Des experts en informatique de renommée mondiale démontrent la nullité de «Pegasus Project»
La journaliste d'investigation américaine, Kim Zetter, qui est connue pour ses investigations sur des questions énigmatiques liées à la cybersécurité et la sécurité nationale depuis 1999 et auteure de plusieurs livres sur la question s’étonne devant l'omerta entourant les données fournies à «Forbidden Stories».
«Cette histoire de NSO devient un peu dingue», lance-t-elle. Et d’ajouter : "ce serait formidable si les médias à l'origine de cette histoire pouvaient fournir plus d'informations sur la manière dont ils ont pu vérifier qu'il s'agissait bien d'une liste de cibles ou de cibles potentielles de la NSO, et non d'une liste d'autre chose».
L’experte souligne aussi si la liste a été obtenue via piratage, il serait bon d'avoir plus d'informations sur l'origine de la liste selon la personne qui l'a divulguée. «Les médias l'ont-ils obtenue d'un courtier en données ou de quelqu'un qui l'a obtenue d'un courtier en données ? La liste leur a-t-elle été communiquée par un pirate informatique ?», demande-t-elle.
This NSO story is getting a bit crazy. Would be great if the media outlets behind NSO story could provide more info about how they verified that this was a list of NSO targets, or potential targets, and not a list of something else.
— Kim Zetter (@KimZetter) July 20, 2021
La journaliste Kim Zetter dénonce également le traitement à charge de certains médias en se penchant sur le cas Macron.
When you dig into the stories, many of them do carry caveats. But headlines/tweets around the stories make stronger statements, such as that Macron was selected as a potential target, when really he was on a list whose purpose and source is undetermined. Look at the differences pic.twitter.com/8G5eeXLacg
— Kim Zetter (@KimZetter) July 21, 2021
My gut reaction when I saw that it is allegedly from servers in Cyprus was that it was linked to Circle, a company that does SS7 surveillance. It would make sense for the HLR claim. Circle is associated with NSO, so there could be shared clients creating some overlap in targets
— thaddeus e. grugq (@thegrugq) July 21, 2021
Yeah. Which is why I suspect Circle. But... that’s just a guess. It fits with NSO’s “we don’t have servers in Cyprus”... because Circle does, not NSO. And it would account for the targets that were infected and are on the list. But... it’s a list from a different company.
— thaddeus e. grugq (@thegrugq) July 21, 2021
Ces avis corroboreraient les propos du patron de NSO des "serveurs à Chypre" évoquée par le patron de NSO, Shalev Hulio, dans une interview exclusive publiée par calcalistech.com le 20 juillet. L’interviewé révélait alors avoir entendu parler d'une liste de contacts mise en vente sur le marché il y a un mois, par le biais d'un courtier en données. La personne qui proposait cette liste à la vente disait qu'elle provenait des serveurs de la compagnie à Chypre. Hulio déclare avoir cru que ce n’était qu’une blague puisque non seulement son entreprise n'a aucun serveur à Chypre, mais nombre de noms ne collaient pas, ce qui lui fait croire que la liste provient d'un HLR Lookup server.
Le patron de NSO a précisé aussi que la moyenne enregistrée par son entreprise est de 100 cibles par an et par client (45 clients au total). «Si on compte les opérations menées depuis la création de l'entreprise, on n'arrivera pas à ce nombre de 50 000», a-t-il rectifié.
The Grugq, quant à lui, en conclut qu’il pourrait s’agir de listes de «Circles» et renvoie donc à la piste chypriote:
Yeah. Which is why I suspect Circle. But... that’s just a guess. It fits with NSO’s “we don’t have servers in Cyprus”... because Circle does, not NSO. And it would account for the targets that were infected and are on the list. But... it’s a list from a different company.
— thaddeus e. grugq (@thegrugq) July 21, 2021
The story was not coherent to begin with. The numbers just didn’t make sense. It was clear that some number of phones were targets for Pegasus. But beyond that there wasn’t any data presented
— thaddeus e. grugq (@thegrugq) July 21, 2021
L’autre expert qui jette, lui aussi, un pavé dans la mare de «Pegasus Project» et de «Forbiden Stories» est Nadim Kobeissi. Il s'agit d'un chercheur libanais en informatique et cryptographie appliquée connu et reconnu. Cet expert indique dans cette série de tweets la facilité avec laquelle il peut fabriquer des preuves de piratage par Pegasus «en 30 secondes» selon lui, durant sa pause déjeuner. Les preuves d'Amnesty et de Forbidden Stories sont, à son avis, extrêmement faibles, vu qu'elles se basent essentiellement sur de simples certificats SSL/TLS auto-signés que n'importe qui peut produire et insérer dans un jeu de données.
I decided to give the recent Pegasus coverage the benefit of the doubt and spent my lunch break looking up other reports by the same folks.
— Nadim Kobeissi (@kaepora) July 20, 2021
In a report published last week, their *only* evidence for attribution is a *self-signed* TLS certificate. That's not evidence. pic.twitter.com/SDdP5YBc8J
Après analyse minutieuse des publications sur le présumé espionnage, Kobeissi qualifie l'expertise" d'Amnesty et de Citizen Lab de «smoke and mirrors» (autrement dit, de la poudre aux yeux).
The smoke and mirrors set up by Amnesty and Citizen Lab for these malware hunts is appalling. The utter lack of vetting by dozens of journalistic outlets is clear evidence of incompetence. And the absence of critical thinking from the security research community is shameful.
— Nadim Kobeissi (@kaepora) July 21, 2021LIRE AUSSI
Il avait déjà par le passé accusé Amnesty de falsification et d'invention de preuves pour mener leur chasse aux sorcières contre NSO.
The smoke and mirrors set up by Amnesty and Citizen Lab for these malware hunts is appalling. The utter lack of vetting by dozens of journalistic outlets is clear evidence of incompetence. And the absence of critical thinking from the security research community is shameful.
— Nadim Kobeissi (@kaepora) July 21, 2021
I pulled quotes from 10 articles about #PegasusProject to see how they described the list of 50,000 numbers. Note the differences in confidence, source, and purpose. pic.twitter.com/OyjX1d5sQw
— Runa Sandvik (@runasand) July 21, 2021