The GRU’s galaxy of Russian-speaking websites

The GRU’s galaxy of Russian-speaking websites

Since 2016, numerous studies have shown Russian intelligence services’ involvement in online information operations. Case studies on the Internet Research Agency (IRA), Secondary Infektion , and the Ghostwriter campaigns shed light on the methods allegedly employed by the Russian government to influence and discredit beyond its borders.
However, little research has focused on Russian Intelligence’s control over the domestic information space. OpenFacto discovered and mapped more than one thousand Russian-speaking websites linked to the GRU, Russian military intelligence, to reconstruct their strategy and objectives, in a landscape already saturated with media loyal to the Kremlin.


OpenFacto’s study revealed that InfoRos, a news agency run by the GRU, began expanding into local news around 2012 throughout Russia. By registering no fewer than 1,341 digital « news portals » attached to cities, towns, districts, or even villages, InfoRos has created a network of amplifiers that surreptitiously broadcast the Russian government’s preferred narrative. The websites are primarily empty shells that regularly copy and paste innocuous content. These sites publish InfoRos content at regular intervals, which has a pro-government or anti-Western tone. The sites appear to relay an editorial line, which appearances suggest would be defined by the GRU, whose mandate is theoretically limited to outside the Russian Federation.


The report below presents OpenFacto’s methodology for discovering the websites and the hypotheses drawn from our analysis of the registered domain names, the Russian localities they target, and the chronology of their creation date. The main objective is to understand the objectives pursued by the GRU through InfoRos – especially in the digital space. To do so, we will first analyse InfoRos’ identity and its unique position within the Russian online « informational control » ecosystem.

This study will also introduce some tools and services to explore the « Ru.net  », a Russian and Russian-speaking segment of the Internet still little researched.

Download the report.

Download the domains’ list (csv file).

Update : 01-28-2022, correction of typos.

Rapport – La galaxie des sites russophones du GRU

Rapport – La galaxie des sites russophones du GRU





Depuis 2016, de nombreuses études suggèrent l’implication des services de renseignement russes dans des opérations en ligne de manipulation de l’information. De l’Internet Research Agency (IRA) aux campagnes Secondary Infektion et Ghostwriter, les méthodes supposément employées par le gouvernement russe pour influencer et décrédibiliser en-dehors de ses frontières ont été largement documentées. Toutefois, peu semblent encore avoir eu l’occasion d’alerter sur les efforts du renseignement extérieur russe pour contrôler l’audience intérieure de la Russie. Après avoir découvert plus d’un millier de sites Internet russophones liés au GRU, le renseignement militaire russe, OpenFacto les a cartographié pour reconstituer leur stratégie et objectifs réels, dans un paysage déjà saturé par les médias fidèles au Kremlin.





L’étude de ces sites révèle qu’InfoRos, une agence de presse servant de société-écran au GRU, est employée depuis au moins 2012 pour tenter de maîtriser les sources d’information locales dans l’ensemble de la Russie. En enregistrant au moins 1.341 « portails d’information » numériques rattachés à des villes, agglomérations, districts ou même villages, InfoRos a créé un réseau centralisé de porte-voix diffusant subrepticement la rhétorique du gouvernement russe. Si ce réseau de coquilles vides se contente majoritairement de copier-coller des contenus anodins, il distille en effet à échéance régulière des articles pro-gouvernementaux ou anti-occidentaux provenant d’une même source, InfoRos. Les sites étudiés ne seraient donc que des caisses de résonance relayant une ligne éditoriale définie par le GRU, dont le mandat se limite théoriquement à l’extérieur de la Fédération de Russie.





Le rapport ci-dessous présente la méthode de découverte de ces sites et les hypothèses qui peuvent être tirées de l’analyse des noms de domaines enregistrés, des localités russes qu’ils ciblent, et de la chronologie de leur création. L’objectif principal est de pouvoir en inférer les objectifs poursuivis par le GRU InfoRos – en particulier dans l’espace numérique. Cette étude sera également l’occasion de présenter certains outils et services permettant d’explorer le « Ru.net », ce segment russe et russophone d’Internet encore peu connu. Pour ce faire, nous reviendrons tout d’abord sur l’identité d’InfoRos, ainsi que sur sa place singulière dans l’écosystème russe de « contrôle informationnel » en ligne.

Edition du 19/01/2022 :
Ajout du fichier csv contenant la liste des domaines :

Export de Telegram au format csv – introduction à BeautifulSoup

Export de Telegram au format csv – introduction à BeautifulSoup


Quand les petites mains ne suffisent plus pour parcourir des quantités monstrueuses de données.
Quand les expressions régulières sont hors-jeu face au html.
Quand l’agrégation de données dans un beau fichier csv ne semble qu’un rêve lointain.

BeautifulSoup (et Python dans sa globalité) est là !

Il y a quelques temps, la question de comment récupérer l’historique des messages Telegram pour les transférer dans un fichier au format csv a été posée par un des membres d’OpenFacto. Si la réponse vous intéresse, et que vous souhaitez apprendre quelques bases de programmation Python en chemin, vous êtes sur le bon article.

*****
TL;DR : voir le premier paragraphe pour l’export Telegram, le code python html → csv se trouve à la fin.
*****

Export de l’historique Telegram

La version bureautique de Telegram propose une fonctionnalité d’export des messages :

Export de l’historique Telegram

Il est possible de sélectionner les éléments à exporter parmi les messages texte seuls, photos, vidéos, messages vocaux, etc.

Options pour l’export du salon de discussion


A l’issue du téléchargement, on obtient un ensemble de fichiers au format html contenant l’historique récupéré. 
Vous vous apprêtez à sortir vos meilleures expressions régulières pour parser ces fichiers ? Retirez immédiatement vos doigts de ce clavier, malheureux ! Les expressions régulières, aussi élégantes soient-elles, ne sont pas adaptées pour parser du html (voir notamment cette fameuse réponse sur StackOverflow). Oui, c’est réalisable, mais le format d’une page html fait qu’en général vous passerez plus de temps à trouver la bonne regex qui matche la bonne balise à chaque fois, que si vous utilisiez un outil créé expressément pour cette tâche.
Ici nous allons faire usage de la librairie Python BeautifulSoup.

Quelques bases pour Python et BeautifulSoup

En programmation, il est recommandé d’utiliser un environnement de développement intégré (IDE en anglais), par exemple VSCodium, logiciel libre, ou Pycharm, spécifique à python. Un IDE est un éditeur de texte exclusivement utilisé pour coder, qui permet par exemple la coloration syntaxique du code, et facilite son écriture en soulignant notamment les librairies non installées, les variables non déclarées/mal orthographiées, etc. Oui, au vu de la taille du code, cela peut s’écrire bêtement sous Vim (ce qui a d’ailleurs été le cas). Cependant, à la longue, un IDE est objectivement appréciable. 

Pour pouvoir utiliser une librairie comme csv, permettant de créer/manipuler un fichier csv, on utilise le mot clé import suivi du nom de la librairie. Nous avons également besoin de os, pour la manipulation de noms de fichiers et dossiers. Et pour BeautifulSoup il suffit d’importer une partie seulement de la librairie, à savoir bs4. Si la librairie n’est pas déjà installée sur l’ordinateur, on l’installe via la commande pip install beautifulsoup4, à taper soit dans un terminal classique, soit dans le terminal intégré à l’IDE.

Note : il s’agit d’une simple copie d’écran. Le code complet se trouve à la fin de l’article.


Nous partons ici du postulat que nous plaçons le code dans un fichier (par exemple telegram.py) se trouvant dans le même dossier que l’ensemble des fichiers html récoltés. Nous définissons donc la variable directory, à laquelle on assigne le chemin vers le dossier contenant le fichier python (et donc les fichiers html voisins).

Ensuite, pour créer un tableau csv, avec des lignes, des colonnes, nous allons d’abord créer une liste python (cf. [ ], qui est une liste vide), elle-même constituée de listes : par exemple le n-ième élément de cette liste correspond à la n-ième ligne du tableau, et est implémenté sous la forme d’une liste  où le premier élément correspond à la première colonne, le deuxième élément à la deuxième colonne, etc.. En résumé, un tableau = une liste de listes.

Pour une question d’esthétisme et de clarté, nous allons nommer nos colonnes. A cette fin, nous ajoutons (.append()) à la liste (vide) le nom de chaque colonne, la première ligne des fichiers csv étant généralement utilisée pour déterminer les noms des colonnes.


A titre de rappel, Python est un langage faisant usage de l’indentation (tabulation ou quatre espaces) afin de délimiter ses blocs de code (boucle, condition, fonction, classe, etc.). Ici nous allons parcourir (boucle for – ne pas oublier le caractère ‘:’ en fin de ligne, et l’incrémentation de l’indentation) l’ensemble des fichiers contenus dans le dossier directory. Puis si le fichier se termine par l’extension « .html » (condition « if », à nouveau ne pas oublier le caractère ‘:’ et l’incrémentation de l’indentation),  alors on l’ouvre en lecture simple.


Avant de nous plonger dans les fonctions offertes par BeautifulSoup, il faut jeter un œil aux fichiers html pour déterminer les informations que nous souhaitons extraire ainsi que leur emplacement.A titre d’exemple, voilà ce qu’un message Telegram peut donner :

     <div class="message default clearfix" id="message197514">
      <div class="pull_left userpic_wrap">
       <div class="userpic userpic2" style="width: 42px; height: 42px">
        <div class="initials" style="line-height: 42px">
        </div>
       </div>
      </div>
      <div class="body">
       <div class="pull_right date details" title="11.02.2020 09:03:59">
09:03
       </div>
       <div class="from_name">
Toto
       </div>
       <div class="text">
10:03: Hello world !
       </div>
      </div>
     </div>

On voit qu’un message est délimité par des balises <div> qui ont pour classe message default clearfix.
A l’intérieur de chaque message, l’heure et la date de réception par le serveur se trouvent dans une autre balise <div> dont la classe est pull_right date details, plus exactement en tant que valeur de l’attribut title. De manière similaire, l’expéditeur se trouve dans une balise <div> de classe from_name, à la différence que cette fois il s’agit du texte contenu dans la balise et non de la valeur d’un attribut de cette balise. 


Voyons maintenant comment récupérer tout cela avec BeautifulSoup : 

  • Pour récupérer toutes les balises html correspondant à un critère, on utilise la méthode findAll(). Il est possible de spécifier notamment le nom de la balise recherchée et la classe.
  • Si une seule balise doit être récupérée, on utilise la méthode find().
  • Le contenu d’un attribut de balise s’obtient, comme pour un dictionnaire, en spécifiant son nom dans .attrs .
  • Enfn le contenu d’une balise est lisible via .text .

Il s’agit ici d’une partie infinitésimale de toutes les fonctions offertes par BeautifulSoup. Sentez-vous libres de lire la documentation pour en découvrir plus !


On notera dans le code ci-dessous que l’heure et la date ont été séparés dans deux variables distinctes afin de créer deux colonnes toutes aussi distinctes. En outre, une condition a été rajoutée dans la récupération du contenu du message pour gérer un cas spécifique à l’historique étudié lors de l’écriture du code.


La méthode .append() permet d’ajouter une nouvelle colonne à la ligne courante row. Une fois la ligne complète, on l’ajoute à la liste de lignes output_rows.


A noter toutefois que ce code est simplifié au maximum et ne gère pas les erreurs (exceptions) pouvant être levées. Un bon programmeur prendra le temps de vérifier par exemple que la méthode find() ne retourne pas un None – lorsque l’élément cherché n’est pas trouvé – avant d’appliquer une autre méthode sur l’élément retourné, ce qui évitera au programme de planter.


Il ne reste alors plus qu’à écrire le contenu de output_rows dans notre fichier csv. Le fichier peut être ouvert avec le paramètre ‘a’ – et non ‘w’ – si l’on souhaite ajouter (append) de nouvelles données à celles déjà présentes dans le fichier plutôt que d’écraser celles déjà existantes.


Pour faire tourner ce bout de code, il suffit lancer la commande python suivie du nom du fichier (ici telegram.py) dans un terminal, et un fichier output.csv apparaîtra quelques secondes plus tard dans le même répertoire.

Code complet

Ici le code étudié ci-dessus :

from bs4 import BeautifulSoup
import csv
import os

# Placer le script dans le meme repertoire que les fichiers d'historique
directory = os.path.dirname(os.path.realpath(__file__))

# Creation du tableau et des noms de colonnes
output_rows = []
output_rows.append(("Date", "Time", "Sender", "Message"))

for html_file in os.listdir(directory):
    filename = os.fsdecode(html_file)

    if filename.endswith(".html"):
        html = open(filename).read()
        soup = BeautifulSoup(html, features="html.parser")

        msgs = soup.findAll("div", {"class": "message default clearfix"})
        for msg in msgs:
            row = []

            # Date et heure
            time = msg.find("div", {"class": "pull_right date details"}).attrs["title"]
            date, time = time.split()
            row.extend((date, time))

            # Expediteur
            row.append(msg.find("div", {"class": "from_name"}).text.strip())

            # Message
            date_msg = msg.find("div", {"class": "text"}).text
            if ": " in date_msg:
                msg_alone = date_msg.split(": ")[1].strip()
            else:
                msg_alone = date_msg.strip()
            row.append(msg_alone)

            output_rows.append(row)

with open("output.csv", "w") as csv_file:
    writer = csv.writer(csv_file)
    writer.writerows(output_rows)

Le code mis à jour est disponible sur le dépôt GitHub OpenFacto.

Pour aller plus loin

Scraper les internets

Si Telegram a pris le parti de faire usage du format html pour stocker ses historiques, il n’est pas le seul à l’utiliser :  Internet regorge de pages html ! (ce qui est sans doute le principal cas d’application visé au départ par BeautifulSoup, plus que les historiques Telegram…)

Alors pourquoi ne pas employer ces nouvelles connaissances en vue de parcourir (on dira « scraper ») la toile mondiale ?
La seule différence notable est qu’il faudra dans un premier temps récupérer la page html qui nous intéresse. Python met à disposition la librairie request, qu’il suffit d’importer comme précédemment avec le mot clé import. Nous obtenons le contenu de la page via la méthode request() à laquelle nous passons la variable contenant l’url ainsi que, astuce de sioux, un objet headers. Celui-ci permettra de contourner certaines vérifications qui s’assurent que les requêtes sont bien réalisées par un navigateur et non un robot.
Pensez également à mettre un temps de pause (via la méthode sleep()) entre deux requêtes pour éviter de surcharger le serveur requêté – et provoquer un DoS si ce dernier est un peu fragile.

import requests
from random import randint
from time import sleep

useragent = 'Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:75.0) Gecko/20100101 Firefox/75.0'
headers = {
    'User-Agent': useragent
}
url = "" # url du site à requêter

sleep(randint(3,10))
response = requests.get(url, headers = headers)

Crontab

Quid si vous souhaitez aller toujours plus loin dans l’automatisation ? C’est le moment de passer à… cron ! Il s’agit du programme, sous Linux et Mac, permettant de programmer une tâche afin qu’elle soit exécutée de manière répétitive à un moment précis. L’équivalent Windows-ien est le Task Scheduler. Nous allons nous concentrer ici sur cron.

Pour lister les tables cron déjà disponibles, on lance la commande suivante :
crontab -l

Pour éditer les tables, on utilise l’option -e :
crontab -e

Un doute sur une commande ? On utilise man crontab afin d’afficher le manuel (appuyer sur la touche ‘q’ pour le quitter).
Une fois la commande d’édition lancée, vous vous trouvez dans un éditeur de texte (généralement Vi(m) ou Nano). Pour éditer (entrer dans le mode édition) de Vi(m), appuyez sur la touche ‘i’. Pour sortir de ce mode, appuyez sur la touche echap. Pour quitter le document sans sauvegarder (si, si, c’est possible de quitter Vi(m)), appuyez sur echap puis « :q! ». Pour sauvegarder, echap puis « :w ». Pour plus de commandes : .


Chaque ligne correspond à une tâche à exécuter et a le format suivant :

mm hh jj MM JJ tâche avec :

  • mm : les minutes (0-59) ;
  • hh : les heures (0-23) ;
  • jj : le jour du mois (0-31) ;
  • MM : le mois (1-12, ou les noms) ;
  • JJ : le jour de la semaine (0-7, 7 correspondant à dimanche, ou les noms) ;
  • tâche : la tâche à exécuter.

Les ranges sont acceptés, tel que 0-15 dans les minutes pour une exécution à chaque minute durant le premier quart d’heure. Le charactère spécial ‘*’ signifie « du premier au dernier », et peut être « divisé », comme avec « */2 » dans les heures pour signifier « toutes les deux heures ».

Par exemple, pour faire tourner un script tous les jours à 23h59 :
59 23 * * * /chemin/vers/mon_script.py

Ou toutes les 10 minutes :
*/10 * * * *  /chemin/vers/mon_script.py

IMPORTANT : ce code est donc exécuté automatiquement suivant la configuration dans la crontab. Il est essentiel que le fichier exécuté soit détenu et éditable par votre utilisateur et seulement votre utilisateur. Si le script est lancé en tant que root (ou autre équivalent à l’administrateur de la machine), il ne doit appartenir qu’à root (ou équivalent) et seulement éditable par lui. Autrement, si votre machine se fait compromettre, un attaquant pourra éditer le script et attendre tranquillement l’exécution automatique de son code malveillant avec les droits de votre utilisateur, ou, pire, ceux de root.

Prenez donc le temps de vérifier les droits sur votre script :

ls -la /chemin/vers/mon_script.py

Les droits inscrits doivent ressembler à quelque chose comme :
-rwxrw-r--.  1 nom_utilisteur nom_groupe taille date  mon_script.py

Ce qui signifie :

  • lecture (r), écriture (w), exécution (x) pour l’utilisateur nom_utilisateur ;
  • lecture, écriture pour l’ensemble des utilisateurs appartenant au groupe nom_groupe ;
  • lecture seule pour tous les autres utilisateurs.

Utilisez la commande chown nom_utilisateur: mon_script.py pour modifier l’utilisateur et le groupe propriétaires du script.

Utilisez la commande chmod 764 mon_script.py pour positionner les droits ci-dessus.

Au besoin, vérifiez que tous les dossiers parents appartiennent à l’utilisateur en question – ou un utilisateur plus privilégié comme root.

Rumeur autour d’une vente aux enchères… pour manipuler l’opinion ?

Rumeur autour d’une vente aux enchères… pour manipuler l’opinion ?

Qui aurait imaginé que la vente d’une œuvre phare du pop art, symbole de la vie californienne, se retrouve au cœur d’un règlement de comptes politique de la famille Assad en Syrie ? Une vente aux enchères éclair, un milliardaire fugitif hongkongais, une rumeur lancée par un média russe… L’actualité de cette œuvre d’art révèle quelques failles de notre époque. Décryptage.

The splash david hockney
The splash david hockney

Le 11 février dernier, à Londres, le tableau intitulé « The Splash », réalisé par l’artiste britannique David Hockney en 1966, a été vendu aux enchères à 23,1 millions de livres, soit 27,4 millions d’euros. La vente aux enchères a été organisée par Sotheby’s, acteur dominant du marché des ventes d’art contemporain. La toile représente une piscine et un plongeoir, avec des éclaboussures, laissant penser qu’un nageur vient de pénétrer dans l’eau. Emblématique du quotidien en Californie où a vécu l’artiste, icône du Pop Art, cette peinture devient la troisième toile la plus chère de David Hockney.

Dans une atmosphère inquiète de savoir si le Brexit ou la crise du coronavirus aurait des impacts financiers sur le marché du monde de l’art, l’enchère semble plutôt décevante, dans le milieu de l’art.

Comme on peut le constater sur cette vidéo du direct de la vente, postée par la page Facebook de Sotheby’s, les enchères autour de l’œuvre de David Hockney, « star » de cette journée, ont été très rapides : la vente a été adjugée après une seule offre à Jackie Wachter, vice-présidente des ventes privées pour Sotheby’s à Los Angeles, mandatée par un client mystère, qui avait posé une garantie de tiers à Sotheby’s.

Vidéo de la vente aux enchères mise en ligne par Sotheby’s, à regarder à partir de 33’05 :

Le système de garanties permet à un vendeur d’être rassuré que son bien sera effectivement vendu, à un certain tarif minimum : le lot peut être garanti soit par la maison de vente aux enchères, soit par un tiers (acheteur intéressé, comme c’est le cas ici). Cette pratique n’est pas nouvelle, mais elle s’observe de plus en plus ces dernières années. En effet, elle permet d’inciter les propriétaires d’œuvres d’art à vendre leur biens, leur donnant la certitude d’une enchère minimum.

Un vendeur fugitif de Macao

Yvonne Lui et Joseph Lau, 2011 / Source Wikipedia

Le vendeur, lui, est connu : il s’agit de Joseph Lau, un milliardaire de 68 ans, actionnaire majoritaire de la Chinese Estates Holdings. Promoteur immobilier de Hong Kong, il détient une fortune d’environ 7,3 milliards de dollars, selon Bloomberg Billionaires Index

Il a été reconnu coupable par contumace de corruption et blanchiment d’argent par un tribunal de Macao, en 2014. Il lui était reproché le paiement d’un montant de 2,6 millions de dollars à l’ancien chef des travaux publics de Macao. Joseph Lau a été condamné à une peine de cinq ans de prison. Hong Kong n’ayant pas de traité d’extradition avec Macao, le milliardaire est pour l’heure fugitif de cette région autonome, puisqu’il refuse de s’y rendre. 

Le fugitif est aussi connu pour avoir acheté l’œuvre « Mao » d’Andy Warhol, en 2006 pour 17,4 millions de dollars. En 2007, il a également acquis un tableau de Paul Gauguin (« Te Poipoi ») pour 39,2 millions de dollars. C’est en 2006 qu’il s’offre « The Splash » de David Hockney, pour 2,9 millions de livres. 

Rumeur d’une vente à Bachar al-Assad : l’info qui fait plouf

Si l’identité du vendeur est connue, celle de l’acquéreur a été objet de rumeur, pour le moins étonnante. En effet, quelques semaines après la vente, plusieurs articles de presse ont relayé que la toile aurait été vendue à Bachar al-Assad, qui l’aurait offerte à sa femme, Asma al-Assad. Ainsi, le 25 avril dernier, Libération publie une chronique intitulée « Cadeau à 27 millions d’euros pour Asma al-Assad : scandale en Syrie après des accusations russes ». 

L’information provient d’un journal proche de Kremlin, Gosnovosti. Libération a pris les précautions de mettre son article au conditionnel, et d’indiquer que l’article à l’origine de la rumeur sa base sur un prétendu compte Twitter syrien introuvable. En réalité, le compte existe bien, mais le tweet qui relaie l’information, illustré en capture d’écran par le journal russe, a été effacé depuis. Ce compte Twitter n’a, à son actif, qu’une dizaine de tweets, et a été créé en janvier 2020. 

Malgré la pauvreté de cette source, l’information est reprise par plusieurs journalistes, parfois avec mesure : 

Comme ici, par un journaliste de Radio Canada : 

Là, par la directrice de l’information parlementaire Public Sénat : 

Pour d’autres, les pincettes ne sont plus de mises et nous voyons par exemple l’auteur du blog « Lunettes Rouges » publié sur le Monde, relayant l’information comme si elle avait été confirmée :

Ainsi encore, ce 8 mai 2020, il persiste et signe, alors même que le doute sur l’information lui avait été signalé suite à son premier tweet : 

Quelques médias relayent également l’information, avec plus ou moins de recul :

Pourtant, ce que révèle la sortie de cette rumeur qui a soulevé indignation en Syrie, c’est un potentiel changement de position de la Russie, envers Bachar al-Assad, mais aussi les règlements de comptes du clan Assad. 

Car il semble que les relations soient houleuses entre Bachar al-Assad et son cousin, Rami Makhlouf, l’homme le plus riche de Syrie, ancien pilier du régime, comme l’explique dans un billet Jean-Pierre Filiu sur son blog du Monde. Le cousin germain de Bachar al-Assad a profité de la libéralisation économique menée par Bachar al-Assad : « Makhlouf s’est alors constitué un véritable empire, accaparant à son profit les « privatisations » d’entreprises publiques, investissant dans les nouvelles banques « privées » et, avec Syriatel, prenant une position dominante dans la téléphonie mobile. Avec une fortune évaluée en milliards de dollars, de 3 à 7 suivant les sources, Makhlouf est devenu le grand financier des milices pro-Assad, dont le rôle dans la répression du soulèvement populaire de 2011 a été déterminant. »

Depuis 2018, les tensions se sont amplifiées entre les deux cousins. Notamment parce que la reconquête par le régime d’une grande partie du territoire syrien entraîne un partage des richesses qui n’avantage pas Rami Makhouf : une partie de ses biens ont été mis sous séquestre, des impôts importants lui sont exigés…

Certains disent que la rumeur lancée au sujet du tableau de David Hockney qu’Assad aurait offert à sa femme, pourrait être l’œuvre d’une tentative de déstabilisation, rappelant que le père (l’un des anciens chefs des services syriens de sécurité) et le frère de Rami Makhlouf sont aujourd’hui installés à Moscou.

Interpellation par vidéos Facebook 

C’est la première fois que le clan Assad se déchire publiquement : le 30 avril 2020, Rami Makhouf publie une première vidéo (qu’il republiera le lendemain) sur sa page Facebook, en public :

Il implore le président syrien de rééchelonner les arriérés d’impôts réclamés par le régime à son groupe, à hauteur, selon lui, de 162 millions d’euros. Le 3 mai, il republie une seconde vidéo, toujours sur Facebook :

Il dénonce ici, comme explique par Le Monde, les pressions exercées sur sa société Syriatel, notamment en arrêtant certains de ses employés : « Quelqu’un peut-il imaginer que les services de sécurité s’en prennent aux entreprises de Rami Makhlouf, qui a été le plus grand soutien et parrain de ces services pendant la guerre ?, s’interroge-t-il dans la vidéo. Si nous continuons sur cette voie, la situation dans le pays deviendra très difficile ». 

Rami Makhouf demande donc de repousser les paiements pour que sa société ne s’effondre pas. Le milliardaire est sous sanction américaine depuis 2008, pour « corruption publique ». L’Union européenne a aussi imposé des sanctions à Makhlouf depuis le début du conflit syrien en 2011, l’accusant d’avoir financé Bachar al-Assad.

Propagande russe 

Outre le conflit entre Bachar al-Assad et son cousin, la rumeur lancée par le média russe souligne, selon plusieurs journalistes syriens anti-régime, la propagande contre Bachar al-Assad lancée par les médias russes, depuis plusieurs mois et dont l’article sur le tableau en est l’exemple le plus « grossier ». L’un de ces journalistes anti-régime y voit même le « signe annonciateur d’une future expulsion de Bachar al-Assad, lors des prochaines élections présidentielles d’avril 2021 »

Mi-avril, le site russe pro-Poutine RIA FAN, détenu par l’homme d’affaire russe Evgueni Prigojine, proche de Poutine, publiait une série d’articles très critiques à l’égard de Bachar al-Assad, comme le signale Benoît Vitkine, journaliste au Monde, spécialiste de la Russie. Le site russe RIA FAN disait avoir effectué une enquête d’opinion dont les sondés donnaient 32% d’intention de vote pour les élections de 2021 en faveur du président actuel syrien.

Ces publications ont depuis été effacées du site, qui évoque « une attaque informatique » pour expliquer l’apparition de ces « fake news ». Le site a-t-il vraiment été victime d’un piratage ? Ou bien le journal russe a-t-il fait machine arrière ? Impossible de la savoir.

Quoiqu’il en soit, comme nous l’avons vu pour la rumeur sur l’achat du tableau de David Hockney par Bachar al-Assad, une désinformation est :

  1. Toujours une information sur d’éventuelles tentatives de déstabilisation : reste à savoir par qui, dans quel but, etc.
  2. Rarement « débunkée » autant qu’elle n’est partagée : l’information fausse peut donc marquer les esprits de lecteurs, pas forcément au courant, après coup, que ce n’était qu’une rumeur.

Mais où est alors la toile « The Splash » ? 

Selon une source proche de Bloomberg, qui a souhaité rester anonyme étant donné le caractère personnel de l’information, David Geffen serait l’heureux nouveau propriétaire de la toile « The Splash ». Une œuvre qu’il connaît bien pour l’avoir déjà acquise par le passé, avant de la revendre en 1985, comme l’indique le site de Sotheby’s :

Source : Sotheby’s

Pourquoi cette information paraît plus crédible ?

  • La source : Bloomberg est l’une des magazines américain les plus importants. Site d’information sérieux, il doit sa notoriété au fait d’avoir des journalistes respectant quelques règles avant de publier une information. Il apparaît peut probable que ce journal prenne le risque de publier une information qui peut être démentie par le propriétaire de l’oeuvre d’art.
  • La probabilité de l’information : un milliardaire qui avait déjà possédé l’oeuvre, ça paraît plausible.

Cette information reste évidemment à prendre avec des précautions mais on peut raisonnablement penser qu’un jour ou l’autre, que ce soit dans 5, 10 ou 15 ans, l’information sera rendue publique, ne serait-ce que lorsque l’oeuvre d’art reviendra un jour dans une salle de vente aux enchères.

Sur la base de cette hypothèse, on peut s’interroger sur la pertinence de racheter une œuvre, des années plus tard, à un prix pharaonique par rapport au premier achat. Même si ce milliardaire n’en est pas à compter son argent (David Geffen a récemment revendu une villa à Jeff Bezos à 165 millions de dollars, alors qu’il l’avait payé 47,5 millions 30 ans plus tôt), ce n’est tout de même pas sa meilleure affaire. Pourquoi racheter « The Splash » maintenant ? 

Nous avons recueilli l’avis de Cédric Aumaitre, directeur de Clear Art Conseil, et auteur d’un article publié le 21 février 2020 « Art et investissement : plongeon dans l’art contemporain ». Pourquoi acheter un tableau plus cher que ce qu’on l’a vendu ? Pour lui, si l’acquéreur s’avère bien David Geffen, seul lui détient la réponse, cependant, on peut tenter d’expliquer le contexte dans lequel s’est fait cette vente : 

« David Geffen est richissime, il possède plus d’argent qu’il ne peut en dépenser, donc le prix n’existe pas, du moins en tant que capacité à acheter. Cependant le prix à son importance, non par le montant de la dépense, mais par ce qu’elle peut signifier pour celui qui achète. Nous pouvons voir dans ce rachat une illustration de l’effet Veblen, phénomène par lequel la demande d’un bien augmente en même temps que son prix. A 30M$ ce tableau est plus désirable qu’à 3M$… » 

Le spécialiste du marché de l’art termine en expliquant que même à 27 millions de livres, l’achat de l’œuvre d’Hockney reste un bon placement : « Nous pouvons penser que ce tableau pourra faire une plus-value importante lors de sa revente. »

Le virus du télétravail

Le virus du télétravail

Dans le décret n° 2020-260 du 16 mars 2020 portant réglementation des déplacements dans le cadre de la lutte contre la propagation du virus covid-19, il est écrit :

« Afin de prévenir la propagation du virus covid-19, est interdit jusqu’au 31 mars 2020 le déplacement de toute personne hors de son domicile à l’exception des déplacements pour les motifs suivants, dans le respect des mesures générales de prévention de la propagation du virus et en évitant tout regroupement de personnes :

1° Trajets entre le domicile et le ou les lieux d’exercice de l’activité professionnelle et déplacements professionnels insusceptibles d’être différés ; »

Dans le cas contraire d’un déplacement pouvant être différé, et ce dans l’optique de protéger la santé de toutes et tous, le télétravail est très fortement recommandé, d’autant plus quand il peut rapidement être mis en oeuvre sur le plan technique.

A travers quelques résultats de recherche issus du moteur de recherche Shodan, nous allons constater qu’en plus des préconisations sanitaires simples diffusées à la population, la mise en œuvre de gestes barrières informatiques ne représente pas un luxe.

En ces temps de crise et de vulnérabilité(s) humaine(s) et organisationnelle(s), nous avons d’autant plus besoin d’assurer la bonne marche de nos équipements informatiques.

Shodan et le balayage de ports

Le balayage de ports est une technique servant à rechercher les ports ouverts sur un serveur de réseau.

Cette technique est utilisée par les administrateurs des systèmes informatiques pour contrôler la sécurité des serveurs de leurs réseaux. La même technique est aussi utilisée par les pirates informatiques pour tenter de trouver des failles dans des systèmes informatiques. Un balayage de ports effectué sur un système tiers est généralement considéré comme une tentative d’intrusion, car un balayage de ports sert souvent à préparer une intrusion.

On peut détecter le système d’exploitation et sa version par la prise d’empreinte de la pile TCP/IP. Certains logiciels permettent également de détecter le nom du logiciel écoutant sur un port, voire sa version.

A grande échelle, Shodan réalise cette opération de balayage de ports sur tout Internet, et indexe les résultats de recherche, mis à disposition des utilisateurs. Shodan interpole également les versions de logiciels trouvées avec les bases de vulnérabilités logicielles usuelles et mondialement utilisées en sécurité informatique. Utilisé de manière orientée, Shodan est un moteur de recherche de serveurs et d’équipements informatiques vulnérables.

BlueKeep

BlueKeep (CVE-2019-0708) est une vulnérabilité de sécurité découverte dans l’implémentation du protocole Remote Desktop de Microsoft. Elle permet d’exécuter du code à distance. Son score CVSS (évaluation standardisée de la criticité des vulnérabilités selon des critères objectifs et mesurables) est maximal : 10.

Par exemple, la vidéo suivante montre ainsi comment, via une attaque en déni de service exploitant BlueKeep, il est possible d’engendrer facilement le crash d’un poste Windows 7 :

Shodan et BlueKeep

Actuellement en France, au moins 4395 postes sont toujours à priori vulnérables à BlueKeep :

Pour pouvoir procéder à des recherches dans Shodan, il est nécessaire de créer un compte utilisateur. Cependant, via le modèle de lien suivant, il est possible d’avoir tout de même accès aux données du moteur de recherche :

https://www.shodan.io/host/aaa.bbb.ccc.ddd

(aaa.bbb.ccc.ddd étant l’adresse IP d’une machine qui a été scannée par Shodan et pour laquelle les résultats de recherche ont été indexés)

Pour une machine supposément vulnérable à BlueKeep (un scan de port ne dit pas tout !), l’élément suivant va s’afficher dans la fenêtre de présentation de résultat :

Lorsque cela est possible techniquement, Shodan présente également une capture d’écran associée au port scanné :

Vraisemblablement, sur cette machine, un utilisateur s’est connecté à distance depuis une machine Dell non personnalisée (voir aussi ici ).

Recherche d’informations sur la machine vulnérable

Via une recherche inversée sur l’adresse IP trouvée par Shodan, on arrive à retrouver le nom de la société qui utilise la machine concernée :

Sur societe.com, on retrouve l’entreprise en question, ainsi que la même adresse que celle mentionnée dans le résultat de viewdns.com :

Entre les mains de personnes malveillantes, on imagine aisément les dégâts qui peuvent être provoqués par la possession de telles informations, et d’autant plus en ce moment.

Geste barrière préconisé

METTEZ A JOUR VOTRE MACHINE !

Instagram : obtenir les infos d’un compte….

Instagram : obtenir les infos d’un compte….

L’amie @technisette a publié en juillet, sur le site Osint Curious, deux très bons billets sur les recherches possibles sur Instagram.
Une des astuces données concernait l’affichage des informations d’un compte au format Json dans le navigateur, en utilisant directement l’API du site.

Exemple :
https://i.instagram.com/api/v1/users/1034466/info/ pour obtenir les informations du compte de Starbucks devrait nous donner ceci :

{"user": {"pk": 1034466, "username": "starbucks", "full_name": "Starbucks Coffee \u2615", "is_private": false, "profile_pic_url": "https://scontent-cdg2-1.cdninstagram.com/vp/0e07d26e60e5b4598da83e18d6672315/5E1DA749/t51.2885-19/s150x150/54247905_1011601952363831_7925609498994016256_n.jpg?_nc_ht=scontent-cdg2-1.cdninstagram.com", "profile_pic_id": "2009724254929369404_1034466", "is_verified": true, "has_anonymous_profile_picture": false, "media_count": 1862, "follower_count": 18237408, "following_count": 3690, "following_tag_count": 0, "biography": "Inspiring and nurturing the human spirit -- one person, one cup, and one neighborhood at a time.", "external_url": "https://starbucks.app.link/scm", "external_lynx_url": "https://l.instagram.com/?u=https%3A%2F%2Fstarbucks.app.link%2Fscm\u0026e=ATNJawA5OtI3O7vco1wUa4fc1fLWc4KBhCcKY2jbbC5DVIcNtS-GmZVb40iCqnvpS8H05o_ANTUbGFcZkfi4ivEy7B6aSRc", "total_igtv_videos": 1, "has_igtv_series": false, "total_ar_effects": 0, "usertags_count": 2200976, "is_favorite": false, "is_favorite_for_stories": false, "is_favorite_for_highlights": false, "is_interest_account": true, "hd_profile_pic_versions": [{"width": 320, "height": 320, "url": "https://scontent-cdg2-1.cdninstagram.com/vp/b447438839ebcb82a485046cd1977143/5E1FC931/t51.2885-19/s320x320/54247905_1011601952363831_7925609498994016256_n.jpg?_nc_ht=scontent-cdg2-1.cdninstagram.com"}, {"width": 640, "height": 640, "url": "https://scontent-cdg2-1.cdninstagram.com/vp/68053010283eec0a0f078c612629be6e/5E24F18A/t51.2885-19/s640x640/54247905_1011601952363831_7925609498994016256_n.jpg?_nc_ht=scontent-cdg2-1.cdninstagram.com"}], "hd_profile_pic_url_info": {"url": "https://scontent-cdg2-1.cdninstagram.com/vp/848fb88682d02055ef3285373e567810/5E387C31/t51.2885-19/54247905_1011601952363831_7925609498994016256_n.jpg?_nc_ht=scontent-cdg2-1.cdninstagram.com", "width": 1080, "height": 1080}, "mutual_followers_count": 0, "has_highlight_reels": true, "can_be_reported_as_fraud": false, "direct_messaging": "UNKNOWN", "fb_page_call_to_action_id": "", "address_street": "", "business_contact_method": "CALL", "category": "Marque", "city_id": 0, "city_name": "", "contact_phone_number": "+18007827282", "is_call_to_action_enabled": false, "latitude": 0.0, "longitude": 0.0, "public_email": "", "public_phone_country_code": "1", "public_phone_number": "8007827282", "zip": "", "instagram_location_id": "22092443056", "is_business": true, "account_type": 2, "can_hide_category": true, "can_hide_public_contacts": true, "should_show_category": true, "should_show_public_contacts": true, "should_show_tabbed_inbox": false, "is_facebook_onboarded_charity": false, "has_active_charity_business_profile_fundraiser": false, "charity_profile_fundraiser_info": {"pk": 1034466, "is_facebook_onboarded_charity": false, "has_active_fundraiser": false, "consumption_sheet_config": {"can_viewer_donate": false, "currency": null, "donation_url": null, "privacy_disclaimer": null, "donation_disabled_message": "Nous rencontrons des probl\u00e8mes de connexion. Veuillez renouveler votre don plus tard.", "donation_amount_config": null}}, "include_direct_blacklist_status": true, "is_potential_business": true, "is_bestie": false, "has_unseen_besties_media": false, "show_account_transparency_details": true, "auto_expand_chaining": false, "highlight_reshare_disabled": false, "show_post_insights_entry_point": false, "about_your_account_bloks_entrypoint_enabled": false}, "status": "ok"}

Certaines infos ne sont pas forcément visibles sur la page d’accueil du profil.

Toutefois, depuis plusieurs jours, le lien ci-dessus ne donne aucun résultat :

Comment retrouver simplement cette granularité d’information?

Vous avez dit « useragent« ?

Le useragent, c’est l’identifiant de votre navigateur. Il indique en général votre système d’exploitation (windows, mac, Linux, Android, iOS…), sa version, etc…

Si vous voulez connaître le vôtre, vous pouvez demander à https://www.whatsmyua.info/

Le mien est le suivant :


La bonne ou la mauvaise nouvelle (selon que l’on est un bon analyste ou un méchant pirate…), c’est qu’un useragent, cela se modifie (on dit en anglais que cela se spoofe) : soit directement dans les paramètres du navigateur, soit en utilisant une extension telle que User-Agent Switcher.

Si Instagram nous dit qu’il y a une erreur de type « useragent mismatch« , c’est que notre user-agent ne correspond pas à celui attendu par le site.

En effectuant une recherche sur Google du type « Instagram official user-agent », on découvre le site internet WhatsmyBrowser.com qui recense les user-agents utilisés un peu partout sur internet.

Notez la présence de la référence Instagram 72.0.0.21.98 dans le premier de la liste des user-agents référencés…

Update 22/08/2021 : Bill Hess, le développeur a mis en ligne un guide sur le fingerprinting de navigateur : https://pixelprivacy.com/resources/browser-fingerprinting/

Et si on ajoutait cette référence à notre propre navigateur?!

Nous ouvrons dès lors l’extension User-Agent Switcher :


Et nous collons la référence Instagram 72.0.0.21.98 à la suite de notre chaîne de caractères correspondant à notre user-agent et nous validons an cliquant sur Apply :

Et voilà!!!

Il suffit de rafraîchir la page Instagram pour récupérer les informations du compte!

P.S. : Nous vous rappellons qu’il est possble d’obtenir le numéro d’identifiant utilisateur d’un compte en ajoutant /?__a=1 à la suite de son URL :

https://www.instagram.com/nom-compte/?__a=1