Après un premier atelier OSINT/CTI en 2023 avec BlackHoodie pour la conférence de sécurité informatique Troopers, l’équipe d’OpenFacto est revenue à Heidelberg en Allemagne pour un nouveau workshop d’une journée sur les liens entre OSINT et analyse de malwares, avec nos deux formatrices Cora et Anso. Dans la foulée, le même workshop a été donné – en version raccourcie – à la conférence LeHACK.

BlackHoodie

BlackHoodie est une communauté rassemblant des passionnées de reverse engineering ou simplement reverse ou RE (en français rétro-ingénierie, ingénierie à rebours, …), qui veulent partager leurs connaissances et les rendre accessibles à d’autres femmes. Les ateliers organisés par BlackHoodie sont ainsi réservés aux personnes nées et élevées en tant que femmes et/ou s’identifiant comme femmes. Ils sont gratuits, et généralement organisés en parallèle de conférences d’infosec. Certains ateliers sont accessibles aux novices, d’autres demandent un peu d’expérience, les pré-requis étant clairement indiqués.

Le reverse quèsaco ?

Le reverse, en informatique, est une discipline où un·e analyste va chercher à comprendre le fonctionnement d’un logiciel ou d’un équipement hardware sans avoir le code source/les spécifications de celui-ci.
De manière imagée, c’est comme si l’on prenait une pizza toute juste sortie du four, et que l’on essayait de retrouver les ingrédients et/ou les étapes de la recette qui ont permis d’obtenir cette pizza – soit pour la refaire à la maison, voire en vendre sa propre version, ou encore pour mieux comprendre ce qui fait la signature de cette pizza !

RE & OSINT 101: comment fouiller dans un malware pour mieux pister les cyber méchants

Ce qui nous intéressait pendant cet atelier, c’était le reverse logiciel, plus précisément le reverse de logiciels malveillants. Ce type d’analyse permet notamment d’obtenir des marqueurs qui fourniront du contexte sur le malware et/ou les personnes qui l’ont développé, de déterminer les versions de celui-ci, obtenir des clés de déchiffrement qui auraient été laissées dans le code,…

Au travers d’exemples concrets et d’exercices d’application, Anso et Cora ont ainsi pu donner les bases de ces deux disciplines et montrer leur complémentarité. En effet, si l’objectif principal de l’atelier était de former les stagiaires aux bases du reverse et de l’OSINT, il s’agissait aussi de transmettre l’idée qu’il est essentiel pour des expert·e·s de domaines variés de communiquer ensemble afin de mettre à profit les compétences de chacun·e. Sans surprise, la journée a été intense et s’est révélée être une très bonne expérience du côté des participantes comme des intervenantes 🙂

LeHack 2025

Et ce n’est pas tout ! Cora et Anso ont décidé de refaire cet atelier quelques jours plus tard, cette fois sous un format de 3h pour la conférence d’infosec LeHACK. Les particpant·e·s ont tenu bon pour cet atelier qui a fini à presque minuit après deux jours de conférences.

En amont, l’équipe d’OpenFacto a aussi eu la chance de tenir à nouveau son stand au village OSINT de la conférence (merci à l’équipe du HACK et de l’OSINT village <3). Au programme : cadenas à ouvrir grâce à des recherches en sources ouvertes, challenges de suivis de bateaux amenant à la création de superbes dessins, questions de culture G et jeu de tir de fléchettes, le tout afin de gagner tout plein de goodies OpenFacto.

Un grand merci à toutes les personnes qui sont passées sur notre stand, ainsi qu’aux membres de l’asso (Anso, Aurore, Liselotte, Valentin, et les autres !) qui l’ont tenu ! <3

Formations initiales

Malgré les vacances et la chaleur, les formations initiales de juin et juillet ont affiché complet !

On se retrouve à la rentrée pour de nouvelles formations !

L’article BlackHoodie, LeHACK, formations initiales : retour sur les évènements de l’été est apparu en premier sur OpenFacto.

Le week-end du 26 et 27 octobre, l’association française OpenFacto et l’unité syrienne de journalisme d’investigation SIRAJ se sont retrouvées pour un atelier OSINT collaboratif. Cet événement a rassemblé neuf journalistes syriens, installés en Europe, et trois membres d’OpenFacto, tous unis par un objectif commun : approfondir l’utilisation des sources ouvertes pour des enquêtes en zones peu couvertes, comme la Syrie.

L’atelier s’est tenu dans un cadre d’apprentissage intensif et a été structuré sur deux jours de formation spécialisée. L’objectif : doter les journalistes des compétences nécessaires pour mener des enquêtes en utilisant des données géolocalisées et des images satellites, des outils précieux dans le contexte syrien. Jean-Baptiste Cardinaux, membre du bureau d’OpenFacto, Mohamed Bassiki, fondateur et directeur exécutif de SIRAJ et Manar Rachwani, codirecteur de SIRAJ ont corganisé cet événement.

Premier jour : Géolocalisation et exploration via imageries satellites

Le premier jour de la formation était dédié à la géolocalisation, un domaine essentiel pour les enquêtes journalistiques sur des régions où l’accès direct est limité. Aurore Teboul, journaliste et membre du bureau d’OpenFacto, a animé cet atelier et partagé son expertise sur l’analyse d’images satellites. Les journalistes présents ont exploré les techniques permettant de localiser des sites spécifiques en Syrie, un pays où l’information est difficile à vérifier sur le terrain.

Les participants ont pu renforcer leurs compétences et comprendre comment identifier et analyser des éléments précis visibles depuis l’espace : identification de lieux stratégiques dans des zones sous tension ou observation de transformations sur le terrain.

Deuxième jour : Atelier pratique sur les recherches en sources ouvertes dans un camp de réfugiés

Le lendemain, l’atelier s’est poursuivi avec un exercice pratique sous la direction de Liselotte Mas, journaliste et présidente d’OpenFacto. Cet exercice visait à analyser les conditions de vie dans un camp de réfugiés à partir de données en sources ouvertes et de techniques de géolocalisation, permettant aux journalistes de travailler sur les questions humanitaires.

Les participants ont ainsi mis en pratique les outils et méthodes étudiés la veille, renforçant leur capacité à collecter des preuves visuelles sur des sites difficiles d’accès. L’atelier a permis de simuler une enquête complète en situation, dans un environnement de travail favorisant la précision, le travail collectif et l’éthique dans la collecte de données.

Échanges et bonnes pratiques

Tout au long du week-end, les journalistes syriens et les membres d’OpenFacto ont échangé sur les bonnes pratiques et les techniques de recherche en sources ouvertes. Ces échanges ont permis de renforcer leurs compétences et d’acquérir de nouvelles méthodologies pour l’investigation journalistique.

Cet atelier est la troisième collaboration entre OpenFacto et SIRAJ, un partenariat qui vise à outiller les journalistes syriens en exil pour poursuivre des enquêtes sur les réalités de leur pays d’origine. Au fil des années, les investigations de SIRAJ sont devenues des références, révélant au monde des aspects essentiels des conflits et des crises environnementales dans le pays.

Retrouvez le compte-rendu rédigé par SIRAJ sur leur site, ici.

L’article Atelier collaboratif d’OSINT pour le journalisme d’investigation [OpenFacto&SIRAJ #3] est apparu en premier sur OpenFacto.

📚 Sur l’étagère

Publié en janvier 2020, et encore jamais traduit en France, Digital Witness¹ est un ouvrage collectif rédigé sous la direction de Sam Dubberley, directeur du Laboratoire d’enquêtes numériques de Human Right Watch (Digital Investigations Lab), Daragh Murray, maître de conférences à la faculté de droit de l’université Queen Mary de Londres² et Alexa Koenig³, à la tête du Human Rights Center (HRC) de Berkeley.

Il n’est pas ici question d’Open Source Intelligence mais bien d’« Open Source Information for human rights, investigation, documentation and accountability ¹» Une nuance importante qui permet de faire la distinction avec la communauté du renseignement.

L’ouvrage est le premier du genre à poser les bases académiques de la discipline, et préfigure le protocole de Berkeley² qui lui-même se veut « un guide pratique sur l’utilisation des sources ouvertes numériques dans les enquêtes ».

On y découvre notamment les premiers procès documentés grâce à Internet et aux réseaux sociaux avec l’exemple du cas Al-Madhi³, reconnu coupable de crime de guerre pour les destructions des bâtiments à caractère religieux et historique à Tombouctou, au Mali, en juin et juillet 2012, ouvrant ainsi la voie au développement d’une stratégie « open source » quelque mois plus tard au procès Mahmoud Mustafa Busayf Al-Werfalli⁴.

Le protocole de Berkeley, c’est au départ un échec. Celui du bureau du procureur de la Cour Pénale Internationale, en 2012, qui avait dû abandonner les charges dans 4 dossiers instruits. Une chercheuse du Human Rights Center fit ce constat : le bureau du procureur s’était trop appuyé sur les rapports d’enquête d’ONG et les témoignages. Outre la méfiance des juges à l’égard des sources ouvertes, les dossiers ne remplissaient pas le niveau de preuve requis pour être poursuivis selon eux.

De là, sous l’égide du HRC, des travaux réunissant l’ensemble des acteurs impliqués dans la lutte contre l’impunité de ces crimes, planchèrent sur l’usage de l’Open source information dans l’enquête pour en dessiner une véritable architecture.

Car là est bien le propos du livre, définir l’investigation numérique sur la base de critères établis : la méthodologie, la préservation des traces et indices numériques, l’archivage, la garantie de l’authenticité, l’utilisation des ressources mais également l’éthique avec l’évocation du doxxing (NDLR : la collecte et la divulgation d’informations à caractère privé), sans oublier l’humain derrière le clavier qui peut être affecté par le syndrome post-traumatique dont on oublie encore trop qu’il puisse aussi affecter le journaliste, l’enquêteur ou l’analyste.

Mais l’enjeu reste de concilier l’investigation numérique avec les exigences du droit et c’est aussi à ça qu’ambitionnent de répondre Digital Witness et le protocole de Berkeley en s’attachant justement à ce nouveau champ d’investigation là où, comme le rappelle Maxime Audinet, chercheur à l’IRSEM et spécialiste des pratiques d’influence : « les traces numériques se révèlent particulièrement pertinentes pour étudier les « terrains difficiles » ou dangereux par des méthodes alternatives au terrain physique »⁵.

Enfin, en attendant un Digital Witness 2⁶ , on ne manquera pas de recommander la lecture passionnante et complémentaire de « La traque est mon métier » d’Eric Emeraux⁷, ancien Chef de l’Office central de lutte contre les crimes contre l’humanité, les génocides et les crimes de guerre, illustration éclairante de l’apport de l’OSINT dans les enquêtes contre les crimes perpétrés au Rwanda, en ex-Yougoslavie et en Syrie . Il nous faut mentionner également « La grâce et les ténèbres » par Ann Scott, roman inspiré par le combat de la Katiba des Navalos⁸ contre les activités djihadistes sur les réseaux sociaux et Internet.

Pour en savoir plus sur Alexa Koenig et son formidable parcours, on vous recommande de lire cette interview : https://www.atlaswomen.org/profiles/2020/4/4/alexa-koenig.

1 Informations de source ouverte pour les droits de l’homme, les enquêtes, la documentation et la responsabilité pénale

2 https://www.ohchr.org/FR/NewsEvents/Pages/berkeley-protocol.aspx

3 https://www.icc-cpi.int/mali/al-mahdi?ln=fr

4 https://www.icc-cpi.int/libya/al-werfalli?ln=fr

5 https://twitter.com/maximeaudinet/status/1472122839482445824?s=20, 18 décembre 2021

6 Entretien le 2 décembre 2021 autour de Digital Witness dans le cadre du colloque « Emerging tech in Peace ».

7 Éditions Plon 2020

8 https://www.liberation.fr/societe/sept-ans-quils-trollent-et-traquent-les-djihadistes-bientot-un-nobel-pour-la-katiba-des-narvalos-20220402_3LPCXAPBW5DRVN6HITBSPTWZ5Q/

Entretien avec Alexia Koenig, co-directrice du HCR, Human Rights Center de Berkeley et auteure

Grâce à votre expérience avec le Human Rights Center Investigation Lab, quelle est la meilleure façon de préserver les preuves numériques et les meilleures méthodes, solutions sur le marché ou dans les sources ouvertes ?

Pour les contenus en sources ouvertes, comme les réseaux sociaux, nous utilisons souvent Hunch.ly, qui nous permet de capturer notre parcours d’investigation et de télécharger et hacher¹ le matériel que nous trouvons sur les espaces ouverts en ligne (les vidéos devront être capturées par un processus distinct). Comme le souligne le protocole de Berkeley, l’idéal est de capturer un « paquet » complet de contenus en ligne : l’élément que vous cherchez à préserver (comme une photo ou une vidéo), toutes les métadonnées (si elles sont disponibles) et toutes les informations contextuelles entourant cet élément. Idéalement, ce que vous capturez est haché et préservé si vous voulez qu’il serve potentiellement de preuve, et toute marque ou autre modification est effectuée sur une copie. Si vous avez la possibilité de capturer du contenu numérique de source fermée, vous pouvez utiliser une application spécialisée comme l’application eyeWitness to Atrocities² (Témoins oculaires des atrocités) proposée par l’International Bar Association³. Par exemple, vous pouvez enregistrer ou photographier des informations visuelles liées à un événement ou à une atrocité à l’aide de l’application, et l’application préservera le contenu et l’enverra automatiquement à un dépôt sécurisé, de sorte que vous puissiez facilement démontrer la chaîne de possession si les informations finissent par être présentées au tribunal. Si une source ou un témoin vous envoie des informations par le biais d’une application de messagerie telle que WhatsApp, demandez-lui de suivre les étapes permettant de conserver les métadonnées attachées à tout élément envoyé (comme une vidéo ou une photographie), car ces métadonnées peuvent s’avérer très utiles pour vérifier ou authentifier ultérieurement le matériel.

Quel niveau de vérification est nécessaire pour juger les contenus « amateurs » ou en réseau comme des preuves admissibles devant les tribunaux internationaux ?

Le protocole de Berkeley recommande que toutes les preuves potentielles soient examinées dans le cadre d’un processus en trois parties : une évaluation technique (telle que l’examen de toutes les métadonnées liées à l’élément), une évaluation du contenu (ce que vous pouvez voir dans la photo ou la vidéo correspond-il à ce que l’on vous a dit qu’elle représentait ? Cette personne est-elle une source fiable pour les informations qu’elle a partagées ? Sont-ils ceux qu’ils prétendent être, etc.) La plupart des équipes d’enquêteurs utiliseront l’analyse d’amateurs comme piste ou pour corroborer leur propre enquête. En outre, la plupart des équipes juridiques essaieront d’obtenir le message « original » d’un réseau social, ainsi que les informations supplémentaires que l’entreprise peut fournir sur cet élément, si elle le peut.

Comment les juridictions nationales font-elles face à ce nouveau défi que représente l’analyse d’un tel volume de données ?

Le défi du volume peut être très important. Je pense que nous allons assister à une utilisation croissante de méthodes basées sur le machine-learning pour trouver des contenus pertinents dans un grand volume de données – par exemple, par l’analyse de ces ensembles de données à l’aide de grands modèles de langage, ou par l’analyse visuelle via la reconnaissance d’objets. Bien entendu, ces systèmes sont imparfaits. C’est pourquoi le principe de minimisation des données reste important ; dans l’idéal, les enquêteurs ne collectent pas beaucoup plus de données qu’ils n’en ont besoin. Ce principe est particulièrement important pour les équipes juridiques qui peuvent avoir des obligations de divulgation ; si elles ne savent pas ce qu’elles ont, comment peuvent-elles savoir ce qu’elles doivent divulguer ?

À cet égard, quels conseils et lignes directrices pourriez-vous leur donner ? Y a-t-il de nouvelles avancées dans la jurisprudence de la Cour pénale internationale ou des tribunaux nationaux concernant l’utilisation des sources ouvertes dans les enquêtes et les poursuites ?

Un nombre croissant d’affaires s’appuient sur des informations numériques de sources ouvertes, y compris dans des juridictions internationales et nationales. Deux ouvrages paraîtront en 2024, qui résument très bien les développements récents et la jurisprudence applicable : l’un de Jonathan Hak⁴, l’autre d’Yvonne McDermott Rees⁵.

Les initiatives menées par des ONG telles que OpenFacto avec All Eyes on Wagner ou Center for Information Resilience avec l’Ukraine peuvent-elles réellement contribuer aux enquêtes et aux poursuites ? Dans quelle mesure et sous quelles conditions l’OSINT peut-il faciliter et même accélérer les enquêtes sur les crimes internationaux ?

Les ONG ont plusieurs rôles importants à jouer. Tout d’abord, elles peuvent contribuer à stimuler la volonté politique des acteurs juridiques de prêter attention à des événements et à des atrocités particuliers. Deuxièmement, elles peuvent fournir des informations importantes aux enquêteurs juridiques, telles que des pistes sur les témoins qui ont pu être présents et qui pourraient éventuellement fournir des témoignages, ou des indications sur les informations de source ouverte qui pourraient exister et que les enquêteurs judiciaires pourraient également découvrir et vérifier. Troisièmement, ils peuvent préserver le contenu qui risque de disparaître des espaces en ligne ; ils peuvent devenir des conservateurs essentiels de données pertinentes. Quatrièmement, ils peuvent jouer le rôle d’un « examen par les pairs », avec une analyse indépendante des faits sous-jacents à un événement. Ils disposent souvent d’une expertise contextuelle, culturelle, linguistique ou thématique qui peut éclairer des questions ou des faits importants.

L’accent est-il mis sur la « formation » des témoins et des victimes afin qu’ils puissent filmer et documenter plus « clairement » les crimes de guerre ?

Oui ! Des groupes tels que Witness⁶ et Videre est Credere⁷ ont joué un rôle essentiel en aidant les témoins et les victimes à comprendre les stratégies d’enregistrement des informations de manière à accroître la valeur de ces informations à des fins judiciaires. Il s’agit notamment de tactiques pour tenir son téléphone ou son appareil photo d’une certaine manière afin de stabiliser les images ou de maximiser ce qui est capturé, de techniques pour obtenir une perspective à 360 degrés de ce que vous filmez afin de situer cet événement ou cet objet dans l’espace géographique, de suggestions sur les types d’informations qu’il est particulièrement utile de capturer, etc. Witness propose une série de guides sur la vidéo en tant que preuve, qui sont extrêmement utiles.

Lors de la présentation du livre à l’atelier Emerging Technologies in Peacebuilding and Prevention⁸ (2 décembre 2021), vous avez évoqué la publication de Digital witness 2. Pourriez-vous nous en dire un peu plus sur ce volume 2 ?

Oui ! Malheureusement, le livre a été retardé en raison de la pandémie et d’autres interruptions. Au lieu d’un deuxième volume, nous envisageons plutôt une deuxième édition, qui sera beaucoup plus étoffée que la première. Cette nouvelle édition guidera le lecteur dans tous les domaines, de l’établissement des bases d’une enquête à la construction d’un dossier ou d’une histoire, en passant par l’enquête elle-même, et jusqu’à l’avenir de ce domaine. Il y a beaucoup de choses à couvrir. Nous avons défini les grandes lignes de l’ouvrage et espérons lancer bientôt un appel à contributions !

Alexa Koenig vient de sortir un nouvel ouvrage avec Andrea Lampros, directrice de la communication à la Graduate School of Journalism de l’UC Berkeley, « Graphic : Trauma and Meaning in our Online Lives » (Cambrige University Press). Dans cet ouvrage, elle tirent des leçons de l’expérience d’experts qui travaillent chaque jour avec des contenus violents en ligne⁹.

1 Lors d’une analyse forensic, il est primordial de calculer une empreinte (hash) qui identifiera le fichier à l’aide d’une fonction de hachage. Cette empreinte doit être unique, car elle permet de valider que le fichier n’a pas été altéré durant l’investigation. Le calcul des hash permettra ainsi de garantir l’intégrité des fichiers analysés. Il existe plusieurs algorithmes de hachage, tels que MD5, SHA1, SHA2, SHA5… À noter que les algorithmes MD5 et SHA1 comportent des faiblesses de collision (c’est-à-dire le même hash pour deux fichiers différents), et sont de moins en moins utilisés. « Menez une investigation d’incident numérique forensic » par Openclassrooms

2 https://www.eyewitness.global/

3 https://www.ibanet.org/

4 Ancien avocat et procureur de la Couronne au Canada, spécialiste de la preuve par l’image dans le cadre de poursuites pénales.Son ouvrage Image-Based Evidence in International Criminal Prosecutions: Charting a Path Forword, sortira en mars 2024, chez Oxford University Press. Retrouvez son blog à : https://www.jonathanhak.com/

5 Yvonne McDermott Rees est professeure en droit à la Hillary Rodham Clinton School of Law de l’Université de Swansea (Pays-de-Galles) et spécialiste du droit pénal international, des droits de l’homme et des droits des procès équitables. En 2023, elle a coécrit avec Dearbhla Minogue, Siobhán Allen, et Charlotte Andrews-Briscoe, Putting Principles into Practice : Reflections on a Mock Admissibility Hearing on Open Source Evidencetéléchargeable à https://cronfa.swan.ac.uk/Record/cronfa63763/Download/63763__28055__34ad7a3f4a4747b69ae0bedcab99fbfe.pdf

6 https://vae.witness.org/about-video-as-evidence/

7 https://www.videreonline.org/

8 Center on International Cooperation at NYU : https://www.youtube.com/watch?v=ySZl0ojEgcQ

9 Un podcast (en anglais) à écouter à https://open.spotify.com/episode/3h0BY07OpBnaRcxxNIhV04 où les autrices évoquent en particulier la prévalence croissante de ces contenus et de ce que nous pouvons tous faire pour préserver notre santé mentale tout en étant conscient de la manière dont nous nous y connectons

L’article Digital Witness, prélude au protocole de Berkeley est apparu en premier sur OpenFacto.