WikiLeaks: Grasshopper — outils CIA pour Windows

Contexte et synthèse

WikiLeaks a diffusé 27 documents présentés comme appartenant à la CIA. Ils décrivent Grasshopper, un framework en ligne de commande (CLI) conçu pour assembler des « installers » Windows contenant des charges malveillantes. Selon ces documents, Grasshopper facilite la création d’infecteurs adaptés à l’OS et à l’antivirus présents sur la machine cible, puis génère un installateur Windows prêt à être exécuté par un opérateur.

Important : les documents sont des fuites. L’origine, l’authenticité et l’usage effectif de ces outils ne sont pas entièrement vérifiables à partir des documents seuls.

Ce que décrit Grasshopper

• Grasshopper est un framework CLI pour générer des exécutables Windows composés d’un ou plusieurs installateurs.
• Un « installer » est une pile de composants qui sont invoqués en série pour préparer et installer une charge (payload).
• L’objectif principal d’un installateur est d’assurer la persistance de la charge sur la machine infectée.

« Un exécutable Grasshopper contient un ou plusieurs installateurs. Un installateur est une pile d’un ou plusieurs composants d’installateur. Grasshopper invoque chaque composant de la pile en série pour agir sur une charge. Le but ultime d’un installateur est de rendre persistante une charge. »

Les fuites indiquent également que Grasshopper peut appliquer des extensions (par exemple, chiffrement) et divers mécanismes de persistance pour rester actif malgré un redémarrage ou des tentatives de nettoyage.

Mécanismes de persistance et réutilisation de code criminel

Un des mécanismes mentionnés s’appelle « Stolen Goods » : il illustre comment la CIA aurait adapté et modifié des composants développés par des cybercriminels. Un exemple cité dans les documents est Carberp, un kit développé par des acteurs russophones. Les auteurs de la fuite écrivent que de larges portions du code d’origine ont été réécrites, mais que certaines parties ont été reprises et adaptées.

« La méthode de persistance et des parties de l’installateur ont été prises et modifiées pour répondre à nos besoins. Une grande majorité du code Carberp original utilisé a été fortement modifiée. Très peu d’éléments du code original existent non modifiés. »

Période d’activité apparente

D’après WikiLeaks, ces outils auraient été utilisés entre 2012 et 2015. Ils s’ajoutent aux autres séries publiées dans Vault7, notamment :

• « Year Zero » — exposant des exploits pour matériels et logiciels répandus.
• « Dark Matter » — ciblant iPhone et Mac.
• « Marble » — source d’un cadre anti-forensique (obfuscation / packer) permettant de masquer l’origine du code.

Implications pour la sécurité et la détection

• Adaptabilité : un framework qui assemble des installateurs selon l’antivirus et l’OS rend la détection par signature plus difficile.
• Persistance : l’accent mis sur la persistance entraîne des risques élevés de compromission durable.
• Réutilisation de code criminel : l’exploitation d’outils existants montre une frontière floue entre malware « commerciaux » et outils d’État.

Quand une fuite décrit des outils capables de contourner des produits antivirus, cela signifie que les défenses basées uniquement sur des signatures sont insuffisantes. Les organisations doivent compléter par :

• détections comportementales,
• segmentation réseau,
• gestion stricte des droits et des privilèges,
• surveillance des intégrités et des redirections de persistance.

Quand cela échoue — limites et contre-exemples

• Compatibilité : un installateur multi-composant peut échouer si l’environnement cible diffère significativement (patchs, configurations réseau, politiques de sécurité).
• Heuristiques EDR modernes : les outils de détection et réponse (EDR) axés sur le comportement peuvent détecter des séquences d’actions suspectes même si les signatures sont inconnues.
• Isolation matérielle : machines en sandbox ou isolées réduisent l’efficacité d’un installateur.

Alternatives et approches défensives

• Remplacer la seule dépendance aux antivirus par une défense en profondeur (EDR, filtrage, least-privilege).
• Audits et tests d’intrusion réguliers pour simuler vecteurs d’attaque.
• Mise à jour et durcissement des endpoints : configuration de whitelisting d’applications sur les postes critiques.

Fiche pratique — checklist par rôle

Analyste SOC

• Rechercher exécutions multiples de processus installateurs inconnus.
• Corréler logs d’installations avec modifications de registre et services.

RSSI / Directeur de sécurité

• Valider stratégie de segmentation réseau et MDM/gestion des endpoints.
• Plan de réponse et procédures de clean-up pour persistance détectée.

Journaliste / Chercheur

• Vérifier l’authenticité des documents avec plusieurs sources.
• Contextualiser les allégations sans extrapoler outre mesure.

Mini-méthodologie : évaluer une fuite technique

1. Recueillir : sauvegarder l’ensemble des documents.
2. Vérifier : chercher corroborations externes (autres fuites, annonces, CVE liées).
3. Analyser : identifier composants, mécanismes, dépendances.
4. Classer le risque : impact × probabilité.
5. Communiquer : produire un résumé clair pour décideurs.

Glossaire (une ligne par terme)

• Payload : code malveillant livré et exécuté sur la machine cible.
• Persistance : mécanisme permettant à un malware de rester actif après redémarrage.
• EDR : Endpoint Detection and Response, détection comportementale sur postes.

FAQ

Qu’est-ce que Grasshopper selon les documents ?

Grasshopper est décrit comme un framework CLI interne permettant de composer des installateurs Windows adaptatifs pour livrer des charges malveillantes et assurer leur persistance.

Ces outils signifient-ils que la CIA a piraté tous les Windows ?

Non. Les documents montrent des capacités techniques mais n’établissent pas l’étendue opérationnelle ni le succès systématique de chaque attaque.

Résumé final

Les documents Vault7 supplémentaires publiés par WikiLeaks présentent Grasshopper comme un outil d’assemblage d’installateurs Windows utilisé par la CIA pour créer des charges personnalisées et persistantes. Pour les défenseurs, ces révélations renforcent l’urgence d’une stratégie de sécurité multi-couches et d’outils comportementaux. Pour les chercheurs et journalistes, la prudence est de mise : vérifier, contextualiser et éviter les conclusions hâtives.

Important : la publication de documents fuités doit être traitée avec rigueur — vérifier l’authenticité, protéger ses sources et protéger les systèmes exposés.