Celui qui avait fait une recherche Google
Ou comment une simple recherche en sources ouvertes a conduit à la chute de Ross Ulbricht.
Bonjour,
Et voici la fin de cette rediffusion de l’épisode de Pwned sur la chute de Ross Ulbricht, à la tête du marché noir précurseur, mais néanmoins illégal, Silk Road. N’oubliez pas de partager la newsletter autour de vous si vous l’appréciez (voir le lien ci-dessous). Pour ma part, après le retour au pouvoir de Donald Trump (et la grâce de Ross Ulbricht), je me suis abonné à Musk Watch et Sidebars.
Ces dernières semaines, on a vu dans les deux premiers volets de cette série que l’identification de simples vendeurs, ça fonctionne. Mais cela ne permet pas de remonter jusqu'aux administrateurs. Quant à l’infiltration, elle s'est soldée par des résultats désastreux. Fallait-il vraiment faire aussi compliqué? Parce que la résolution de l’affaire va finalement être boostée par des recherches en sources ouvertes, tout simplement. Pas besoin de jouer à l'infiltré pour résoudre ce mystère criminel, mais encore fallait-il y penser.
Regardons tout d’abord les efforts d’une équipe du FBI, le Cyber Squad 2. Ce sont eux qui vont retrouver la trace des serveurs informatiques de Silk Road. Si on sait où se trouvent les serveurs les enquêteurs pourront alors avoir des indices sur l’identité des administrateurs. Un travail solitaire, visiblement dénigré par les autres agences en charge du dossier. Et bien pourtant, l’intuition était bonne, cette piste sera très intéressante.
Je vous avais dit que le site était anonyme, se protégeant grâce à l’utilisation de Tor. Et bien ça, c’est sur le papier. Mais vous savez très bien qu’il existe toujours des failles. C’est d’ailleurs ce défi qui va intéresser l’agent Christophe Tarbell. Cet enquêteur avait déjà eu son heure de gloire dans l’affaire LulzSec. Il avait réussi à identifier l’un des six pirates, Sabu, qui s’était connecté à un salon de discussion IRC sans anonymiser son adresse IP.
Donc, tout le monde fait des erreurs. Les administrateurs de Silk Road aussi, non? Dans sa déposition, l’agent Tarbell explique que si on regardait de près le trafic échangé entre l’utilisateur et le site au moment de de résoudre le Captcha, ce truc insupportable pour prouver que vous êtes vraiment humain, une adresse IP apparaissait. Celle-ci n’était pas liée à un nœud d'anonymisation Tor, autrement dit un indice très intéressant sur la localisation du serveur. Selon l'agent spécial, cette faille dans l'anonymisation offerte par Tor était causée par une erreur de configuration de la part des administrateurs de Silk Road.
Il y a eu une importante controverse à propos de ce problème de configuration du Captcha. La défense de Ross Ulbricht va contester cette histoire. Pour eux, l’histoire racontée ne tient pas la route et n’est qu’un paravent destiné à masquer le coup de main la NSA, l’agence de renseignement américaine, aux enquêteurs.
Ces derniers auraient donc mené une surveillance sans mandat, ce qui aurait alors eu de sérieuses conséquences judiciaires en faisant tomber une partie des charges. Un chercheur, interrogé par le journaliste spécialisé dans la cybercriminalité Brian Krebs, va dans ce sens. Il a ainsi estimé, au vu des explications données par l’accusation, qu’il y avait anguille sous roche - et que le FBI aurait donc tenté de blanchir par cette explication commode une info obtenue par un autre moyen.
Personnellement, je pense que si on peut s’étonner de cette fuite liée autour du Captcha, on a pas besoin d’en arriver tout de suite à la NSA, une sorte de point Godwin de l’informatique. Il est en effet clair qu’il y avait des problèmes de sécurité avec Silk Road.
Plus que le message dénonçant un problème de sécurité sur Reddit - l’internaute se rétractera ensuite -, je pense à cette note de bas de page dans l’acte d’accusation. Le journal de Ross Ulbricht révèle que l’administrateur de Silk Road s’était inquiété à plusieurs reprises d’une fuite de l’adresse IP du serveur.
Quoiqu’il en soit, cette dernière (193.107.86.49) est rapidement localisée sur un annuaire en ligne d’adresses IP en Islande. Une demande d’entraide judiciaire est lancée. Bingo: selon la police locale, il y a un très gros trafic Tor qui passe par ce serveur.
En juillet 2013, la police de Reykjavik obtient une image du disque dur et la communique aux enquêteurs du FBI qui ont fait le déplacement. Quand ils reviennent à New-York, la moisson est belle. C’est confirmé: il s’agit bien d’une copie du serveur de Silk Road. Ils ont maintenant une partie de la base de données, les messages des vendeurs, les transactions enregistrées, les messages échangés en privé par les utilisateurs, etc…
Ok, saisir le serveur c’est bien, mais faire fermer maintenant le site de Silk Road hébergé en Islande serait un coup dans l’eau. L’opération aurait évidemment bloqué les administrateurs, le temps qu’ils relancent un nouveau site. Mais ils auraient alors compris qu'ils étaient observés de très près. Ce qui en toute logique les auraient poussé à disparaître ou à redoubler de vigilance. Vous l’avez compris, l’enquête a encore besoin d’un gros coup de pouce pour déboucher sur quelque chose de tangible.
C’est là qu’arrive Gary Alford. C’est un jeune enquêteur de l’IRS, le service des impôts, qui vit dans le New-Jersey. En juin 2013, après trois mois de recherches, le jeune homme se lance. Il a des révélations importantes à faire à la DEA: il sait qui est Dread Pirate Roberts, l'insaisissable patron de Silk Road! Alors qu’est-ce que Gary Alford a vu qui avait échappé à la centaine d’enquêteurs qui travaillaient sur le site? C’est d’abord une question de méthode. “C’est juste un gars derrière un ordinateur”, se dit l’agent. En cherchant frénétiquement sur Google, avec l’aide des options avancées du moteur de recherche, par exemple la sélection de plages de dates, il est tombé sur cet étrange message d’un internaute dénommé Altoid.
“Personne ne connaît Silk Road? C’est comme un Amazon.com anonyme”. Cet Altoid est bien renseigné. Nous sommes en janvier 2011, plusieurs semaines avant l’ouverture du supermarché illégal. Si vous êtes familier avec les marchés noirs en ligne, ce décalage vous a alerté. C’est un truc assez courant. Les premiers à en parler, l’air d’être faussement naïfs, sont bien souvent liés à la structure. C’est une façon d’en faire la pub sans se compromettre.
Le message d’Altoid est intéressant car alors personne n’a entendu parler de Silk Road. Par contre, contrairement à Dread Pirate Roberts, Altoid a laissé pas mal de traces en ligne. Dont une adresse mail, rossulbricht@gmail.com, suite à une demande d’aide pour de la programmation. C’est un indice sérieux, car Ross Ulbricht, jusqu’ici pas dans le radar des enquêteurs, est un homme jeune, visiblement libertarien, qui pourrait correspondre avec le profil du créateur de Silk Road.
Et vous savez quoi? Après avoir écouté poliment Gary Alford, on lui dit de partir. On ne l’a pas cru. Pourquoi une telle enquête pourrait-elle être élucidée par une simple recherche Google quand on sait la débauche de moyens mis sur la table depuis deux ans? Mais Gary Alford s’est entêté. Il a eu vent d’une petite visite d’agents de la sécurité intérieure au domicile de Ross Ulbricht, à San Francisco. Ils enquêtent alors sur un envoi de neuf fausses pièces d’identité, destinées à cette adresse. Devant les agents, Ulbricht ne peut pas s’empêcher de faire la promo de Silk Road, indiquant “qu’hypothétiquement”, n’importe qui peut aller sur ce site et acheter de fausses cartes d’identité.
Avec ce recoupement en poche, le travail de Gary Alford prend une nouvelle dimension. Autre indice important: L’adresse de Ross Ulbricht à San Francisco est située à proximité d’un des cafés d’où s’est connecté Dread Pirate Roberts à Silk Road - on le sait grâce à la saisie du serveur en Islande. Dernier signal faible qui montre qu’il s’agit de la bonne piste: le pseudo Frosty de Ross Ulbricht correspond au nom de l’ordinateur de DPR qui s’est connecté au serveur de Silk Road.
Tout est désormais en place pour la rocambolesque interpellation de Ross Ulbricht dans une bibliothèque locale. L’objectif des forces de l’ordre : l’interpeller avec son ordinateur. Mais seulement après s’être assurés que Dread Pirate Roberts est bien connecté à l’administration de Silk Road au moment de l’arrestation. Ce qui permettra d’obtenir un maximum de preuves pour le coincer.
Ce 1er octobre 2013, il n’y a plus de place au Bello Coffee. Ross Ulbricht se rend donc à la Glen Park Library pour y travailler, il s’installe dans le coin Science-Fiction. Cirrus vient de lui envoyer un message, il faut qu’il lui réponde. En réalité, il s’agit de l’agent Jared Der-Yeghiayan. Dès que ce dernier confirme qu’il est bien sur un chat avec Dread Pirate Roberts, le FBI lance l’interpellation. Deux agents en civil commencent par se disputer bruyamment à côté de Ross Ulbricht. Comme s’ils étaient un couple en train de se déchirer.
Ça marche: le suspect lève les yeux, intrigué. Aussitôt l’un des deux agents chipe l’ordinateur portable de l’administrateur de Silk Road, puis le passe à sa collègue, qui fait une nouvelle passe à un troisième enquêteur. L’équipe de rugby du FBI va transformer son essai. Ils ont arrêté leur suspect avec un ordinateur allumé et des données disponibles en clair. Dans les entrailles de l’ordinateur, les enquêteurs trouveront un monceau de preuves compromettantes: journal de bord, échanges et feuilles de calcul sur les finances de Silk Road.
L’enquête sur Silk Road se solde par la condamnation en mai 2015 de Ross Ulbricht à la perpétuité. Une sanction extrêmement lourde. La justice américaine a-t-elle voulu faire un exemple, ce qui est toujours une mauvaise idée? Peut-être, à mauvais escient on va le voir, au vu du retour de bâton. Car le condamné ne baisse pas les bras. En 2021, il lance sa propre série de NFT depuis son lieu de détention, une façon de recueillir des fonds, jusqu’à douze millions de dollars, pour plaider pour sa grâce.
Finalement obtenue avec l’élection de Donald Trump, le nouveau président américain fustigeant les “scums” (ordures ou racailles, selon les traductions) ayant œuvré pour le faire condamner. Toujours aussi inspiré, celui-là. “Je ne suis pas gêné par sa libération”, signalera ensuite Jared Der-Yeghiayan, l’agent qui avait tenté d’infiltrer Silk Road, à Wired. “Je suis gêné si l’on a désormais l’impression qu’il n’a rien fait de mal, cela ne reconnaît pas les faits”, ajoutera-t-il.
A bientôt pour une prochaine histoire de cybercrime,
Bonne soirée,
Gabriel
Relecture: Mnyo
PS: L’histoire vous a plu? Pour me payer un café - par exemple un Bello Espresso - c'est ici ou sur mon wallet BTC (bc1qhx49fpxcnlpe35z4z2j4wmrazpvz7a3ejm4rex).
Sources
DECLARATION OF CHRISTOPHER TARBELL
How the feds staged torture, murder of a Silk Road staffer
Silk Road Lawyers Poke Holes in FBI’s Story
The Untold Story of Silk Road, Part 2: The Fall
Online drug market Silk Road may have leaked its real IP address
Update on the Public IP Leak: An object lesson
The Tax Sleuth Who Took Down a Drug Lord
A Timeline Of The Dark Web Market The Silk Road
Trump Frees Silk Road Creator Ross Ulbricht After 11 Years in Prison