Je croule sous les expertises pédopornographiques.

J’ai quatre dossiers ouverts en parallèle!

Du jamais vu pour moi…

Pour ceux qui découvrent ce blog, je les invite à lire sur ce thème ce billet, celui-ci et celui-là.

Pour analyser un scellé, j’ai pris l’habitude de procéder d’abord à une prise d’image numérique du disque dur, pour ensuite étudier son contenu (celui de l’image, pas le disque dur original).

Pour étudier le contenu de l’image, je procède toujours à peu près de la même manière: je lâche mes chiens scripts à la recherche d’images sur l’ensemble du disque dur, et pendant que mes fidèles limiers explorent la totalité du disque dur (zone allouée et non-allouée), je flâne moi-même avec un explorateur de fichiers pour m’imprégner de la logique de son propriétaire.

Cette fois-ci ma flânerie me montrait une belle machine neuve sous Vista. Le PC a peu servi, ayant été acheté depuis peu. L’historique internet montre bien quelques sites, mais rien que de très banal: les grandes enseignes habituelles d’internet, et un peu de pornographie. Le tour préliminaire de la propriété me laisse penser que cette fois-ci je ne trouverai rien de criminel.

Je commence l’introduction de mon rapport en attendant les résultats de mes scripts de recherche. Je blogue un peu aussi.

Quelques heures plus tard, une douce voix un bip m’avertit que l’exécution des scripts est terminée.

Et là, surprise: tout un lot d’images pédophiles.

Mais où pouvaient bien se cacher ces images?

En zone allouée?

Des fichiers cachés?

Des fichiers effacés?

En zone non-allouée, pas même référencé dans la table des fichiers?

Dans des fichiers zippés?

Non.

Dans le fichier thumbcache_256.db…

Késako?

Lorsque vous visualisez le contenu d’un répertoire en mode d’affichage « Miniatures », une image réduite (une « miniature ») est placée sur la représentation de chaque fichier. Si votre fichier contient des images, vous pouvez ainsi en apercevoir une représentation réduite, ce qui vous permet de trouver rapidement la bonne image.

Sous Windows XP, tous les répertoires images explorés dans ce mode contiennent ensuite un fichier caché Thumbs.db

Ce fichier contient toutes les miniatures des fichiers du répertoire. Un régal pour toutes les analystes forensiques.

Pour Vista, Microsoft a modifié son système de mise en cache des vignettes. Plutôt que de créer un fichier caché Thumbs.db dans chaque répertoire, un groupe de fichiers thumbcache_*.db contient une réduction plus ou moins fine de chaque image stockée.

Dans cette affaire, le propriétaire de l’ordinateur avait particulièrement bien effacé la trace de ces activités criminelles.

Mais il n’avait pas pensé à effacer le fichier thumbcache_256.db de Vista, révélant ainsi sa petite collection de 300 images pédophiles particulièrement atroces.

Je ne suis pas un enquêteur.

Je ne suis pas un juge.

Je suis un simple informaticien au service de la justice.

Mais j’aimerai pourtant un jour y reconnaître l’un de ces visages pour pouvoir mettre la police sur les traces des ravisseurs.

Et parfois, c’est dur.

L’expert judiciaire exerce ces missions la plupart du temps seul. Il arrive parfois qu’il se sente bien seul…

Il m’est arrivé, il y a quelques années, d’avoir à remplir une mission inhabituelle (pour moi): un tribunal de commerce m’avait demandé de récupérer des données clients sur un serveur dans une entreprise en faillite et de faire l’inventaire du parc informatique pour faciliter le travail du commissaire priseur.

J’ai d’ailleurs appris à mes dépens à cette occasion qu’il y a un certain nombre de points à vérifier avant de se déplacer pour une telle expertise. Je raconte ici la suite des évènements.

Quand un expert se déplace pour effectuer une mission, il est rarement mis au courant des détails très techniques qu’il va rencontrer. Dans cette affaire, et malgré mes nombreuses questions auprès de mes différents interlocuteurs, il m’était impossible d’avoir la moindre information technique intéressante: combien de PC, quel système d’exploitation (windows, VMS, GCOS, Debian, AIX, Irix, Mac OS, NetBSD…), type des disques (SCSI, IDE…), leur capacité (1 Go, 10 Go, 100 Go, 1 To…). Bon, par contre, tout le monde pouvait me donner le mot de passe du serveur (c’est déjà ça).

Pour préparer mes affaires, je procède donc exactement comme pour une expédition lointaine dans un pays dont on ne connait ni la géographie ni le climat. Je mets dans une valise tous les éléments techniques qui pourraient m’être utile: graveur externe, disques IDE et SCSI, bloqueur d’écriture, nappes de fils, alimentations, tournevis, lampe électrique, unité centrale, écran, PC portable, DVD et cédéroms vierges, papier, crayons, câbles et cartes réseaux, switch, clef USB, disquettes…

Me voici donc, de bon matin, à deux cents kms de chez moi, seul dans cette entreprise fermée depuis plus d’un an. L’entreprise est installée dans un grand appartement de six pièces. Il flotte dans l’air comme une odeur de renfermé. J’ouvre les volets.

Je repère très vite le serveur (installé dans la cuisine aménagée pour l’occasion en salle serveur). L’électricité ayant été remise la veille, j’appuie sur le bouton de démarrage après avoir vérifié l’état général des connexions électriques. Le serveur s’allume dans un bruit d’enfer qui semble normal.

Assis devant l’écran, je fais mes premières constations: bios, nombre et type de disques, OS, messages d’alerte… jusqu’à la fenêtre de demande d’identification. J’entre le mot de passe indiqué dans les documents qui m’ont été fournis: sésame ouvre toi, ça marche! Je récupère les données sur mon disque externe USB reconnu par l’OS (Windows 2000). C’est un coup de chance car aucune de mes nappes ne correspondent au système SCSI du serveur. Cela fait une heure que je suis là et la première partie des missions est déjà accomplie. Je suis content.

Là où cela s’est un peu corsé, c’est quand j’ai voulu remettre en état le réseau en place. En effet, de nombreuses données sont présentes sur les disques durs des différents PC et tous ne disposent pas de port USB, alors qu’ils sont tous connectés en réseau. Rien ne fonctionne, aucune machine ne voit le serveur. Petite inspection à quatre pattes en salle serveur: le réseau a été « saboté ». Il s’agit en effet d’un réseau éthernet avec des câbles et connecteurs de type BNC qui doit se terminer par un bouchon de 50 ohms sur un raccord en « T ». Or le câble arrivant sur le serveur est directement raccordé à la carte réseau. Ça ne peut pas fonctionner. Le sabotage est intentionnel. Déjà à cette époque, l’utilisation de câbles réseaux BNC commençait à se faire rare. Et nul bouchon à l’horizon: ni sur le câble, ni dans l’appartement, ni dans ma valise. Début des ennuis.

Je referme bien l’appartement à clef, puis commence à chercher un magasin d’informatique ou d’électronique. Je n’ai pas de carte détaillé de la ville, pas d’accès internet, nous sommes samedi midi, la ville est déserte. Je demande aux commerçants qui sont incapables de me renseigner. Je prends mon véhicule et commence mes recherches. 2h plus tard, après avoir écumé les zones industrielles, les centres commerciaux, je tombe sur un petit magasin de maquettes qui vend aussi un peu d’électronique. Dans le capharnaüm du magasin, nous trouvons le vendeur et moi quelque chose qui ressemble à une paire de résistances terminales BNC… Victoire et retour dans l’entreprise.

Réseau fonctionnel, je commence à récupérer les données de chaque poste de travail (il y en a dix!). L’après midi bien entamé y passera. Le soir arrive, la pénombre aussi. Les yeux fatigués, je me lève pour allumer la lumière: rien. Tous les plafonniers ont été vidés de leurs néons et ampoules. J’allume tous les écrans et reprend le travail dans la lumière blafarde. Je sors ma lampe de poche et m’en sers pour me déplacer entre les meubles. Certains écrans grésillent. Je me sens seul.

A l’époque, je n’ai pas de téléphone portable, je ne peux donc pas prévenir mon épouse de ne pas s’inquiéter. Les ombres et les fantômes de l’entreprise suffisent déjà à me mettre mal à l’aise. Quelques craquements se produisent dans les pièces voisines. Le changement de température sans doute. Au fait, il n’y a pas de chauffage… Je mets mon manteau et bouge un peu les bras pour me réchauffer. Je note sur ma « check list » de penser à prendre des vêtements chauds la prochaine fois.

23h. Fini. Je ramasse tous mes équipements, toutes mes affaires et toutes mes notes. Je remets tout en état. J’éteins et ferme tout. Me voici dans le couloir avec ma lampe de poche et mon sac de sport rempli de matériel sur l’épaule. Je me rends compte soudain que je n’ai pas pensé à prévenir les voisins ni la police de ma présence. J’ai vraiment l’air d’un cambrioleur. Par chance, personne ne viendra m’inquiéter.

Sur le chemin du retour, il n’y a personne sur la route.

Je suis encore seul.

Il est 16h et j’attends avec impatience l’arrivée des OPJ qui doivent m’apporter mon premier scellé. Ah, ça y est, ils arrivent! Deux policiers descendent de leur voiture et viennent sonner à la porte. Les voisins soulèvent leurs voilages. J’ai déjà ouvert la porte et je discute avec les deux officiers. Ils me confirment ma mission principale: la recherche d’images pédopornographiques. Ils me remettent un PC dans un grand sac noir qui ressemble à un sac poubelle sauf que celui-ci est cacheté (c’est en fait bien un sac poubelle). Je serre la main des policiers, autant par politesse que pour les voisins…

Me voici dans mon bureau. J’ouvre le scellé. Je démonte le PC et en extrait le disque dur. Je tremble un peu. C’est ma première analyse.

Je n’ai pas encore de bloqueur de lecture, mais par chance, ce modèle de disque dur possède un cavalier permettant d’empêcher l’écriture (et donc de modifier le contenu du disque dur). Je procède à la prise d’empreinte numérique, replace le disque d’origine dans le scellé et place sa copie dans mon ordinateur de travail. L’analyse peut commencer.

Je ne dispose pas (encore) de logiciel spécialisé dans l’analyse de disque et la recherche de preuve. Je débute en informatique légale et je suis seul. Aucune aide à attendre de l’extérieur: je ne connais aucun autre expert judiciaire, ni en informatique ni dans une autre spécialité. J’ai pour seul bagage mes connaissances, des livres et internet. Il faut que j’y arrive.

J’explore le disque dur d’une façon informelle, à l’aide de l’explorateur de fichiers. Rien ne semble anormal.

J’entreprends l’exploration complète et systématique de l’arborescence de fichiers. Rien. Le contenu du disque est parfaitement banal.

Je dégote sur internet un programme de récupération des fichiers effacés. Je le teste sur mon poste avant de l’employer sur le disque cible. Bingo, sur le disque cible se trouvent un petit millier de fichiers effacés dont plusieurs images à caractère pornographiques.

Je continue la recherche en dressant la liste de tous les programmes installés. Certains me sont inconnus. Internet n’étant accessible qu’au travail (nous sommes à la fin du 20e siècle, à une période où le web n’existe pas encore, internet est en mode texte et est réservé aux seuls chercheurs), j’emmène cette liste au travail et en discute avec mon équipe technique. Après identification de la plupart des programmes, il en reste deux qui sont inconnus au bataillon.

Après une rapide recherche de deux heures sur les sites gopher, je découvre qu’il s’agit de deux programmes de stéganographie.

Le mot même me fait peur, nous sommes en pleine période Jurassic Park.

Je me rappelle alors que lors de mon analyse informelle préalable, j’avais aperçu de nombreuses images haute définition (pour l’époque) de type « fond d’écran pour station de travail » (certains se rappelleront d’une image de guépard à couper le souffle).

Il se trouve que j’avais dans ma propre collection de fonds d’écran certaines des images en question. Je procède alors à une comparaison des tailles de fichiers, puis des contenus binaires. Bingo.

Le logiciel demandait un mot de passe pour chaque image. L’imagination humaine étant ce qu’elle est, je tentais tous les mots de passe « habituels ». Niet. J’essaye alors une adaptation du logiciel « crack », père des logiciels de cassage moderne. Et là, quelques heures plus tard, LE mot de passe.

Sésame ouvre toi, et toutes les images « fond d’écran » se sont avérées être réceptacles d’images cachées par stéganographie. D’images abominables bien entendu… C’est une des raisons du fond noir de ce blog.

J’ai appris beaucoup de choses sur la technique ce jour là, mais aussi beaucoup sur l’espèce humaine. Et à plusieurs niveaux, sur le sens caché des choses.