Ce billet est écrit dans le respect des recommandations du procureur de la République concernant ce blog suite à l’affaire Zythom.

Ceci est une histoire vraie. Ces événements ont eu lieu en France au 21e siècle. À la demande des survivants, les noms ont été changés. Par respect pour les morts, le reste est décrit exactement comme cela s’est déroulé (ref).

Dans ce dossier d’assurance en rapport avec un ransomware ayant bloqué pendant plusieurs mois l’entreprise, me voici en réunion d’expertise face au directeur général, au DSI, au représentant de l’assureur et aux avocats mandatés par chaque partie pour représenter leurs intérêts.

Comme souvent, la réunion démarre par un état des lieux basés sur tous les documents échangés entre les parties. C’est assez laborieux, mais c’est la base : il faut étudier les pièces, et le faire de manière contradictoire, c’est-à-dire devant toutes les parties concernées. L’entreprise est de taille moyenne, avec environ 2000 ordinateurs répartis sur plusieurs sites français. On me présente des diagrammes relatifs aux investissements informatiques, l’état du parc de machines, les liens réseaux entre les sites, entre le siège et les usines, la collecte d’information, les projets, la migration en cours vers le cloud…

La journée se déroule sans accroc notable et lorsque les pièces ont été présentées et discutées, je demande à ce que les sachants techniques soient auditionnés. C’est toujours un moment délicat car très impressionnant pour les personnes dont je demande l’avis et qui ne sont pas au courant…

Je demande à entendre le responsable du service qui gère les postes de travail. Celui-ci m’explique le fonctionnement général de son périmètre : les ordinateurs sont gérés avec un logiciel de gestion de parc, qui inventorie beaucoup d’informations, dont en particulier l’état des mises à jour. Il me parle de la mastérisation des postes. Il me décrit la politique de déploiement des mises à jour qui consiste à allumer les ordinateurs à distance la nuit pour leur faire appliquer les différentes mises à jour, les faire redémarrer une fois, par principe, les éteindre ensuite par soucis d’économie d’énergie. Les salariés sont habitués à cette procédure et ont comme consigne d’éteindre leur ordinateur tous les soirs.

Le responsable précise en fin d’intervention, que le processus de mise à jour est géré in fine par l’équipe réseau qui est la seule à pouvoir allumer les ordinateurs la nuit par une procédure complexe liée à la segmentation réseau. Je lui demande si son équipe vérifie bien à chaque fois que les mises à jour sont correctement appliquées sur tous les postes, et s’il dispose d’un indicateur de suivi. Il m’informe que c’est l’équipe réseau qui suit tout cela. J’insiste en lui demandant qui est responsable du maintien en condition opérationnelle des ordinateurs de l’entreprise, et je sens un flottement dans la salle : « oui, c’est moi, mais c’est l’équipe réseau qui sait faire les mises à jour de manière centralisée ».

Je surprend un échange de regards entre le directeur général et le DSI qui commence à transpirer un peu. Je demande à voir le responsable de l’équipe réseau.

Le DSI me répond alors : « Alors, heu, il y a eu un petit problème au sein de l’équipe réseau, quelques mois avant la cyberattaque… Comment dire, oui, un problème de relation humaine. Le responsable de l’équipe réseau est parti brutalement, en abandonnant son poste… »

Je demande s’il a été remplacé, ou s’il a un adjoint que je pourrais interroger.
Le DSI : « Alors, oui, il y a bien quelqu’un, mais… Bon, je vais le faire appeler… »

C’est alors qu’entre dans la pièce un jeune un peu pâle, intimidé par les regards qui se posent sur lui. Je le fais asseoir près de moi, et lui demande de se présenter.

« Bonbonjour, je m’appelle Antoine. Quand Monsieur Jérôme est parti, il a emmené toute l’équipe avec lui, et j’ai dû gérer les parefeux et les routeurs de l’entreprise, renouveler les contrats des fibres noires et des accès internets, modifier les règles BGP, les exceptions, les changements, les mises à jour de firmwares, les configurations et les différentes mises à jour. Puis le ransomware a explosé toute l’organisation et j’ai été mobilisé comme tout le monde sur la gestion de crise et la remise en état des ordinateurs… »

Moi : « Mais vous êtes tout seul ? Vous avez quel âge ? »
Lui : « J’ai 23 ans, je suis en dernière année de formation par alternance. »

Tout le fonctionnement du réseau informatique de l’entreprise ne reposait plus que sur une personne, excellente par ailleurs. Un geek très compétent et impliqué dans son travail. Mais cette personne ne savait pas qu’elle devait également s’occuper de la mise à jour des ordinateurs de l’entreprise. Elle ne savait pas non plus que le démarrage nocturne des ordinateurs ne fonctionnait plus, que l’état des mises à jour montrait que les postes n’étaient plus à jour depuis plusieurs mois, ni qu’un pirate avait un pied dans l’entreprise grâce à un phishing réussi…

Toute l’entreprise tournait grâce à une personne qui faisait ce qu’elle pouvait.

Le dernier soutier.

Je lui ai demandé s’il avait déjà visité le Nebraska, il m’a répondu que non. Personne n’a compris ma question, mais personne n’a insisté.

Source Xkcd https://xkcd.com/2347/

Dans ce dossier d’expertise judiciaire, la mission donnée par le magistrat contenait une exigence classique : il me fallait horodater avec précision les évènements. L’effraction de la porte d’entrée, les accès à l’entrepôt et le vol du matériel informatique.

Me voilà donc sur les lieux des faits, plusieurs mois après. Non pas que mes diligences soient poussives, mais les moyens de l’administration judiciaire étant ce qu’ils sont, ma désignation en tant qu’expert avait été faite plusieurs mois après le vol.

Il y avait beaucoup à faire, et la journée se déroule à pas de charge, quand vient sur le tapis les moyens de preuve concernant les heures (et date) des faits.

Premier moyen: la vidéosurveillance.

Me voici à visionner une copie des vidéos de vidéosurveillance, avec les dates et heures inscrites sur la vidéo. Je demande comment ces dates et heures sont obtenues. Silence autour de la table. Je demande si le système est relié à une horloge externe fiable… Je demande si les changements d’heures sont pris en compte, si l’heure affichée est bien UTC+01:00… Silence. Je suggère qu’une personne appelle l’entreprise en charge du système de vidéosurveillance, et l’on me répond que le contrat de support n’a pas été reconduit. Je demande l’accès direct au système en place (et non pas à une copie) pour mener les investigations moi-même.
Le système n’est pas synchronisé avec une source fiable et dérive dans le temps…

Deuxième moyen : les logs de connexions

Parmi le matériel volé, deux ordinateurs étaient des machines utilisées par les salariés de l’entrepôt, et donc discutaient avec le serveur central. Je m’intéresse donc à la date d’arrêt de ces discussions, ce qui me permettrai de donner avec une bonne précision le moment du vol. Nous voilà donc à la recherche des logs.
Hélas, l’effacement automatique des logs a fait disparaître les informations qui m’intéressent…

Troisième moyen : les sauvegardes du serveur des logs de connexions

Quand il n’est pas possible d’accéder à un fichier car il a été effacé, il est souvent intéressant d’aller regarder dans les sauvegardes d’icelui, y compris pour les logs systèmes.
Mais l’administrateur informatique avait exclu la sauvegarde des logs, car ceux-ci prenaient trop de place sur le système de sauvegarde.

Quatrième moyen : le demi tour

Lorsque l’on fait du parachutisme, une fois le parachute ouvert correctement, il faut regarder en bas pour trouver la zone prévue d’atterrissage. Si l’on ne la trouve pas, la règle d’or est qu’elle est derrière nous, et il suffit de faire un demi tour sur soi-même pour pouvoir la trouver. J’ai souvent pu appliquer cette règle dans la vie de tous les jours : quand on ne trouve pas de solution, il faut réfléchir autrement, en faisant un demi tour mental.

En visitant le local technique où se trouvent les serveurs et switchs de l’entrepôt, j’ai remarqué un onduleur électrique géré par le service technique. Un onduleur est un appareil assez simple, qui contient des batteries et permet d’assurer le maintien de l’alimentation électrique en cas de coupure de courant. Les onduleurs professionnels embarquent un petit ordinateur qui peut parfois être administré à distance. Cet ordinateur est donc potentiellement relié à internet et à un serveur de temps. Il note également scrupuleusement les évènements, et en particulier les coupures de courant.

Les cambrioleurs ayant coupé le courant avant leur effraction, l’onduleur avait noté l’heure exacte de la coupure. Une fois effectuées la vérification du fuseau horaire de l’onduleur, la conversion dans le fuseau horaire de la France métropolitaine, et la vérification de la bonne synchronisation avec le serveur de temps, j’ai pu avoir avec une bonne précision le moment de l’effraction.

Et remplir avec précision cette partie de ma mission

« Vulnerant omnes ultima necat. Toutes blessent, la dernière tue. Il s’agit des heures, évidemment. C’est écrit dans le marbre, ou sur la pierre, sous les cadrans solaires. Comme tout ce qui est gravé en latin, la formule s’impose, et semble d’autant plus vraie qu’elle intime l’humilité, paraît indiscutable en vertu même de sa sévérité – les hommes croient toujours aux messages qui leur disent qu’ils ne sont que poussière. » — (Philippe Delerm, La vie en relief, Seuil, 2021, page 222)

Cette expertise s’annonçait particulière, comme à chaque fois devrais-je dire. Il s’agissait une perquisition, ce que je n’aime guère, mais avec une particularité : le mis en cause habite sur un voilier. Je regarde les quelques informations qui me sont fournies dans l’extrait de dossier que l’on m’a adressé : aïe, la personne est un informaticien. Techniquement, cela signifie que le niveau de difficulté risque d’être plus élevé.

Le jour J, j’arrive à l’heure au rendez-vous pris avec la maréchaussée (sans jeu de mot) dans ce petit port. Tout est calme et silencieux, à part le vent qui fait vibrer toutes les drisses et balancines contre les mâts, à part bien sûr les raillements des goélands et les rires des mouettes. Bref, on ne s’entend plus parler à voix basse…

Nous voici tous serrés dans cette petite cabine de voilier, auprès de laquelle une coquette studette parisienne semble être un luxueux palace. Le chef des gendarmes fait assez justement remarquer que compte tenu de la coopération du mis en cause, il n’est peut-être pas nécessaire de tous rester dans la cabine, et me voici donc à accomplir ma mission sous l’œil attentif de l’habitant des lieux, et celui de l’OPJ qui suit scrupuleusement les opérations.

La mission ? Trouver tous les éléments, sur tous supports, permettant d’être utile à la manifestation de la vérité (voir détails dans le dossier).

Les voileux savent qu’une cabine, toute petite qu’elle soit, contient un grand nombre de rangements, de coins et de recoins. Me voici donc à la recherche de tous les supports, papiers et électroniques, susceptibles de contenir une information intéressant le juge d’instruction. C’est une fouille que je n’aime guère tant elle consiste à entrer dans l’intimité des gens.

J’essaye de ne pas déranger l’ordre des rangements, ni de déballer outrageusement la vie privée du mis en cause. Je fouille les différents tiroirs et caissons, et m’intéresse plus particulièrement à l’ordinateur, au téléphone, au disque dur externe et aux clefs USB.

Je ne trouve aucune donnée concernant l’enquête, ni aucune donnée manifestement illégales.

Je m’approche du système de navigation du voilier et je m’intéresse un peu au GPS marin. Je demande alors au mis en cause : vous avez des cartes marines numériques ? Sa réponse est un peu hésitante et confuse. Je regarde alors le GPS et en extrais une carte SD que j’examine sur mon ordinateur portable d’expertise. RAS, mais je fais une copie bit à bit de la carte SD que j’analyse aussitôt avec l’excellent logiciel PhotoRec. Et là bingo : des données effacées s’avèrent très intéressantes. La carte SD avait servi dans un appareil photo, et comme outil de transfert entre deux ordinateurs.

J’ai ainsi pu vérifier in extremis le principe de l’échange de Locard, qui veut qu’on laisse toujours une trace de son passage.

Note : ce billet respecte les recommandations du procureur de la République au sujet de la confidentialité des dossiers d’expertise.