Ces failles sont facilement réutilisables. | QUENTIN HUGON / Pixels / « Le Monde »

Si un doute persistait encore sur la valeur du butin détenu par les Shadow Brokers, il est dissipé. Vendredi 14 avril, ce groupe de pirates à l’origine inconnue et aux motivations troubles, a publié une troisième série d’outils d’espionnage très vraisemblablement issus de la National Security Agency (NSA) américaine, la plus puissante agence de renseignement électronique du monde.

Les outils publiés ce vendredi sont très sophistiqués puisqu’ils utilisent pour certains des failles dites « zero day » dans les systèmes Windows. Ce type de vulnérabilité, inconnue et donc laissée béante par Microsoft – qui édite Windows –, revient à disposer du seul exemplaire de la clé d’une porte verrouillée à double tour.

Mais la publication de ces outils, facilement réutilisables, met ces failles à la portée d’innombrables pirates potentiels. « C’est très important, car dans les faits, cela met des armes informatiques dans les mains de quiconque les télécharge », a jugé Matthew Hickey, un expert en sécurité informatique interrogé par le site spécialisé Ars Technica.

This is really bad, in about an hour or so any attacker can download simple toolkit to hack into Microsoft based computers around the globe.

— hackerfantastic (@Hacker Fantastic)

Voir le tweet

Ces failles concernent différents types de systèmes fonctionnant sous Windows (serveurs, serveurs e-mail…), davantage dans les entreprises que chez les particuliers. Elles ne semblent pas toucher les dernières versions de Windows, mais les versions plus anciennes du système d’exploitation sont encore très courantes et donc vulnérables. En publiant ces outils, les Shadow Brokers viennent de donner des clés permettant de s’infiltrer dans un très grand nombre de systèmes informatiques. Cette fuite est d’autant plus inquiétante qu’elle intervient, la veille d’un week-end pascal, alors que de nombreux experts sont en congés.

Microsoft se penche sur cette publication

Cette publication va aussi être un test pour Microsoft, qui devra réagir extrêmement rapidement avant que les vulnérabilités révélées ne commencent à être utilisées. Un porte-parole a rapporté que Microsoft était en train « d’étudier la publication et prendra les mesures nécessaires pour protéger ses clients ».

« Je ne pense pas avoir déjà vu autant de failles “zero day” publiées d’un seul coup de toute ma vie, et cela fait 20 ans que je suis dans le milieu de la sécurité informatique », a expliqué Matthew Hickey, chercheur en sécurité informatique au site The Intercept.

Cet épisode va sans doute relancer le débat autour des failles informatiques : lors d’une précédente publication, le groupe de pirates avait donné des informations permettant d’anticiper quels outils allaient être mis en ligne. La NSA n’a pourtant pas averti Microsoft que certaines vulnérabilités allaient être rendues publiques. « Le processus de divulgation des failles informatiques est cassé », a ainsi jugé le responsable de la sécurité informatique de Facebook, Alex Stamos, sur Twitter.