OpenFacto participe au CTF OSINT UYBHYS – Retex

OpenFacto participe au CTF OSINT UYBHYS – Retex

Vendredi 12 novembre se tenait la 6ème édition d’UYBHYS. durant laquelle un CTF d’OSINT était organisé de 16h00 à 22h00 en distanciel.

UYBHYS, pour “Unlock your Brain, Harden your System”, est l’événement de sécurité numérique le plus à l’Ouest, en Bretagne, evel-just !

Petit CTF sympa en perspective, organisé par : @erys70695660, @madame_https et @D4ftR0ck, ainsi que  @0xraven_

Une fine équipe encadrée par @realDumbleDork, fondateur de la communauté Osint-fr.

Ni une ni deux, nous nous y greffons, en nous répartissant sur deux équipes.

Au menu, une enquête fictive qui démarre sur la société Berzelius Corp, victime du vol de l’un de ses camions contenant des produits hautement chimiques. 
Trois parcours étaient disponibles : 

  • Une investigation principale avec une douzaine de challenges s’articulant autour du vol du camion par un groupuscule éco-terroriste.
  • Des investigations parallèles avec quatre défis autour des petits secrets des employés de la société fictive et de leurs interactions en terre bretonne.

Ces deux premiers parcours mixeront socmint, geoint, bases de données en ligne…

  • Les crypto-Investigations : 5 challenges. Ce dernier parcours se concentre sur le secteur de la crypto.

Côté Orga : 

Présents sur ce CTF : 135 joueurs répartis en 44 équipes.

Le CTF accuse un retard d’1 minute, car l’ensemble des challenges furent laissés en “Admin Only”. 

L’histoire est bien rodée, les personnages et l’intrigue nous amènent de recherches en découvertes, avec quelques petits sujets un peu tordus.

C’est dans la bonne humeur que se terminera ce CTF avec en scoreboard :

Quelques focus et anecdotes sur les challenges

Zoom sur Challenge “On the Road Again”

On notera parmi les différentes énigmes, un challenge qui a fait couler beaucoup d’encre : “On the Road Again”, concocté par @Erys.

10 équipes sur 44 sont parvenues à trouver la solution au défi… une énigme assez simple à résoudre et pourtant, les biais de confirmation, d’attribution et l’effet d’ancrage auront eu raison d’une bonne partie des participants.

Erys résumera le mieux la performance moyenne des participants à cette énigme :

Et oui :

Zoom sur le parcours Crypto :

Le parcours crypto se compose de cinq questions amenait les équipes à enquêter sur le financement de l’Ordre des Avocettes. Fort heureusement, les questions ne portaient pas sur l’analyse de la blockchain et aux nombreuses transactions qu’elle comporte, exercice délicat et chronophage 

Les challenges du parcours mettaient en lumière la relative notion de pseudonymat entourant les crypto-monnaies. Car si la blockchain est pseudonymisée, la surface numérique d’un wallet ne l’est pas pour autant. Il était possible de trouver toutes les réponses en effectuant une recherche simple sur un moteur de recherche à partir du numéro du wallet et en ajoutant éventuellement à la requête des détails sur ce qu’on voulait trouver.
    Un des challenges amène les équipes à trouver le nom d’un marché noir du dark web sur lequel le wallet s’était approvisionné en drogue, information que l’on trouvait pourtant sur le web de surface via un simple moteur de recherche sans nécessité de parcourir le dark web.

La question nous rappelait qu’il n’existe pas qu’une seule crypto-monnaie comme il n’existe pas qu’une seule blockchain. Et oui, un des wallets ciblés n’effectue pas que des transactions en Bitcoin [BTC] mais aussi en Bitcoin Cash [BCH]. Cette autre monnaie virtuelle étant régi par sa propre blockchain !

Et une dernière  anecdote pour la route :


    “Les Narcos chinois” ou “de la nécessité de bien vérifier si ce que l’on trouve est bien ce que l’on cherche”.

Vous est-il déjà arrivé de vous perdre sur internet ? N’ayez pas honte c’est tout à fait naturel, même au cours d’un CTF …

L’une des questions du challenge nécessitait de trouver des informations sur une adresse MAC :

adresse MAC : A8:BA:8B:CB:5F:82. Il semblerait qu’il s’agisse de l’adresse MAC de l’IPhone auquel est relié l’AirTag. Il est possible que cette adresse nous mène vers l’endroit où les voleurs cachent le camion et les produits chimiques.

A partir de ces informations, trouvez cette adresse postale.”

La résolution de cet énigme était simple si l’on avait connaissance du site wigle.net mentionné plus haut. Or, ce n’était absolument pas notre cas.

Passé la détresse des premiers instants suivi de requêtes paniques sur Google, l’un des membres de l’équipe a eu la bonne idée de passer l’adresse MAC sur shodan.io , ce qui n’est pas une mauvaise idée en soit et là … bingo !

Une adresse IP en Chine semble liée à une liste d’adresse MAC dont celle que nous cherchons, ce qui est très rare. Le challenge demandant de trouver une adresse, nous devons nous résoudre à tenter les coordonnées GPS liées à cette IP :

La Chine en Bretagne ? Tant pis qui ose gagne !

Pas très parlant, les routes n’ont même pas de noms sur Google Maps. Tiens ! Un coup de bol, un utilisateur a pris en photo et publié sur google l’endroit d’où proviennent les coordonnées GPS, nous touchons au but. Dans un endroit aussi bizarre ce ne peut être un hasard !

???!!!

Voilà donc le lieu où les Cartels de La Couyère et de Corps-Nuds (CF – le Challenge) se retrouvent pour négocier et se partager la Bretagne tout en concoctant des CTF GEOINT impossible. Une découverte capitale dans la lutte contre le crime organisé.

Plus sérieusement et malgré l’aspect trivial de la chose, il est important de vérifier si ce que l’on a trouvé correspond bien à ce que l’on cherchait. En effet Shodan a affiché l’adresse IP mais ne montrait pas explicitement ce qui avait été trouvé. En effectuant de nouveau la requête on se rend compte avec effroi en filtrant la page des résultats que :
Shodan n’a fait une correspondance que sur les 3 premiers digits de l’adresse MAC parmi la liste des autres adresses. Cela aurait donc pu être évité.

Qui plus est, les coordonnées GPS du site ipleak.net indiquait que la portée était de 5 km de rayon (pas très chirurgical).     Heureusement que cette folie a cessé, parce qu’il était possible, avec le nom d’utilisateur de la personne ayant posté cette photographie mythique, d’en déduire le mail et de pivoter sur son compte Instagram et TikTok qui comportait des publications de lieux, boutiques et … d’avions ! De quoi se perdre encore un tout petit peu.

Le + apprécié par les participants : 

  • Le format du CTF dans son déroulé et dans son timing et l’heure : meilleur compromis pour engager du monde sur un évènement sans trop impacter sur le temps perso, 
  • Le discord pour le chat temps réel, permettant aux équipes de ne pas perdre de temps sur des problèmes techniques, et de permettre aux organisateurs d’adapter ou de corriger en temps réel, tout dysfonctionnement, consignes pas très claires ou errances des participants (exemple, avec “On the road again” : les organisateur ont délivré un indice supplémentaire et corrigé la consigne de saisie de la réponse)

Les axes d’amélioration : 

  • On the road again : La consigne de la saisie de la réponse n’était pas claire et l’énigme tirée par les cheveux. Le style “enquête de détective” ne colle pas avec l’énigme posée qui est un jeu de mots et dont le flag est caché sur un site qui n’a aucun lien avec l’activité. 
  • Certaines tournures des énigmes ne sont pas très claires. 

Les conseils OF pour un CTF démarrer en CTF :

  1. Être une team pleine est préférable si on souhaite truster le top 10 
  2. S’organiser ! s’organiser et… s’organiser :
  • Parfois quand on bute, il faut savoir prendre le temps de revoir l’énigme depuis le début ou, à défaut de mieux, savoir abandonner. Exemple : challenge “On the Road again” qui n’apporte rien si ce n’est 30 points et ne débloque pas d’autres énigmes. 
  • Ne pas hésiter à solliciter l’équipe organisatrice si on sent que l’on a la réponse mais qu’on bute sur une question technique ou fonctionnelle. Exemple : nomenclature de la réponse (case sensitive, pris en en compte des accents…). 
  1. A moins qu’un CTF ne précise le sujet des recherches, se concerter à l’avance sur les outils à regrouper pour le CTF (via un https://start.me par exemple) et se partager les recherches par spécialité (exemple avec les challenge Crypto, domaine très spécifiques et totalement inconnus de certains osinteurs) 
  2. Ne pas oublier le document de travail partagé pour y déposer tous les indices et liens trouvés durant le CTF

Quelques liens utiles découverts durant le CTF :

  • https://www.immo-data.fr qui permet d’explorer une carte avec tous les biens à vendre à proximité et d’obtenir des informations détaillées sur les dits bien (et ainsi avoir des données de pivot pour compléter / affiner les recherches sur https://www.cadastre.gouv.fr par exemple) .
  • https://www.vivino.com et https://untappd.com/ : applications mobiles pour amateurs de vins et de bières qui y laissent des avis et parfois quelques petites informations personnelles (pour trouver un user, saisir le jeu de pseudos probables pour accéder à leurs pages dans l’url).
  • https://wigle.net/ : base de données permettant de trouver des réseaux sans fil (WIFI, objets connectés…) via leur adresse mac, entre autres.

Concernant la crypto et les blockchains :

Intro à la blockchain :
    La blockchain compile l’intégralité des transactions effectuées entre des portefeuilles de crypto-monnaies (appelés wallet), la transaction une fois vérifiée et compilée dans les règles de la blockchain est en théorie impossible à falsifier. Chaque crypto-monnaie possède son propre système de compilation de transactions, l’écrasante majorité utilisant le système de la blockchain.

Ces fameux registres en source ouvertes indiquent le numéro des wallets, les soldes et les montants impliqués dans chaque transaction.
Les transactions visibles en OSINT sont “anonymisées” car l’identité des propriétaires de wallet n’apparaît pas. On parle alors de “pseudonymat”, les plateformes en ligne étant légalement dans l’obligation de demander et de conserver l’identité réelle des détenteurs de wallet.
Les crypto-monnaies quant à elles, s’achètent, sauf exception, sur des plateformes en ligne contre de la monnaie fiduciaire ou en échanges d’autres crypto-monnaies.

Pour aller plus loin :

  • https://www.youtube.com/watch?v=6uYRN6b5EMU : “Comprendre la blockchain en 7 minutes »
    Cette chaîne : “Cryptoast” propose également les vidéos : “Qu’est ce que le Bitcoin” et “Comprendre les crypto-monnaies en 8 minutes”

Autres liens :

Lien pour accéder à l’ensemble du CTF (Q/R) : 

https://github.com/pcotret/ctf-writeups/tree/master/uybhys-2021

Lien vers le salon unlock

https://www.unlockyourbrain.bzh/

Lien vers OsintFr :

A decade into the Syrian war: OSINT as a tool to investigate Syria’s chemical program supply chain

A decade into the Syrian war: OSINT as a tool to investigate Syria’s chemical program supply chain

The war in Syria has been one of the most violent conflict of this past decade. Being one of the most documented conflict, it has provided a lot of material for open source research to take off. Multiple investigations have established the use of chemical weapons by the Syrian government on its population. Open source research has proven to be a valuable tool in verifying attacks and whether chemical weapons were used.

The Syrian chemical program and the need for accountability

At a time some Syrian officials have started to be trialed for war crimes, the need for accountability has never been greater. Individuals involved in the Syrian chemical program used during the war are Syrian officials but also businessmen who were used as intermediaries and fronts to obtain material and equipment for the Syrian Studies and Research Center. Investigating these proliferation networks has been difficult as establishing the full supply chain can be complex. A few investigations led by Syrian Archive, Bellingcat, C4ADS and Open Society Justice Initiative were published here and there on chemical weapons supply chains.

Proposing an open source research framework to detect a proliferation risk

On this occasion OpenFacto wanted to understand if an open source research framework could be created in order to detect proliferating companies supplying the Syrian Studies and Research Center. To test this framework we took two existing cases that were brought to the French and US justices for their alleged participation to the Syrian Chemical Weapon Program. OSINT research can establish risk levels for the Houranieh and EKT networks which can be summarized with the following scorecards.

Main findings

Open source research is a valid tool to establish a risk level associated with an entity suspected of proliferation or to detect high risk entities.

OSINT CAN PROVIDE SUPPORTING CONTEXTUAL INFORMATION. Open source research confirms a number of elements mentioned in both networks:

  • Both networks have an international dimension with front companies outside of Syria
  • What they trade can be established: metal, electronics, security
  • Multiple sources mention these networks seem close to Bashar Al Assad’s entourage and the SSRC
  • There is an history of customs inspection and/or sanction enforcement in US jurisdiction. 

THE IMPORTS POSE A HIGH RISK OF BEING USED FOR PROLIFERATION. Open source research gathers circumstantial evidence which indicates the items traded and the destination of Syria should have triggered enhanced customs inspections. 

NETWORK RESILIENCE. Both networks continue to operate to the present day. Despite asset freezes and sanctions they have demonstrated resilience to access international markets. 

SOCIAL MEDIA PLATFORMS USED FOR CREDIBILITY AND PUBLICITY. The Houranieh network, but mostly the EKT network, have been using Western social media platforms to create business accounts – ‘Pages’ – in order to promote their brand, products and generate potential sales leads. These social media accounts have been used as a resiliency tool to overcome domain name suppression. 

GAPS IN GLOBAL EXPORT CONTROL SYSTEM AND MEASURES ENFORCEMENT. High risk trade entities previously investigated for their contribution to a proliferation program continue to have access to international industrial markets and financial markets to make payments. It demonstrates a gap between several jurisdictions regarding export control systems. It also shows a lack of coordination and communication between the EU and national jurisdictions. Finally it shows a disjointed international effort to enforce measures against proliferating entities.

Methodology and Limits for investigating potential supply chain proliferation networks

Proliferation mainly involves the transfer and export of technology, goods, software, services or expertises that could be used in nuclear, chemical or biological weapon-related programmes and obviously poses a significant threat to security. Tracking proliferation networks and financing has been proven difficult because transactions take place within a normal business setting. 

The purpose of this project is to demonstrate the effectiveness of open-source research as a first and easily accessible tool to use in order to evaluate a proliferation risk associated with entities and goods traded.  

Financial organizations combating money laundering, terrorist financing and proliferation financing like the FATF – the Financial Action Task Force – have set up indicators to detect financing of proliferation to become better at flagging and characterising proliferation networks. These indicators often includes some the concepts which can be researched using OSINT:

  • The jurisdiction where the trades are taking place
  • The type of items traded
  • The legal form of the company proceeding to the trade and where it is incorporated
  • Links between several companies and/or the use of a broker
  • Discrepancies between the company’s activities and goods traded
  • Discrepancies between the type of goods imported and the technical level of their final destinations
  • The nationality of the company’s directors
  • The final destination of the goods
  • The ultimate beneficiary of the transaction or its likelihood

Our step by step approach 

This research project started from the information published by the French Authorities mentioning individuals’ names, dates of birth and corporate entities to the reconstitution of suspicious import transactions. The following research steps were taken:

  1. Researching sanctioned individuals and corporate entities digital footprint online and the links existing among them. 
  2. Identification of some of the companies’ suppliers
  3. Identification of the type of equipment, material or products imported. 
  4. Assessing the risk of proliferation: low, medium and high

Type of sources used in this report

A wide range of sources were used for research purposes in this report. They include: social media, press articles, academic reports, commercial databases and corporate registries, data obtained from bills of lading, leaked data from Syrian administration, online website analyzing tools. 

Investigating a proliferation network

Investigating a proliferation network is difficult as it takes the appearance of a normal business transaction. In this report we try focusing on several part of the transaction process:

  • the network of companies used to buy equipment and material
  • the link between this network and strategic governmental bodies in a red flag jurisdiction
  • the ultimate buyer if it appears
  • the type of goods which are bought 
  • the suppliers 

Researching corporate entities that may circumvent sanctions

Most of the corporate entities presented in this report can be verified by accessing commercial registries or databases, either for free or a small fee. However Syria does not provide online access to commercial corporate registries. The authors had to rely on multiple concordant sources to verify the existence of Syrian entities: emails, websites, addresses, mentions in local media, mention in official sources or social media.  

Researching import/export data

To identify the type of goods which are shipped, the suppliers involved and the corporate entities used by the network we relied on import/export data to get shipment data. These shipment data are extracted from bills of lading. A bill of lading is a standard document required to be issued by the shipper to identify the nature, quantity, quality of the goods. Usually these data indicate the supplier’s name, (air) port of origin, type of goods and quantity, consignee – the company receiving the goods – and (air) port of arrival. 

The goods are often referenced using a HS code – the Harmonized Commodity Description and Coding System. These codes are product classification codes used by  all the members of the World Customs Organization (WCO) to classify goods for customs purposes. While they do not indicate the exact product nor its specifications, it gives its good category. 

Shipment data providers like Panjiva or ImportGenius source the data directly to countries’ customs bureau or data brokers. Not all countries are available: China offers only a partial data set.

Researching equipment or material imported in cases of sanction circumventions: establishing a risk level

Dual-use items are goods, software and technology that can be used for both civilian and military applications. It does include raw material like certain types of steel or specific chemicals. Investigating such items is challenging as their official descriptions in available customs related documents are limited. These types of sources give an indication of risk level associated with an item.Consulting custom specialists can be helpful.

What about the beneficial owner?

According to the FATF, the beneficial owner is “the natural person who ultimately owns or controls and/or the natural person on whose behalf a transaction is being conducted”. In our two case studies the beneficial owner is known – the Syrian Scientific Studies and Research Center (SSRC) – and is the cause for the network of companies to be put on the French sanction list.

Some limits: no smoking gun but a risk level

Open sources have been used to gather information about a direct or indirect relation between the SSRC and the two different entities. This report does not offer definitive conclusions nor smoking gun evidence regarding Syria’s chemical weapon program. It captures a snapshot of the procurement chain which was in the public domain at the time of the research. Data available regarding the type of equipment sent are generic and do not replace a visual confirmation. Secondly, OpenFacto has had no access to data describing financial flows: there is nothing available in the public domain to characterize the financing aspect of proliferation networks. Thirdly, while OpenFacto uses official corporate records to verify some corporate holdings and commercial relationships, this information only represents a snapshot of corporate activity at a given time: records may not be updated regularly, may not be consistent or wholly accurate, and may not have the same standards of reporting across jurisdictions. Finally, the report should serve as a basis to raise further questions, identify gaps and launch deeper investigations into the cases.

Download our report

Our report is available for download in English here and an executive summary is provided in French [to come].

A decade into the Syrian war: OSINT as a tool to investigate Syria’s chemical program supply chain

Dix ans de guerre en Syrie : l’OSINT comme outil d’enquête sur la chaîne d’approvisionnement du programme chimique syrien

La guerre en Syrie a été l’un des conflits les plus violents de cette dernière décennie. Conflit hyper médiatisé, il a fourni beaucoup de matière à la recherche en sources ouvertes qui a décollé. Plusieurs enquêtes ont pu confirmer l’utilisation d’armes chimiques par le gouvernement syrien sur sa population. La recherche open source s’est avérée être un outil précieux pour vérifier l’occurrence des attaques et si des armes chimiques avaient été utilisées.

Le programme chimique syrien et la nécessité d’établir une responsabilité

Alors que certains responsables syriens ont commencé à être jugés pour crimes de guerre, le besoin d’établir une responsabilité n’a jamais été aussi grand. Les individus impliqués dans le programme chimique syrien utilisé pendant la guerre sont des officiels syriens mais aussi des hommes d’affaires qui ont servi d’intermédiaires et d’écrans pour obtenir du matériel et des équipements à fournir au Centre d’études et de recherche syrien (CERS). L’enquête sur ces réseaux de prolifération est difficile et établir la chaîne d’approvisionnement complète peut être complexe. Quelques enquêtes menées par Syrian Archive, Bellingcat, C4ADS et Open Society Justice Initiative ont été publiées ici etsur les chaînes d’approvisionnement en armes chimiques.

Proposer une grille analytique de recherche en sources ouvertes pour détecter un risque de prolifération

A cette occasion, OpenFacto a voulu comprendre si une grille analytique de recherche en sources ouvertes pouvait être créée afin de détecter la prolifération des entreprises alimentant le CERS. Pour tester cette grille, nous avons pris deux cas existants qui sont passés devant les juges français et américains pour leur prétendue participation au programme d’armes chimiques syrien. La recherche OSINT établit des niveaux de risque pour les réseaux Houranieh et EKT qui peuvent être résumés avec les scorecards suivantes.

L’attribut alt de cette image est vide, son nom de fichier est 3VFfsDjD6SMY_qCEIa23YY8KhhMpFN4RkPTkBoCDLnbrgX7t80kC1Hp_-ZP46szfOJqRPR_sMTKpFF9661duooD3ccD70Y8A6oBYvxEniQTqL1Nsw6v3zdgdIbM67g=s0.
L’attribut alt de cette image est vide, son nom de fichier est 8eb2SobVNdVLaJvBjkixz-uitLyqMWLpvGZz0FUDZ8jQq_OnWaPv-DTieQO6jxe95wcU2sj3IwWoDOXscOozURIJg7uhNRQL_LLbsBn5_YtdqUX1OkyV7sR1TsYXoA=s0.

Points clefs

La recherche open source est un outil utile pour établir un niveau de risque associé à une entité suspectée de prolifération ou pour détecter des entités à haut risque.

L’OSINT PEUT FOURNIR DES INFORMATIONS CONTEXTUELLES. La recherche en sources ouvertes confirme un certain nombre d’éléments mentionnés dans les deux réseaux :

  • Les deux réseaux ont une dimension internationale avec des sociétés écrans en dehors de la Syrie
  • Ce qu’ils commercent peut être établi : métal, électronique, sécurité
  • De multiples sources mentionnent que ces réseaux semblent proches de l’entourage de Bachar Al Assad et du CERS
  • Il existe des antécédents d’inspection douanière et/ou d’application de sanctions américaines.

LES IMPORTATIONS REPRÉSENTENT UN RISQUE ÉLEVÉ D’ÊTRE UTILISÉES À DES FINS DE PROLIFÉRATION. La recherche en sources ouvertes établit un faisceau de preuves qui indiquent que les biens exportés et la destination finale de la Syrie auraient dû déclencher des inspections douanières renforcées.

RÉSILIENCE DU RÉSEAU. Les deux réseaux continuent d’être opérationnels à ce stade. Malgré des gels d’avoirs et des sanctions, ils ont fait preuve de résilience pour accéder aux marchés internationaux.

LES PLATEFORMES DE RÉSEAUX SOCIAUX SONT UTILISÉES POUR LA CRÉDIBILITÉ ET LA PUBLICITÉ. Le réseau Houranieh, mais surtout le réseau EKT, ont utilisé des plateformes de réseaux sociaux occidentales pour créer des comptes d’entreprise – des « Pages » – afin de promouvoir leur marque, leurs produits et de générer des ventes potentielles. Ces comptes sur les réseaux sociaux ont été utilisés comme outil de résilience pour surmonter la suppression des noms de domaine.

DES LACUNES EXISTENT AU NIVEAU INTERNATIONAL DANS LE CONTRÔLE DES EXPORTATIONS ET L’APPLICATION DES MESURES. Ces entités commerciales à haut risque ayant déjà fait l’objet d’une enquête pour leur contribution à un programme de prolifération continuent d’avoir accès aux marchés industriels et financiers internationaux pour effectuer des paiements. Cela démontre l’écart entre plusieurs juridictions en ce qui concerne les systèmes de contrôle des exportations. Cela montre également un manque de coordination et de communication entre l’UE et les juridictions nationales. Enfin, cela montre un effort international désordonné pour faire appliquer des mesures contre ces entités proliférantes.

Méthodologie et limites pour étudier les réseaux proliférants potentiels de chaîne d’approvisionnement

La prolifération implique principalement le transfert et l’exportation de technologies, de biens, de logiciels, de services ou d’expertises qui pourraient être utilisés dans des programmes liés aux armes nucléaires, chimiques ou biologiques et constitue évidemment une menace importante pour la sécurité. Surveiller des réseaux de prolifération et leur financement s’avère difficile car les transactions ont lieu dans un cadre commercial normal. L’objectif de ce projet est de démontrer l’efficacité de la recherche en sources ouvertes comme première ligne d’enquête pour évaluer un risque de prolifération associé aux entités et aux biens échangés. Les organismes financiers luttant contre le blanchiment d’argent, le financement du terrorisme et le financement de la prolifération comme le GAFI – le Groupe d’action financière – ont mis en place des indicateurs pour détecter le financement de la prolifération pour mieux repérer et caractériser les réseaux de prolifération. Ces indicateurs incluent souvent certains des concepts qui peuvent être recherchés en sources ouvertes :

  • La juridiction où se déroulent les transactions
  • Le type de biens exportés/importés
  • La forme juridique de la société commerciale et où elle est constituée
  • Liens entre plusieurs entreprises et/ou recours à un courtier/intermédiaire
  • Les écarts entre les activités de l’entreprise et les biens vendus/achetés
  • Des écarts entre le type de marchandises importées et le niveau technique de leurs destinations finales
  • La nationalité des dirigeants de la société
  • La destination finale des marchandises
  • Le bénéficiaire ultime de la transaction ou sa probabilité

Notre approche étape par étape

Ce projet de recherche a démarré sur la base des informations publiées par les autorités françaises mentionnant les noms, dates de naissance et personnes morales et personnes physiques jusqu’à la reconstitution des importations suspectes. Les étapes de recherche suivantes ont été suivies :

  1. Recherche en ligne de l’empreinte numérique des personnes physiques et morales sanctionnées et des liens existant entre elles.
  2. Identification de certains fournisseurs des entreprises
  3. Identification du type d’équipement, de matériel ou de produits importés.
  4. Évaluer le risque de prolifération : faible, moyen et élevé

Type de sources utilisées dans ce rapport

Un grand nombre de sources ont été utilisées à des fins de recherche dans ce rapport. Elles comprennent : les réseaux sociaux, les articles de presse, les rapports universitaires, les bases de données commerciales et les registres d’entreprises, les données obtenues à partir des connaissements, les fuites de données de l’administration syrienne, les outils d’analyse de sites Web en ligne.

Enquêter sur un réseau de prolifération

L’enquête sur un réseau de prolifération est difficile car elle prend l’apparence d’une transaction commerciale normale. Dans ce rapport, nous essayons de nous concentrer sur plusieurs parties du processus de transaction :

  • le réseau d’entreprises utilisé pour acheter des équipements et du matériel
  • le lien entre ce réseau et les instances gouvernementales stratégiques dans une juridiction de risque élevé
  • l’acheteur ultime s’il apparaît
  • le type de biens achetés
  • les fournisseurs

Recherche de personnes morales susceptibles de contourner les sanctions

La plupart des personnes morales présentées dans ce rapport peuvent être vérifiées en accédant à des registres commerciaux ou à des bases de données, soit gratuitement, soit pour une somme modique. Cependant, la Syrie ne fournit pas d’accès en ligne aux registres des sociétés commerciales. Les auteurs ont dû s’appuyer sur de multiples sources concordantes pour vérifier l’existence d’entités syriennes : e-mails, sites Web, adresses, mentions dans les médias locaux, mention dans les sources officielles ou les médias sociaux.

Recherche de données import/export

Pour identifier le type de marchandises expédiées, les fournisseurs impliqués et les entités commerciales utilisées par le réseau, nous nous sommes appuyés sur les données d’import/export pour obtenir les données d’expédition. Ces données d’expédition sont extraites des connaissements. Un connaissement est un document standard qui doit être délivré par l’expéditeur pour identifier la nature, la quantité, la qualité des marchandises. Ces données indiquent généralement le nom du fournisseur, le port (aérien) d’origine, le type et la quantité de marchandises, le destinataire – la société qui reçoit les marchandises – et le port (aérien) d’arrivée. Les marchandises sont souvent référencées à l’aide d’un code HS – le système harmonisé de désignation et de codification des marchandises. Ces codes sont des codes de classification des biens utilisés par tous les membres de l’Organisation mondiale des douanes (OMD) pour classer les marchandises à des fins douanières. S’ils n’indiquent pas le produit exact ni ses spécifications, cela donne sa catégorie. Les fournisseurs de données d’importation/exportation comme Panjiva ou ImportGenius se fournissent directement auprès de bureaux de douanes ou de vendeurs locaux de données. Tous les pays ne sont pas disponibles : la Chine ne propose qu’un jeu de données partiel.

Recherche d’équipements ou de matériels importés en cas de contournement des sanctions : établir un niveau de risque

Les biens à double usage sont des biens, des logiciels et des technologies qui peuvent être utilisés à la fois pour des applications civiles et militaires. Il comprend des matières premières comme certains types d’acier ou des produits chimiques spécifiques. Il est difficile d’enquêter sur de tels biens car leurs descriptions officielles dans les documents douaniers disponibles sont limitées. Ces types de sources donnent une indication du niveau de risque associé à un bien. La consultation de spécialistes douaniers peut être utile.

Qu’en est-il du bénéficiaire effectif ?

Selon le GAFI, le bénéficiaire effectif est « la personne physique qui détient ou contrôle en définitive et/ou la personne physique pour le compte de laquelle une transaction est effectuée ». Dans nos deux études de cas, le bénéficiaire effectif est connu – le Centre syrien d’études et de recherches scientifiques (CERS) – et est à l’origine de l’inscription du réseau d’entreprises sur la liste des gels d’avoir français.

Quelques limites : pas de flag’ mais un niveau de risque

Des sources ouvertes ont été utilisées pour recueillir des informations sur une relation directe ou indirecte entre le CERS et les deux entités différentes. Ce rapport n’offre pas de conclusions définitives ni de preuves irréfutables concernant le programme d’armes chimiques de la Syrie. Il donne un instantané de la chaîne d’approvisionnement qui était dans le domaine public au moment de la recherche. Les données disponibles concernant le type d’équipement envoyé sont génériques et ne remplacent pas une confirmation visuelle. Deuxièmement, OpenFacto n’a pas eu accès aux données décrivant les flux financiers : il n’y a rien de disponible dans le domaine public pour caractériser l’aspect financement des réseaux de prolifération. Troisièmement, alors qu’OpenFacto utilise les registres officiels de l’entreprise pour vérifier certaines participations et relations commerciales, ces informations ne représentent qu’un instantané de l’activité de l’entreprise à un moment donné : les registres peuvent ne pas être mis à jour régulièrement, peuvent ne pas être cohérents ou totalement exacts, et peuvent ne pas avoir les mêmes normes de déclaration dans toutes les juridictions. Enfin, le rapport devrait servir de base pour soulever d’autres questions, identifier les lacunes et lancer des enquêtes plus approfondies sur les cas.

Téléchargez notre rapport

Notre rapport est disponible en téléchargement en anglais ici et un résumé est disponible en français [à venir]

La gazette syrienne

La gazette syrienne

extrait de la Gazette Syrienne

A l’occasion de ses 20 ans le site The Syria Report a lancé deux rubriques gratuitement accessibles: la Gazette Officielle du gouvernement syrien et la rubrique Terrain Logement Propriété.

Ce site web connu pour publier des informations très précises sur l’actualité des entreprises en Syrie et des lois va faire le bonheur de la recherche OSINT: le Syria Report a fait l’acquisition de copie des publications de la Gazette depuis 1920.

Le sommaire de chaque publication est traduit en anglais pour faciliter les recherches

Un très beau projet d’une grande qualité: bravo!

OpenFacto forme 20 journalistes du réseau Cenozo au Burkina Faso

OpenFacto forme 20 journalistes du réseau Cenozo au Burkina Faso

OpenFacto s’est rendu à Ouagadougou (Burkina Faso) du 19 au 24 mars 2021 pour former vingt journalistes d’investigation burkinabé, maliens et nigériens membres du réseau CeNoZo.

Le principal objectif de la CENOZO, est de contribuer au renforcement des capacités des journalistes d’investigation ouest-africains à travers des formations, du soutien financier et technique à l’investigation dans divers domaines tels que la corruption, le crime organisé, la mauvaise gouvernance, les violations des droits humains et l’environnement.

La CENOZO, a également pour objectif d’éditer des enquêtes, de faire du mentoring et du réseautage aux journalistes d’investigation ainsi que de porter une assistance juridique à ceux poursuivis pour leur travail. Pour atteindre ses objectifs, la CENOZO s’est entourée de plusieurs partenaires de divers horizons.

Cette formation d’une durée de 4 jours, montée en un temps record par CeNoZo (un mois et demi, en temps de pandémie…) visait à couvrir les bases techniques et juridiques de la recherche en sources ouvertes et d’initier et perfectionner les participants à l’usage des principaux moteurs de recherches et aux réseaux sociaux

Évidemment, une large part était consacrée à la géolocalisation et à la chronolocalisation sous toutes ces formes, le tout sur la base d’exemples très pratiques.

Outre le contenu de la formation, dense, ce type de manifestation reste également pour chaque journaliste, un excellent moyen de développer et cultiver son réseau de connaissance et de travailler en mode collaboratif.

Nous espérons que cet atelier est le premier d’une longue série de collaborations avec CeNoZo!

Merci donc à Arnaud et toute son équipe (Isabelle, Zalissa et Odette, notamment!!!) à Ouagadougou, ainsi qu’à Marthe Rubio de GIJN, pour avoir permis l’organisation de cet évènement!

Sur l’étagère – We are Bellingcat, an intelligence agency for the people

Sur l’étagère – We are Bellingcat, an intelligence agency for the people

A l’occasion de la sortie du livre « We are Bellingcat, an intelligence agency for the people », Eliot Higgins, fondateur du collectif Bellingcat, fait le bilan de plus de dix ans de recherche en sources ouvertes au travers de son expérience personnelle et des enquêtes qui ont fait la réputation du collectif. Pour OpenFacto, il a accepté de répondre à quelques unes de nos questions afin de prolonger la réflexion.

Eliot Higgins livre dans un ouvrage engagé ses débuts dans la recherche en sources ouvertes mêlant engagement personnel et curiosité pour comprendre ce qu’il se passe, scandale des écoutes téléphoniques des tabloids anglais et début des printemps arabes. Vérifier où les événements ont lieu pour attester de leur véracité et suivre les journalistes sur place qui déversent en ligne sur Twitter leur carnet de notes qui ne finiront pas dans l’édition du lendemain. La recherche OSINT de l’époque est finalement simple et souvent autour de la géolocalisation. L’information est abondante et des conflits comme la Syrie ou la révolution en Libye sont documentés comme jamais. Suivre ce qu’il se passe ailleurs en étant en ligne quand on ne peut pas accéder à la ligne de front. Connu pour ses techniques de géolocalisation, Bellingcat a su néanmoins évoluer au fil des enquêtes en utilisant d’autres techniques, notamment l’exploitation de leaks. A la question de savoir si l’utilisation des leaks n’a pas finalement rendu leurs enquêtes moins pertinentes, Higgins nous répond la chose suivante:

« Au cours de notre enquête sur les empoisonnements de Skripal, il est apparu clairement que les informations de l’État policier russe recueillies sur ses propres citoyens étaient pratiquement librement disponibles en ligne par l’intermédiaire de courtiers vendant les informations sur des forums Web publics. Compte tenu de la nature extrême de l’affaire, nous avons discuté de l’utilisation de ces informations dans le cadre de notre enquête car il y avait un manque de preuves open source et les circonstances (empoisonnement dans une ville anglaise à l’aide d’un agent neurotoxique) étaient si extrêmes. Cela nous a conduit à découvrir la véritable identité de ces assassins, nous a conduit à découvrir plus d’empoisonnements par la même unité du GRU en Europe, découvrant finalement le programme d’armes chimiques secrètes de la Russie, et l’équipe du FSB derrière l’empoisonnement d’Alexey Navalny et d’autres assassinats ratés et réussis. en Russie. Nous avons également comparé les informations que nous avons collectées à plusieurs sources indépendantes et à des sources ouvertes dans la mesure du possible, ainsi qu’à l’utilisation de sources ouvertes pour obtenir des informations supplémentaires qui ont contribué à l’enquête. Nous n’utiliserions ces sources que dans les circonstances les plus extrêmes, et étant donné qu’il est probable que nos enquêtes aient empêché de futures tentatives d’assassinat par les mêmes groupes, nous pensons que le jeu en valait la chandelle« 

Ce ton engagé est donné dès le premier chapitre puisqu’il attribue l’essor de la recherche en sources ouvertes à la disponibilité de l’information et des technologies et à la défiance grandissante du citoyen lambda vis à vis des media traditionnels. Cette mise en perspective de la genèse de Bellingcat jette les bases de ce que sera le monde dix ans plus tard entre campagnes de désinformation et documentation citoyenne et numériques des conflits armés et sociaux.

Il résume l’essentiel de la philosophie de l’organisation et en est l’illustration parfaite lui-même: la recherche en sources ouvertes n’a rien à voir avec vos diplômes. Votre réputation est égale à vos résultats. La méthode Bellingcat enseigné dans les ateliers de l’organisation (et via lesquels les fondateurs de OpenFacto se sont rencontrés) est au coeur de la réussite du collectif. A la question de ce qui est au coeur de la recherche en sources ouvertes, Higgins nous répond sans hésiter:

« L’état d’esprit, la méthode sont définitivement au cœur, vous pouvez avoir tous les outils du monde, mais si vous n’êtes pas assez motivé pour vous asseoir devant un écran pendant des heures à la fois en regardant à des milliers de pages Web, de photos ou d’images vidéo, à la recherche de ce petit détail qui parfait votre compréhension, alors vous aurez vraiment du mal. C’est utile d’être passionné pour ce que vous faites, soit par votre sujet, soit par le processus lui-même, mais attention à ce que cela ne remplace pas votre objectivité. Laisser votre passion l’emporter sur votre objectivité est le premier pas dans le monde des complots« .

Higgins revient ensuite sur la constitution de Bellingcat et son mode de fonctionnement autour des enquêtes phares du collectif: MH17, la Syrie et Shripal. Au-delà des anecdotes qui jalonnent ces enquêtes devenues célèbres c’est toute la création d’un écosystème autour de la recherche OSINT que décrit l’auteur et son évolution au fil des années. Il revient notamment sur l’impact des enquêtes du groupe.

« J’ai travaillé avec la CPI et d’autres organes de justice sur la question de l’utilisation de preuves open source dans un contexte juridique. Cela présente des défis uniques, mais aussi des opportunités uniques. L’un des plus grands défis est l’archivage du matériel partagé à partir des zones de conflit. Dans le cas de la Syrie, des organisations telles que les Syrian Archives ont plus d’un million de photographies et de vidéos individuelles du conflit, de sorte que les défis de la gestion des données seuls sont vastes, en particulier lorsque ces données doivent être consultables par les enquêteurs parfois des années, voire des décennies après. Cependant, beaucoup de progrès ont été accomplis, et je pense qu’il ne faudra pas longtemps avant que nous commencions à voir de plus en plus de preuves et d’analyses open source utilisées au tribunal« .

Eliot Higgins décrit aussi au fil des pages la pression exercée par les gouvernements exposés dans les enquêtes du groupe, notamment la Russie: des tentatives de décrédibilisation publique aux actions offensives. OpenFacto lui a demandé comment Bellingcat a su gérer jusqu’à présent les tentatives de leur faire passer de la fausse information

« C’est généralement si flagrant que c’est facile à repérer et que l’effort est généralement très faible. Même lorsque la Russie a commencé à modifier les archives du gouvernement pour nous empêcher d’identifier plus d’espions, cela n’a fait qu’aider, car nous pouvions déterminer quelles données avaient été modifiées à l’aide d’autres sources, et donc montrer que les données étaient modifiées à un niveau élevé, ce qui indique que les services de sécurité russes étaient impliqués. Ils auraient tout aussi bien pu mettre une grande lumière clignotante sur les données en disant « QUELQUE CHOSE DE VRAIMENT INTÉRESSANT SE PASSE ICI« .

Dans les derniers chapitres de son livre, il évoque les mesures de sécurité que certains états ont pu prendre en réaction à certaines enquêtes comme l’a également remarqué OpenFacto.

« Dans le cas de la Russie, notre travail a incité les autorités à adopter des lois pour tenter d’empêcher la publication du type d’informations que nous utilisons, par exemple des photos personnelles de soldats russes que nous avons utilisées pour enquêter sur l’implication de la Russie dans la destruction du MH17 et plus généralement sur le conflit en Ukraine. Nous pensons qu’il est tout à fait naturel que les gouvernements qui n’ont pas de bonnes intentions essaient de couvrir leurs traces, et la seule façon de prouver les arguments que nous essayons de faire valoir, souvent contre des acteurs qui feront de fausses allégations sur nos sources et nos méthodes est d’être aussi transparent que possible« .

Le dernier chapitre du livre offre une réflexion prospective mais aussi évoque quelques projets moins connus du collectif. Higgins revient pour nous un projet qui lui tient particulièrement à coeur.

« Une partie de notre travail sur la justice et la responsabilité légale a été de travailler avec le Global Legal Action Network et d’autres partenaires pour développer un processus d’archivage et d’enquête open source dans le but d’utiliser les informations collectées et analysées dans des affaires juridiques. C’est un processus continu, mais notre travail sur le Yémen qui met en oeuvre cette méthodologie a déjà été utilisé, et nous continuons à affiner et à améliorer le processus. Je pense que pour beaucoup de gens qui s’impliquent dans une enquête open source, la recherche des responsables est un facteur de motivation important, et je suis vraiment heureux que nous puissions contribuer à y parvenir d’un point de vue pratique« .

We Are Bellingcat: An Intelligence Agency for the People écrit par Eliot Higgins est disponible ici