OSINT : la méthode avant les outils

OSINT : la méthode avant les outils

Reflexion sur l'OSINT openfacto

Avec l’arrêt (temporaire ?) du Graph Search, l’opérateur de recherche avancé de Facebook, et la disparition de la rubrique outils du site IntelTechniques, le monde de l’OSINT a connu un petit séisme la semaine dernière. Avant cela, d’autres outils (add-ons, logiciels, sites spécialisés, etc.) ont disparu ou sont devenus payants, comme Pipl, qui permet de lancer des recherches à partir d’un nom, d’une adresse email, d’un pseudonyme ou d’un numéro de téléphone.

Cependant, comme le rappelle Michael Bazzell, l’OSINT n’est pas un ensemble d’outils mais une méthodologie. Cet article propose donc, sans prétendre à la vérité absolue, de réfléchir sur la notion d’outil et de proposer des éléments méthodologiques qui font un bon investigateur.

L’outil, simple appui en vue d’un traitement humain

Un outil se définit comme « ce qui permet de faire un travail ». S’ils sont bien évidemment nécessaires pour trouver de l’information, aucun outil n’est indispensable et ne saurait fonctionner sans un traitement humain. Pour prendre un exemple basique, Google est un outil qui permet de lancer des requêtes, mais il existe une différence de taille entre le novice qui se contente de taper des mots clés en espérant que l’algorithme trouve exactement ce dont il a besoin et l’utilisateur qui maîtrise les opérateurs de recherche avancés (booléens, filetype, insite:, etc.). Pourtant, cet aspect humain, intellectuel, est trop souvent occulté lorsque la question de recherche en sources ouvertes est abordée, en témoignent les suggestions que Google associe au mot OSINT. Cet aspect est pourtant fondamental, que ce soit en amont pour définir le cadre de recherche, pendant pour la collecte, ou après pour l’analyse.

De la rigueur pour ne pas se perdre

Par définition, le renseignement en sources ouvertes a pour objectif d’obtenir un renseignement. Il s’agit donc, avant de se lancer, de définir clairement ce qui est recherché : s’agit-il d’évaluer la réputation d’un partenaire potentiel ? La fiabilité d’un sous-traitant ? D’obtenir des coordonnées ? De comprendre l’écosystème d’une organisation ? Les applications sont extrêmement nombreuses et ne réclameront pas de se focaliser sur le même environnement. Ainsi, dans certains cas, il sera plus pertinent de s’intéresser aux réseaux sociaux, tandis que d’autres dossiers nécessiteront d’interroger des documents officiels par le biais de bases de données spécialisées (registres du commerce, etc.). Dans la pratique, il est souvent nécessaire de croiser différents types de sources, nous y reviendrons.*

Une fois défini l’objet des recherches et la piste la plus pertinente pour démarrer, la phase d’investigation peut commencer. (Mal)heureusement il n’existe pas de process clé en main de type : « pour trouver telle information, lancer dans un 1er temps cette requête, puis celle-ci, puis celle-là, etc. ». En revanche, il existe deux principes directeurs :

  • Partir des informations sûres et/ou des éléments les plus caractéristiques pour lancer ses recherches afin de ne pas partir dès le début dans une mauvaise direction. Par exemple, il doit exister dans tous les pays du monde une entreprise dont le nom usuel est Total. En revanche, si l’on s’intéresse uniquement à une entreprise estonienne du nom de Total, il faudra rechercher « Total OÜ ».
  • « Chercher. Trouver. Analyser. Répéter. » On touche là à l’essence même de l’OSINT. Pour l’illustrer, il faut imaginer une grille de su-do-ku. Les amateurs de ce jeu de logique le savent (pour les autres la règle est ici) : les quelques numéros dont on dispose au départ permettent d’en trouver un nouveau, puis la combinaison de ce numéro avec les autres permet d’en trouver un autre et ainsi de suite. L’OSINT c’est donc accumuler des informations et les combiner pour en extraire de nouvelles, jusqu’à obtenir ce que l’on cherche.

De la créativité pour investiguer

On l’a vu, un bon investigateur doit faire preuve de rigueur et de méthode. Voilà pour la théorie. Reste maintenant à lui de faire preuve de créativité pour créer du renseignement en croisant des données. La vidéo « capture the flag » est en cela un modèle du genre (quoi qu’on pense de l’idéologie des types en question).

Deux points distinguent alors un bon investigateur :

  • Sa capacité à exploiter au mieux les éléments de base dont il dispose pour trouver de nouvelles informations. Exemple : à partir d’une adresse email, quels sont tous les éléments auxquels il est possible d’accéder ? Dans le cas de la vidéo « capture the flag », l’analyse du lever et coucher du soleil permet de délimiter grossièrement une zone géographique, puis l’analyse d’un site spécialisé sur le trafic aérien permet de délimiter quelques dizaines de zones de plus petite envergure.
  • Sa capacité à élaborer un chemin de collecte d’informations lui permettant de trouver ce qu’il cherche. À partir d’une information A de base, il n’est parfois pas possible d’accéder à une information C. En revanche, A peut mener à une information B, puis B mener à C.

Imaginons par exemple qu’il faille identifier le profil Facebook d’un individu connu mais utilisant sur le réseau social un pseudonyme. L’investigateur va prendre le chemin à l’envers et se demander : quelle information me faut-il pour trouver le compte Facebook ? En l’occurrence, une adresse email pourrait le permettre. Il s’agit alors de se demander comment trouver cette adresse. Via un CV partagé en ligne ? Une présentation sur Slideshare ? LinkedIn ? L’exemple est assez basique mais certains schémas peuvent être beaucoup plus élaborés.

En résumé…

Au final, la qualité d’un bon chercheur réside moins dans sa connaissance intrinsèque d’une multitude d’outils que dans sa capacité à tirer profit au maximum des informations dont il dispose et à établir des connexions entre elles pour en recueillir de nouvelles. Bien évidemment, plus un chercheur maîtrise d’outils, plus il aura de chance de trouver ce qu’il cherche. À cette connaissance et cette capacité de créativité doit s’ajouter une certaine rigueur méthodologique indispensable pour ne pas se perdre. Pour reprendre la conclusion de cet article d’OSINT Essentials : « Votre cerveau sera toujours votre meilleur atout. Utilisez-le ».

Nouvelle usine secrète et missiles balistiques en Iran: la symbolique des images

Nouvelle usine secrète et missiles balistiques en Iran: la symbolique des images

Par une équipe de recherches OpenFacto

A l’occasion du quarantième anniversaire de la Révolution Islamique en Iran, la chaîne Channel 1 TV a diffusé un reportage le 7 Février 2019 dans la grande tradition de la démonstration de la force militaire du pays. Le reportage met en avant l’inauguration d’une nouvelle usine secrète de fabrication de missiles balistiques iraniens, un nouveau missile balistique d’une portée de 1000km le Dezful et un tir de missile. Le journaliste conduit également une longue interview du Général Major Mohammad Ali Jafari au commandement des Sepah-e Pasdaran, les gardiens de la Révolution et du Général Amir Ali Hajizadeh, le commandeur de la force aérospatiale des gardiens de la Révolution.

Le site MEMRI offre une version sous-titrée et juste le script aussi en anglais.

Décrypter la vidéo

La vidéo montre une usine souterraine où des scientifiques masqués travaillent sur plusieurs missiles : c’est ici où les deux généraux sont interviewés par le journaliste. D’autres images montrent le missile Dezful et le tir d’un missile balistique. A la vue de ces images, il s’agit d’une démonstration de force de l’Iran dans sa capacité balistique. Les images de la vidéo laissent penser qu’il s’agit à la fois d’une présentation de la nouvelle usine et du nouveau missile mais aussi un tir d’essai de ce dernier. Cependant et comme toute vidéo de propagande, il convient d’essayer de décortiquer ce que nous voyons pour comprendre ce qu’il se passe vraiment.

Dans un premier temps, on remarque qu’il s’agit d’un montage vidéo utilisant des images provenant de sources différentes afin d’agrémenter l’entretien conduit dans l’usine avec des éléments visuels aditionnels. Nous avons donc en réalité 4 types d’éléments  visuels à analyser :

  • L’entrée de l’usine
  • Le tir d’un missile orange
  • Le tir d’un missile blanc
  • L’usine dont la cohérence de la séquence est déterminée par la présence du journaliste et des généraux militaires

Au temps 0:31 la vidéo montre l’entrée en accéléré d’un long tunnel qui débouche sur une porte avec au sol un drapeau israélien. Ce plan rapide n’est pas propre à cette vidéo mais issu d’une vidéo datant du 8 mars 2016 en référence à des exercices au nom de code Eqtedar-e-Velayat montrant une base souterraine abritant des missiles balistiques qui seront tirés à plusieurs endroits du pays. Est-ce en réalité la même usine dont on montrerait simplement d’autres plans? Est-ce une autre base? On peut donc se demander si la nouvelle usine en question possède ce type d’agencement et de peintures au sol. Difficile à dire.

Vidéo d’une usine sous terre datant de 2016

Dans les vidéos utilisées par MEMRI, on peut voir des tirs de missiles qui peuvent donner l’impression d’être un seul et même missile. Pourtant, on peut voir à la minute 00 :48 et 00 :50 qu’il s’agit de deux différents démontrant a priori une comparaison entre l’ancien Zolfaghar et le nouveau Dezful.

Nouveau missile Dezful
Missile Zolfaghar

En faisant un reverse image, nous tombons sur le compte Instagram de Iranian Defense Power qui fait une revue détaillée de ces deux missiles avec des images originelles.

Finalement, la video permet de réaliser un mapping grossier et illustratif (non représentatif des plans réels de l’usine) de certaines parties de l’usine secrète. Les images diffusées ainsi que l’agencement spatial de l’usine montrent surtout la partie assemblage et de stockage des missiles.

Il n’est pas possible de dire si les pièces sont fabriquées sur place ou si elles proviennent de différents sites.

Mapping illustratif des couloirs potentiels de l’usine basé sur les vidéos tournées dans l’usine

La presse iranienne mentionne dès Mai 2017 la fabrication du missile Dezful dans The Tehran Times en indiquant qu’une troisième usine sous-terre a été construite pour la production de missiles balistiques. Cette déclaration est faite dans la ville de Dezful par le Commandant des Gardiens de la Révolution, Sardar Amir Ali Hajizadeh.

Il n’est pas possible de géolocaliser les images de l’usine dans une ville précise.

Néanmoins, le nom du missile et le lieu de cette déclaration ne sont pas un hasard et révèle la portée symbolique que le régime veut donner au programme balistique pour mobiliser l’opinion publique. Dezful est une ville à l’Est de l’Iran dans la province du Khuzestan, près de la frontière irakienne. La ville abrite la base aerienne de Dezful Vahdati – 4e base aérienne du pays. Elle a été bombardée au début de la guerre Iran-Irak. Alors que le pays étant sous sanction et ne disposant pas de forces de frappe pour se défendre, cet évènement reste un traumatisme national. Cela lui a valu d’être appelée la Ville des Missiles et la Ville de la Résistance.

Exploration de Dezful, ville militaire emblématique

Il est intéressant d’explorer la ville pour en comprendre sa position stratégique. Sur wikimapia et grâce au filtre « militaire », un certain nombre d’installations militaires importantes liées à l’histoire de la ville et la présence de la base sont répertoriées.

Les sites sur lesquels il est intéressant de s’attarder sont la base aérienne, la base SAM et un radome non répertorié sur Wikimapia.

La base aérienne est un aéroport civil depuis fin 2007 mais aussi une base militaire qui accueille le seul salon militaire ouvert au public iranien du pays. L’utilisation de la fonction « time » de Google Earth permet de voir divers avions et jets sur le tarmac.

Vue de la base en 2013 avec la fonction time de Google Earth

L’intégration de photos permet de voir le type d’avion présenté au moment du salon annuel.

SU-24 Fencer

En se promenant autour de la ville de Dezful, nous pouvons découvrir cette base carrée clairement délimitée par des murs et à caractère militaire avec des zones SAM (entourées en rouge). L’existence de cette base est antérieure à 2003.

Base militaire protégée

Cachée à l’est dans la montagne, on retrouve une base militaire avec un radome abritant un radar. Les sites SAM (entourés en rouge) sont là pour le protéger. Il est intéressant de noter que le radome est très récent: 2018 avec un période de construction en 2017 et un radar classique jusqu’en 2016.

Vue en Juin 2018
Vue en Juillet 2016

Ce lieu confirme l’importance très stratégique de Dezful dans la défense aérienne du pays et met en lumière le narratif qui peut accompagner le nouveau Missile Dezful.