu'on n'a pas programmée explicitement, et qui est sacrément intéressante d'un point de vue scientifique.

Voilà, donc si comme moi, vous pensiez que ChatGPT ne faisait que du perroquet statistique, cette étude suggère visiblement que c'est un plus subtil que ça. Il faudra bien sûr plus d'études pour mieux comprendre ce phénomène mais il est maintenant clair que ces modèles récents ont des capacités qu'on croyait exclusives aux humains.

Source

Je ne suis pas très montre. Je n’en porte pas, je n’en possède pas… Ce temps qui passe c’est l’angoisse mais je me souviens très bien des montres Pebble qui avec leur écran e-ink tenaient des semaines sur une charge et qui ont carrément démocratisé le concept de smartwatch grand public dès 2012.

Hé bien good news, le fondateur Eric Migicovsky a décidé de les ressusciter sauf que c’est en train de tourner au vinaigre avec les bénévoles qui ont maintenu l’écosystème durant 9 ans.

Pour ceux qui ont raté tout le feuilleton, après la faillite de Pebble en 2016 et le rachat par Fitbit (puis Google), une communauté de passionnés appelée Rebble s’est formée pour sauver les meubles. Ils ont récupéré les données de l’App Store, monté une infrastructure de serveurs, financé des développements… Bref, ils ont maintenu en vie un écosystème que tout le monde avait abandonné.

Puis en janvier 2025, Google a ouvert le code source de PebbleOS et Migicovsky a sauté sur l’occasion et a lancé sa boîte Core Devices en mars pour vendre de nouvelles montres Pebble : La Pebble 2 Duo à 149$ et la Pebble Time 2 à 225$. D’ailleurs, 70% des premières unités ont déjà été livrées. Bref, jusque là, tout va bien.

Sauf que Rebble accuse maintenant Core Devices de piller leur travail sans compensation. Selon ce qu’ils racontent leur blog , Migicovsky aurait “scrapé leurs serveurs” le jour même où il devait les rencontrer pour discuter partenariat. Rebble affirme avoir investi des centaines de milliers de dollars pour maintenir l’App Store et les services backend… et Core voudrait un accès illimité à tout ça pour potentiellement créer un App Store concurrent propriétaire.

La bibliothèque mobile libpebble3 utilisée par l’app Core Devices s’appuie notamment sur du code que Rebble a financé via son programme de subventions. Et c’est pareil pour le portage Bluetooth open source vers PebbleOS puisque c’est Rebble qui a payé les devs. Et bien sûr quand ils demandent un engagement écrit que Core ne créera pas un store concurrent… C’est silence radio.

Migicovsky a ensuite répondu sur son blog perso histoire de se justifier. Il nie tout vol et affirme que 90% du code de libpebble3 a été écrit par Core Devices, et pas par la communauté. Et pour le scraping, il explique qu’il construisait juste une petite webapp pour afficher ses watchfaces préférées et que ça n’a rien téléchargé de substantiel.

Et il contre-attaque en accusant Rebble de vouloir créer un pré-carré bien verrouillé emprisonnant les 13 000 et quelques applications que des développeurs indépendants ont créées. Rebble revendiquerait 100% des données de l’App Store alors qu’ils ne sont que l’hébergeur…

Alors qui croire ? Difficile à dire mais la bonne nouvelle c’est que Core Devices a ouvert les schémas électriques et mécaniques de la Pebble 2 Duo sur GitHub et bientôt, l’installation d’apps se fera via un système de feeds multiples, un peu comme les gestionnaires de paquets open source. Chacun pourra alors choisir son store.

Reste à savoir si les deux camps arriveront à s’entendre puisque Rebble a apparemment fait marche arrière sur certaines revendications, notamment sur la propriété du contenu hébergé. Mais le climat de confiance est sérieusement entamé et pour la communauté qui a bossé durement et gratos pendant 9 ans pour sauver tout écosystème… c’est sûr que ça fait mal de voir le fondateur original débarquer et se servir OKLM.

Après pour ceux d’entre vous qui ont une Pebble ou qui lorgnent sur les nouvelles, surveillez le subreddit r/pebble et le Discord Rebble car c’est là que tout ça se passe.

Source

Amazon vient d’annoncer qu’ils bloquaient désormais les applications de piratage sur leurs Fire TV Stick (lien affilié) et cela sur tous les appareils. Les nouveau, les anciens, peu importe… Ainsi, si une app est identifiée comme distribuant du contenu illégal, elle dégage ! Même si vous l’avez sideloadée.

Ce grand ménage a commencé en France et en Allemagne, et s’étendra au monde entier dans les prochains mois. Sniiff… Ça sent la fin d’une époque.

Ainsi, pendant des années, Amazon a vendu des millions de Fire Stick en sachant parfaitement ce que les gens en faisaient. Ils en ont bien profité les coquins ! Votre collègue qui vous proposait un Fire Stick modifié à 80 balles avec un abonnement IPTV 12 mois inclus et accès à Sky Sports, TNT Sports, et les films encore au cinéma, c’était la baaase et Amazon voyait bien tout ça passer.

Selon une analyse d’Enders , 59% des personnes qui regardent du contenu piraté au Royaume-Uni utilisent un Fire Stick. 59% !! Ça fait environ 4,7 millions d’adultes britanniques qui on streamé illégalement du sport ces six derniers mois. L’architecture même des Fire Stick facilitait le détournement puisque c’était un Android ouvert, avec du sideloading activable en trois clics dans les paramètres, et une excellente compatibilité avec toutes les apps tierces notamment pour l’IPTV.

Amazon avait conçu la streaming machine parfaite !!

Sauf Sky en a eu marre. La chaîne britannique a fait une grosse pression sur Amazon durant des mois et cela a été payant ! Amazon a enfin eu une révélation, une prise de conscience soudaine et miraculeuse sur l’importance de la sécurité et du respect de la propriété intellectuelle. Mais mdrrrr…

Et hop, un petit partenariat avec l’Alliance for Creativity and Entertainment, plus tard (c’est la coalition anti-piratage menée par la Motion Picture Association avec Disney, HBO, Netflix, tous les gros bonnets) et nous y voilà. Leur dernier né, le Fire TV Stick 4K Select (lien affilié) est même le premier appareil tournant sous Vega OS. C’est un système d’exploitation maison basé sur Linux, et pas Android, donc plus moyen d’exécuter les applications Android sideloadées avec ça.

Snif !

Après, les services pirates ne vont pas disparaître puisque certains services IPTV passent déjà aux web apps qui tournent dans le navigateur… mais bon l’âge d’or du Fire TV Stick en tant que box à piratage semble être terminée.

Bref, Amazon ferme le robinet… après avoir biiiien rempli la piscine !

Source

En ce moment, tout le monde s’extasie sur le grand retour des blogs et j’ai vraiment envie de leur dire : “Mais hé je ne suis jamais parti bande de nazes !”

Faut dire que j’étais déjà là avant que le mot “blog” existe, quand on appelait ça des sites perso et qu’on codait notre HTML à la main dans Notepad (je suis un menteur, j’utilisais Dreamweaver). Et voilà, je suis toujours là, 28 ans plus tard (oui j’ai lancé mon premier site perso en 1997), pendant que les plateformes et les médias naissent et meurent autour de moi comme des petites fleurs délicates.

Le truc, c’est que je suis un peu maudit dans cette histoire. Ni vraiment blog, ni vraiment média. Je suis comme un ornithorynque du web, une cyber-anomalie qui perturbe vos envies de classifications. J’suis pas assez institutionnel pour bénéficier des avantages fiscaux de la presse et j’suis trop imposant pour être un simple blog perso. Alors je suis quoi au final ? Bah je pense que je suis ce que j’ai toujours été… Un webmaster quoi… Un mec avec son site web sur lequel il met ce qu’il veut, quand il veut, comme il veut. En totale liberté !

Et c’est exactement ça que les gens redécouvrent aujourd’hui. La liberté. Cette putain de liberté qu’on a perdue en allant tous s’entasser dans les jardins clos de Facebook, Twitter et autres conneries. Alors maintenant que X est devenu un champ de bataille toxique et que Blusky est en train de suivre le même chemin, je vois de plus en plus de monde réaliser enfin ce qu’on a sacrifié.

Et le ooh.directory l’a bien compris. Il s’agit d’un annuaire web qui recense au moment où j’écris ces lignes, 2351 blogs actifs sur tous les sujets possibles. Son créateur l’a lancé pour prouver que “nobody blogs anymore” est une connerie monumentale. Car des blogs personnels, il y en a des tonnes. Par exemple, des gens comme Anil Dash avec son “ blog about making culture ”, Aaron Parecki qui a co-fondé l’IndieWebCamp, ou Andy Baio avec Waxy.org que j’aime beaucoup. Tous ces gens qui continuent à écrire, à partager, à créer sur LEUR petite parcelle de web.

Alors pourquoi c’est mieux d’avoir son site que d’être sur X ou Bluesky ? C’est simple. Sur votre blog, vous êtes chez vous. Pas d’algo qui décide si votre contenu mérite d’être vu. Pas de modération aléatoire qui vous suspend parce que vous avez dit “merde”. Pas de limite à 280 ou même 300 caractères. Si vous voulez écrire 35000 mots sur l’histoire des cartes graphiques, let’s go pépito ! Et si vous voulez partager votre recette de cookies de Noël entre 2 posts sur Rust, c’est tout à fait possible !

Puis c’est pas le même public. Sur les blogs, c’est un public de gens qui viennent vous lire pour le plaisir, pour apprendre des choses, se marrer ou juste confronter leurs points de vue, et pousser la réflexion sur certains sujets. Sur les plateformes de micro blogging comme X ou Bluesky, c’est pas la même ambiance. Là-bas c’est majoritairement n’importe qui, qui dit n’importe quoi en 2 secondes chrono, condamnant, critiquant, détruisant, jugeant, sans même lire au delà du titre, le texte que vous avez pris le temps de rédiger avec tout votre cœur.

L’ IndieWeb dont je vous ai parlé il y a peu porte d’ailleurs ce message depuis 15 ans maintenant. Leur principe c’est d’être propriétaire de votre domaine, de publier d’abord sur votre propre site (ce qu’on appelle POSSE ), et d’être propriétaire de votre contenu. Ce n’est donc pas juste du blogging, c’est une philosophie, une résistance contre la corporatisation du web .

Sur les réseaux sociaux, vous construisez votre maison sur le terrain de quelqu’un d’autre et un jour, le propriétaire décidera de changer les règles, de monétiser votre contenu, de favoriser certains contenus au détriment du votre, ou carrément de fermer votre boutique. Et voilà, des années de contenu, de connexions, de communauté qui disparaissent. Ça s’est vu avec Google+, avec Vine, et ça se verra encore. Les Youtubeurs, vous connaissez aussi très bien ça.

Mon site à moi a survécu à Friendster, MySpace, Digg (qui revient bientôt d’ailleurs), StumbleUpon, Google Reader (RIP), et il survivra probablement à X et Bluesky (oui, je sais c’est décentralisé, mais je ne pense pas que vous ayez pris le temps de l’héberger chez vous… Donc vous squattez encore la prairie de quelqu’un d’autre qui a probablement un sacré complexe de dieu ).

Voilà, je trouve que ce qui est génial avec cette renaissance des blogs, c’est qu’elle s’accompagne d’outils modernes. Le RSS n’est pas mort (malgré ce que Google a essayé de faire), les webmentions permettent des interactions entre sites, les générateurs de sites statiques comme celui que j’utilise rendent la publication super simple. Et des initiatives comme ooh.directory facilitent carrément la découverte de nouveaux blogs.

Bref, avoir votre propre espace sur le Net, pensez-y ! C’est quelque de chose de très agréable, je vous assure. C’est ça la vraie liberté du web, celle de publier ce qu’on veut, quand on veut, sans filtre, sans intermédiaire, sans bullshit (coucou les clones en cravate de LinkedIn)

Et puis si vous cherchez de l’inspiration, allez faire un tour sur ooh.directory . Vous y trouverez des centaines de blogs actifs, des gens passionnés qui écrivent sur tout et n’importe quoi. C’est ça, le vrai web. Pas les threads toxiques de X, pas les algorithmes opaques de Meta… mais les vraies gens qui partagent leurs passions sur leurs propres espaces.

Et un grand merci à Lilian de m’avoir envoyé ce lien !

Aujourd’hui je vais vous parler du casse du siècle les amis ! Entre 2013 et 2018, un groupe de cybercriminels connu sous le nom de Carbanak a réussi à dérober plus de 1,2 milliard de dollars à une centaine de banques dans 40 pays. Du jamais vu dans l’histoire de la cybercriminalité financière !

Et ce groupe Carbanak, c’est pas juste une bande de script kiddies qui ont eu de la chance, non c’est une vrai une organisation criminelle ultra-sophistiquée qui a réinventé le concept même de braquage bancaire. Fini les cagoules et les armes, place aux malwares et au social engineering de haut vol. Ils fonctionnaient même comme une vraie entreprise avec une hiérarchie, des horaires de travail réguliers, et même des bonus pour les opérateurs les plus efficaces !

L’histoire commence donc en 2013 quand les premières banques ukrainiennes et russes remarquent des mouvements d’argent bizarres sur leurs comptes. Des millions de dollars disparaissent sans laisser de traces évidentes. À Kiev, en novembre 2013, c’est même un distributeur qui commence à cracher des billets à des heures complètement aléatoires, sans qu’aucune carte ne soit insérée ! Les passants récupèrent l’argent, pensant d’abord à un bug, jusqu’à ce que les banques comprennent qu’elles sont victimes d’une cyberattaque d’un genre nouveau. C’est là que Kaspersky Lab entre en scène et découvre ce qui deviendra l’une des plus grandes cyberattaques financières de tous les temps.

Le mode opératoire de Carbanak, c’est de l’art. D’abord, ils envoient des emails de spear phishing ultra-ciblés aux employés de banque. Ces emails exploitent des vulnérabilités connues comme CVE-2012-0158 (Microsoft Windows Common Controls), CVE-2013-3906 (Microsoft GDI+) et CVE-2014-1761 pour installer leur backdoor custom. Et une fois dans la place, le malware Carbanak fait son petit bonhomme de chemin dans le réseau bancaire.

La phase de reconnaissance est assez dingue puisque les hackers activent discrètement les webcams et prennent des captures d’écran pour observer les employés de banque pendant des mois. Ils apprennent littéralement comment fonctionne chaque banque de l’intérieur, mémorisant les procédures, les horaires, les protocoles de sécurité. En moyenne, cette phase d’apprentissage dure entre 2 et 4 mois complets ! Du coup, quand ils passent à l’action, ils imitent parfaitement le comportement des vrais employés. Flippant !

Et leurs techniques de vol sont variées et créatives. Parfois, ils programment des distributeurs automatiques pour cracher des billets à une heure précise où un complice attend tranquillement devant. D’autres fois, ils créent des comptes fantômes et y transfèrent des millions via le système SWIFT. Ou alors, ils modifient directement les bases de données pour gonfler artificiellement certains comptes avant de vider l’excédent, tout en laissant le solde original intact pour que le vrai propriétaire ne remarque rien. Chaque banque piratée rapporte entre 2,5 et 10 millions de dollars en moyenne.

Le cerveau présumé de l’opération, c’est Denis Katana (de son vrai nom Denis Tokarenko), un Ukrainien arrêté en mars 2018 à Alicante en Espagne. Et là, attention les yeux, les autorités trouvent sur son laptop 15 000 bitcoins, soit environ 162 millions de dollars à l’époque ! Le bonhomme avait monté tout un système avec des plateformes financières de Gibraltar et du Royaume-Uni pour convertir ses bitcoins en cartes prépayées qu’il utilisait ensuite pour acheter des voitures de luxe, des maisons, et vivre la grande vie en Espagne. Il avait même créé un “énorme réseau” de minage de bitcoins pour blanchir l’argent. Et le détail qui tue c’est que Denis travaillait depuis l’Espagne et trouvait tous ses complices en ligne, mais ils ne se sont jamais rencontrés en personne ! Tout se passait par internet, comme une startup criminelle en full remote.

Car Carbanak, c’est pas qu’un seul mec. Le groupe est étroitement lié à FIN7, aussi connu sous le nom de Navigator Group. En 2018, les autorités arrêtent plusieurs membres clés dans une opération internationale coordonnée : Fedir Hladyr, 33 ans, le sysadmin du groupe arrêté à Dresde en Allemagne, Dmytro Fedorov, 44 ans, le manager supervisant les hackers, arrêté à Bielsko-Biala en Pologne, et Andrii Kolpakov, 30 ans, arrêté à Lepe en Espagne. Chacun fait face à 26 chefs d’accusation incluant conspiration, fraude électronique, piratage informatique et vol d’identité aggravé. Hladyr, considéré comme le cerveau technique derrière Carbanak, a écopé de 10 ans de prison en 2021.

Ce qui impressionne les enquêteurs avec FIN7/Carbanak, c’est leur professionnalisme et leur créativité pour recruter. Ils ont d’abord créé une fausse société de cybersécurité appelée Combi Security, soi-disant basée en Israël et en Russie, pour recruter des développeurs sans qu’ils sachent qu’ils travaillaient pour des criminels. Les employés pensaient développer des outils de tests de pénétration légitimes alors qu’en réalité, ils créaient des malwares pour attaquer des entreprises. Le site web de Combi Security listait même parmi ses “clients” plusieurs de vraies victimes de FIN7 ! Après les arrestations de 2018, ils ont alors remis ça avec une nouvelle fausse boîte appelée Bastion Secure, avec un processus de recrutement en trois phases qui révélait progressivement la nature criminelle du travail. Les candidats passaient des entretiens RH classiques sur Telegram, signaient des contrats avec clause de confidentialité, puis se retrouvaient à faire du “pentest” sur des réseaux qui étaient en fait des vraies cibles à pirater.

L’organisation interne de Carbanak, c’est du grand art criminel. Ils avaient une hiérarchie claire avec des “gestionnaires de flux monétaires” qui analysaient les infos des ordinateurs infectés, des “chefs de mules” qui géraient les réseaux de blanchiment, et même des techniques de pression pour empêcher les membres de partir. Les opérateurs en position de leadership n’hésitaient pas à faire du chantage et à menacer de “blesser les membres de la famille en cas de démission”. Pour l’extraction d’argent, ils collaboraient d’abord avec la mafia russe jusqu’en 2015, puis avec la mafia moldave pour coordonner le travail des “mules” qui récupéraient le cash des distributeurs piratés.

Le malware Carbanak lui-même est une merveille d’ingénierie malveillante puisqu’il combine des capacités de keylogging, de capture d’écran, d’exécution de commandes à distance et de détection d’applications bancaires spécifiques. Il peut rester dormant pendant des mois, collectant silencieusement des informations avant de frapper. Au début, le groupe utilisait du code basé sur le malware Carberp, mais au fil du temps, ils ont développé leur propre solution complètement originale. En 2019, le code source complet de Carbanak est même apparu sur VirusTotal, donnant aux chercheurs en sécurité un aperçu détaillé de son fonctionnement interne et confirmant sa sophistication technique.

Malgré les arrestations de 2018, l’activité du groupe n’a pas cessé immédiatement. Entre mars et juin 2018, plusieurs nouvelles vagues de phishing liées à Carbanak sont observées, ciblant des banques et des entreprises de traitement de paiements dans différents pays. Six mois après l’arrestation de Denis Katana, le groupe était encore très actif selon les experts, prouvant bien la résilience et la structure décentralisée de cette organisation criminelle.

Surtout, l’impact de Carbanak dépasse largement les pertes financières car leurs attaques ont fondamentalement changé la façon dont les banques approchent la cybersécurité. Elle a démontré que les techniques APT (Advanced Persistent Threat), traditionnellement utilisées pour l’espionnage d’État, pouvaient être détournées pour le crime financier pur et simple. Carbanak a marqué le début d’une nouvelle ère où les cybercriminels ne s’attaquent plus aux clients des banques, mais directement aux banques elles-mêmes.

Du coup, les banques ont dû repenser complètement leur sécurité. Plus question de se contenter de pare-feux et d’antivirus. Il faut maintenant des systèmes de détection comportementale, de la surveillance vidéo des postes de travail critiques, des protocoles de validation multi-niveaux pour les transferts importants, et une formation continue des employés contre le phishing. L’attaque a aussi poussé le secteur à mieux sécuriser les liens entre les ATMs et les systèmes centraux.

Carbanak reste donc aujourd’hui l’exemple parfait de ce que peut accomplir un groupe de cybercriminels déterminés et techniquement compétents. Leur approche méthodique, leur patience de plusieurs mois par cible, leur capacité à s’adapter aux défenses de leurs victimes et leur structure d’organisation quasi-corporate en font un cas d’école.

Avec Carbanak, on sait maintenant qu’il est possible de voler un milliard de dollars sans jamais braquer physiquement une seule banque. Juste avec du code, de la patience et une compréhension profonde des systèmes bancaires. Denis Katana et ses complices ont réussi à accéder à “pratiquement toutes les banques de Russie” et à faire des retraits de distributeurs à Madrid pour un demi-million d’euros, tout ça depuis leur laptop. Ça fait réfléchir sur la vulnérabilité de notre système financier mondial face à des attaquants chevronnés.

Les attaquants peuvent être n’importe où, leurs victimes partout, et l’argent volé transite par des dizaines de pays avant de disparaître dans des cryptomonnaies. La coopération internationale devient alors cruciale, comme l’a montré l’opération coordonnée par Europol, le FBI, la police espagnole et les autorités de plusieurs pays qui a permis les arrestations de 2018.

Sans cette heureuse collaboration, Denis Katana serait probablement encore en train de siroter des cocktails sur la Costa del Sol avec ses bitcoins…

Sources : Kaspersky Lab - Carbanak APT Report , US Department of Justice - FIN7 Arrests , Europol - Carbanak Mastermind Arrest , CrowdStrike - Carbon Spider Analysis , Trend Micro - Carbanak Technical Analysis , Threatpost - Denis Katana Arrest , TechCrunch - Bastion Secure Fake Company , Decrypt - Denis Katana Bitcoin Laundering

• lien nᵒ 1 : April
• lien nᵒ 2 : Revue de presse de l'April
• lien nᵒ 3 : Revue de presse de la semaine précédente
• lien nᵒ 4 : 🕸 Fils du Net

Commentaires : voir le flux Atom ouvrir dans le navigateur