Ce qu’il faut savoir avant de rejoindre l’IT Army

À la veille de l’invasion russe, l’Ukraine n’avait pas de commandement militaire du cyber. Mais il n’a fallu que deux jours au gouvernement pour trouver un moyen de mobiliser le soutien international reçu pour riposter dans le cyberespace. Le 26 février dernier, Mykhailo Fedorov, ministre de la Transformation numérique et vice-Premier ministre, a annoncé la création de l’IT army, une structure offensive unique en son genre.

L’IT Army s’organise autour d’une chaîne Telegram où sont publiées les listes de cibles russes que les volontaires doivent attaquer. La chaîne est publique, tous les supporters de l’Ukraine sont donc les bienvenus, peu importe leurs origines et leurs compétences. La majorité des volontaires sont des civils, les instructions qu’ils reçoivent simples: “utilisez n’importe quel vecteur d’attaque cyber et DDos (Distributed Denial of Service, ndlr) à l’encontre de ces ressources”. Les cibles sont principalement des banques, des entreprises, et des institutions publiques telles que le site du Ministère de la Défense et celui du Service Publique.

Figure 1 : Logo de l’IT Army

Une structure hybride avec des enjeux hybrides

L’IT Army est une structure d’un genre nouveau et s’appuyant sur deux axes : le premier est l’appel à l’action de ses volontaires sur Telegram, le second est une équipe d’agents de la défense et des renseignements ukrainiens qui choisit les cibles et coordonne les opérations. Dans son rapport pour le Center for Security Studies, Stefan Soesanto décrit cette organisation comme “ni civile, ni militaire; ni publique, ni privée; ni locale, ni internationale et ni légale, ni illégale”. Cette structure hybride soulève de nombreuses questions quant à l’applicabilité du droit international, au fait de viser des infrastructures civiles, et quant au statut légal de civils prenant part à un conflit dans lequel leur pays n’est pas un belligérant.

Les participants s’exposent à divers risques

En plus de ces questions éthiques et légales, les participants à l’IT Army encourent des risques géopolitiques et individuels. Si une attaque visant des infrastructures russes est menée à bien, cela pourrait donner lieu à une contre-attaque russe d’une ampleur imprévisible. Dans le cyberespace, le seuil de violence à franchir pour justifier des représailles d’un État n’est pas codifié, il est donc difficile d’anticiper quelle ampleur de dégâts causés par une cyber-attaque serait suivie d’une réponse militaire. De plus, les cyber-attaques ont souvent des conséquences involontaires, comme ce fut le cas pour le hack de Viasat.

Au niveau individuel, les hackers amateurs rejoignant l’IT Army prennent le risque d’exposer leurs données personnelles à des groupes de hackers russes. Les supporters russes ont déjà lancé le Projet Nemesis, une campagne de doxxing, en réaction à l’IT Army. Cette initiative s’organise autour d’une chaîne Telegram et d’un site où sont postées les photos et données personnelles d’individus soutenant l’Ukraine. Les milliers d’abonnés suivant la chaîne du Projet Nemesis sont invités à harceler et intimider les personnes affichées. Les cibles de cet affichage sont principalement des militaires et des agents de renseignement ukrainiens, cependant plusieurs volontaires en ont aussi fait les frais.

Par conséquent, toute personne voulant rejoindre l’IT Army doit avoir conscience qu’elle risque de s’exposer, elle-même et ses proches, à du harcèlement de la part d’avides défenseurs de la Russie. Dans son article sur le Projet Nemesis, Elise Thomas souligne que ce doxxing de masse est utilisé comme une arme psychologique et informationnelle. Il est donc naturel que plusieurs hauts fonctionnaires occidentaux déconseillent fortement à leurs populations de rejoindre l’IT Army.

Le premier piège de l’IT Army

On rencontre le premier risque associé à l’IT Army dès que l’on essaye de trouver sa chaîne Telegram. Lorsque l’on entre les termes “IT Army” dans la fonction de recherche de l’application Telegram, la chaîne officielle n’apparaît pas dans les résultats (Figure 2). De plus, si l’on recherche le nom d’utilisateur exact de la chaîne (@itarmyofukraine2022), la chaîne officielle n’apparaît toujours pas.

Figure 2 : Résultats de la recherche “IT Army” (gauche) et de “@itarmyofukraine2022” (droite) dans l’application Telegram

Au lieu de cela, on trouve une copie quasi-parfaite de la chaîne IT Army. Le nom d’utilisateur est presque le même: @itarmyukraine2022, il n’y manque que l’article “of”. Le visuel est lui aussi presque identique à l’original : tous deux portent le titre “IT ARMY of Ukraine”, ils ont la même photo de profil et leurs descriptions étaient identiques lors du dernier message envoyé par la copie (10/03). Plus trompeur encore, sur la période de leurs dates de création au 10 mars, la copie publiait exactement les mêmes messages que l’original et toujours dans les heures qui suivaient.

Figure 3 : Chaîne de l’IT Army (gauche) et son réplica (droite)

Il est clair que la chaîne @itarmyofukraine2022 est le groupe officiel (Figure 3) avec 251 130 abonnés tandis que son double n’en compte que 15 238 (le 29/06). Par ailleurs, la copie ne poste plus de message depuis le 10 mars. Autre fait intéressant, contrairement à tous les autres messages de la chaîne, le dernier message de @itarmyukraine2022 ne correspond à aucun de ceux postés par la chaîne officielle de l’IT Army (Figure 4). Il contient un fichier nommé “Disbalancer”, c’est le nom du logiciel développé par l’équipe ukrainienne pour organiser leurs attaques. Le fichier compressé ne montre aucun signe de malware lorsqu’il est analysé par VirusTotal, cependant étant donné que ce message ne provient pas de l’IT Army officiel, il est déconseillé de l’ouvrir.

Figure 4 : Dernier message de la fausse chaîne IT Army

Quelques conseils pour conclure

La première conclusion à tirer de cet article est que les utilisateurs de Telegram doivent faire attention à tous les détails des chaînes qu’ils rejoignent. Le moindre changement peut faire la différence entre une source officielle et une bonne copie. Il peut y avoir un article en plus ou manquant dans le nom d’utilisateur, un chiffre à la place d’une lettre et vice versa, ou seulement un caractère de différence. Il vaut donc mieux vérifier deux fois que le nom d’utilisateur est le bon.

Il est aussi utile de vérifier s’il y a des signes inhabituels dans le nombre d’abonnés, la langue employée ou l’heure à laquelle les messages sont postés. Si l’un de ces éléments ne correspond pas aux attentes de l’utilisateur, il est bon de vérifier que l’on est sur la bonne chaîne.

Enfin, des outils tels que les moteurs de recherche personnalisés (CSE) peuvent être utilisés pour des sites en particulier. Pour Telegram, Telegago affiche toutes les pages de Telegram qui sont indexées par Google. Cet outil ne remplace pas la fonction de recherche de l’application mais est un complément efficace. Dans notre cas, Telegago montre la chaîne officielle de l’IT Army comme premier résultat de la recherche “IT Army”.

En conclusion, il faut donc faire attention aux fausses chaînes Telegram et pour toute personne qui déciderait de rejoindre l’IT Army, soyez sûr de bien prendre en compte tous les risques qui y sont associés.