📰 Source : Computer Weekly, publié le 17 août 2026, par Duncan Campbell (Sussex Centre for Law and Technology) et Bill Goodwin.

Contexte

EncroChat était un réseau de téléphones chiffrés Android utilisé principalement par des groupes criminels organisés en Europe. En 2020, les autorités françaises ont mené une opération secrète pour infecter les appareils EncroChat et exfiltrer les messages de leurs utilisateurs, menant à plus de 6 500 arrestations et la saisie de 270 tonnes de drogues et de près d’un milliard d’euros.

Méthode d’attaque française

L’unité gouvernementale française STNCJ (Service Technique National de Captation Judiciaire) a exploité :

  • La vulnérabilité CVE-2019-2215 dite « Bad Binder » (use-after-free dans le noyau Linux/Android), découverte par Maddie Stone de Google Project Zero en septembre 2019
  • L’outil open source Frida, téléchargé depuis GitHub, utilisé comme cœur du logiciel espion
  • Le serveur de mise à jour d’EncroChat (update.encrochat.ch) sous juridiction française, via OVH Roubaix, pour distribuer l’implant

Le 1er avril 2020, l’implant a été injecté via un faux serveur de mise à jour. 32 014 appareils ont été infectés sur deux mois.

Fonctionnement de l’implant

La rétro-ingénierie menée par Invasys (société tchèque basée à Brno) a révélé :

  • Trois processus cachés avec accès superuser, dont com.android.device
  • Utilisation de Bad Binder pour escalader les privilèges et désactiver SELinux
  • Frida utilisé pour « hooker » l’application de chat com.esocrypt.chat.app.im via des « trampolines »
  • Six hooks nommés Exploit_c à Exploit_h, dont Exploit_H ciblant les messages
  • Exfiltration vers le serveur C2 : https://147.135.143.19:443/214bWv97igU5uGKsGJOcEIyqZeovE3
  • Les messages copiés atteignaient les serveurs policiers en moins de 20 secondes
  • Capacité de wipe à distance via commandes 999 ou 666

Qualité du code

L’implant est qualifié de « hautement non sophistiqué » par Invasys et de « projet étudiant » par le professeur Felix Freiling (FAU Allemagne). Le code contenait une bibliothèque explicitement nommée libexploit, des fonctions obfusquées avec des labels en tchèque, et une erreur connue inversant les champs to/from dans les données d’appel.

Rehack tchèque et preuves de falsification

Invasys a reconstruit l’infrastructure EncroChat pour réinfecter un téléphone saisi (handle LOGICALDEMON) et extraire l’implant. La société a constaté que les 71 images de machines virtuelles fournies par la NCA avaient été falsifiées : données manipulées, supprimées ou corrompues dans les zones critiques au fonctionnement du système.

Implications judiciaires

  • Des milliers de procès au Royaume-Uni ont été menés sans divulgation de la méthode d’interception
  • Le rapport Invasys (146 pages, coût estimé £2 millions) a été transmis à plus de 1 000 affaires EncroChat au Royaume-Uni
  • Des recours sont en cours devant le Tribunal des pouvoirs d’investigation, la Cour européenne de justice et la Cour européenne des droits de l’homme

Type d’article

Article d’investigation journalistique à forte composante d’analyse technique et de publication de recherche, visant à révéler pour la première fois les détails techniques de l’opération française de hacking d’EncroChat et ses conséquences judiciaires en Europe.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • STNCJ (Service Technique National de Captation Judiciaire) (state-sponsored) —
  • C3N (state-sponsored) —
  • NSO Group (state-sponsored) —

TTP

  • T1203 — Exploitation for Client Execution (Execution)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1055 — Process Injection (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1005 — Data from Local System (Collection)
  • T1113 — Screen Capture (Collection)
  • T1112 — Modify Registry (Defense Evasion)
  • T1070 — Indicator Removal (Defense Evasion)

IOC

  • IPv4 : 147.135.143.19 — AbuseIPDB · VT · ThreatFox
  • Domaines : update.encrochat.ch — VT · URLhaus · ThreatFox
  • URLs : https://147.135.143.19:443/214bWv97igU5uGKsGJOcEIyqZeovE3 — URLhaus
  • CVEs : CVE-2019-2215 — NVD · CIRCL
  • Fichiers : base.apk
  • Fichiers : libexploit
  • Fichiers : librealm-jni.so

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 20 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Frida (tool)
  • Bad Binder exploit (CVE-2019-2215) (other)
  • Exploit_H (other)
  • Pegasus (other)
  • EncroChat implant (base.apk) (backdoor)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

  • ⬜ computerweekly.com — source non référencée (0pts)
  • ✅ 47797 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 7 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/3 IOCs confirmés externellement (0pts)
  • ✅ 11 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : STNCJ (Service Technique National de Captation Judiciaire), C3N, NSO Group (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.computerweekly.com/news/366649396/Revealed-Cyber-spies-used-malware-from-GitHub-to-hack-EncroChat-cryptophone-network