« Les antivirus sont tous défaillants » : les chercheurs contre-attaquent face aux malwares

« Quand on a commencé, en 2010, l’université n’y croyait absolument pas. Alors on nous a mis au sous-sol… » raille malicieusement le chercheur Jean-Yves Marion en faisant visiter sa « cyber-forteresse » dans les dédales de l’université de Lorraine.

Ce lieu fermé par un sas sécurisé, dont les fenêtres « ont été conçues pour résister à sept coups de hache » et qui abrite « des morceaux de code pouvant être considérés comme des armes de guerre », c’est le Laboratoire de haute sécurité (LHS) du Loria (Laboratoire lorrain de recherche en informatique et ses applications), situé à Nancy.

« Il s’agit d’un des plus importants lieux de recherche dédiés à la cybersécurité en France – avec Rennes et Paris – et le premier labo de haute sécurité ouvert sur le territoire », précise le professeur. Il y a près de quinze ans, aux prémices du LHS, « on parlait encore de virus et de vers » et « d’ados boutonneux à capuche qui préparaient des cyberattaques gentillettes depuis leur garage », se souvient Jean-Yves Marion, presque nostalgique.

Ce temps est bien révolu ! Ce que l’on appelle désormais des programmes malveillants, « malwares » ou « ransomwares », sont téléguidés par des organisations cybercriminelles parfois proches d’Etat, comme la Russie ou la Chine. « Ce sont quasiment des entreprises, qui passent des annonces sur le web, revendent des données sur le marché noir, organisent des concours de recherche de vulnérabilités… » décrit le professeur à l’université de Lorraine.

Une collection de 35 millions de malwares

Face à cette menace mouvante et grandissante – « plus les appareils sont connectés, plus les possibilités d’attaques augmentent ! » – , une foultitude de solutions de cybersécurité a été lancée sur le marché, que ce soit par les grands noms du secteur, comme Trellix, Microsoft ou Symantec, ou par des start-up mettant à profit les dernières avancées de l’intelligence artificielle.

Un écosystème très dynamique, mais où le monde académique a son rôle à jouer. « Les entreprises ont un calendrier court terme, au mieux moyen terme quand elles en ont les moyens. Tandis que la recherche peut se consacrer à du long terme », rappelle Jean-Yves Marion, en donnant l’exemple du phénomène mondial ChatGPT, issu de plusieurs décennies de recherche en laboratoire.

Alors, quel serait le « ChatGPT » du Loria ? Dans sa « cyber-forteresse », le laboratoire a confiné 35 millions de programmes malveillants, collectés sur Internet. « On utilise la technique du pot de miel, qui consiste à se faire passer pour un ordinateur vulnérable, pour les attirer », glisse le chercheur.

Cette base de virus est soigneusement disséquée par la petite équipe de chercheurs, pour améliorer leurs connaissances sur l’état de la cybermenace, mais pas seulement. Ils sont aussi parvenus à concevoir un système capable d’identifier n’importe lequel de ces virus, ainsi que n’importe quelle « souche » issue de ces virus, même sous forme de « variants », légèrement modifiés.

Détecter les « souches » de virus

Une start-up, Cyber-Detect, a été lancée en 2017 pour commercialiser l’outil. « Tous les antivirus que l’on a aujourd’hui sur nos ordinateurs sont défaillants, car ils sont conçus pour identifier les virus déjà connus. Dès qu’un programme sort de ce périmètre, par exemple s’il a été construit spécifiquement pour vous attaquer, ils ne le repèrent plus », pointe Régis Lhoste, à la tête de la start-up, qui emploie une dizaine de personnes.

« De notre côté, on ne s’intéresse pas à la forme complète d’un virus mais uniquement aux petits morceaux de code, aux variants, qui correspondent à des morceaux malveillants », explique l’entrepreneur, dont l’outil a déjà été adopté par une quinzaine de clients, dont la moitié dans le secteur public.

Un budget de 5 millions d’euros

Si la cyber souffrait encore d’un problème de popularité auprès des chercheurs il y a quelques années, car considérée « trop technique », cette voie universitaire « est devenue plus attirante » et « d’énormes moyens ont été mis sur la table au fur et à mesure », a pu constater Jean-Yves Marion.

A l’image du quantique qui a bénéficié d’un plan de financement de 1,8 milliard d’euros en 2021, la filière cybersécurité a été dotée l’an dernier d’une enveloppe de 65 millions d’euros dans le cadre du programme national PEPR Cybersécurité, piloté par le CNRS, Inria et le CEA. Sur cette somme, le projet Defmal de l’université de Lorraine – consacré aux programmes malveillants – a décroché un budget inédit de 5 millions d’euros, échelonné sur six ans.

De quoi mobiliser une douzaine de chercheurs, et surtout développer une approche pluridisciplinaire dans le domaine. « Une plateforme d’échange doit être mise en place pour partager nos données avec les services de l’Etat et des partenaires industriels », précise l’expert. In fine, le but est de multiplier les ponts entre public et privé pour couvrir les multiples facettes de l’écosystème cybercriminel, par exemple, explique-t-il, en entretenant des relations avec les forces de l’ordre, des juristes ou des sociologues.