Navigation – Plan du site
Virus

L’invisible et le clandestin

Une ethnographie du virus informatique Storm
The invisible and the clandestine. Ethnography of the computer virus Storm
Nicolas Auray
p. 32-49

Résumés

L’article étudie les êtres spécifiques de l’écologie virale du monde numérique (vers géants, virus et « machines zombies ») en insistant sur deux caractéristiques. D’une part, le fait que les vers informatiques, entités de taille aujourd’hui titanesque, sont un mixte d’émergence par pression sélective dans le milieu et de « contrôle intentionnel planifié », par des êtres humains organisés. D’autre part, le fait que leur propagation repose sur l’exploitation de la curiosité des internautes. L’insécurité liée à la menace qu’ils font planer sur le réseau se nourrit ainsi des failles d’un agir exploratoire à la direction forcément imprédictible. De ce point de vue, l’article documente une fragilité au centre de la « société de l’information ». L’enquête ethnographique étudie les méthodes de chasse et d’endiguement mises en place par les industriels informa- tiques pour amoindrir cette vulnérabilité.

Haut de page

Texte intégral

1Chaos des institutions, crise écologique, maux insidieux : la médiatisation catastrophiste des craquements du corps social est aussi le reflet de l’incertitude incalculable qui caractérise nos « sociétés du risque » (Beck 2001). Ouverts à des nouveaux êtres (Latour 2008), ancrés sur une Terre qui apparaît fragile comme l’écume (Sloterdijk 2006), rongés de l’intérieur par une inquiétude ravageuse sur ce qui est (Boltanski 2009), nous faisons face à une pluralité de boîtes de Pandore. L’imprévisibilité ne se résume plus au simple constat des conséquences fortuites et indirectes de nos actions passées. D’une part émergent des occurrences nouvelles de « menaces » incontrôlables où le risque est intentionnel et provient de malveillances ou de fuites organisées par des contestataires, évoquant les spectres de la cyberguerre, du crime organisé ou du terrorisme globalisé. D’autre part se multiplient des situations où les risques semblent cantonnés aux limbes du visible, ou plus exactement ne permettent plus la construction par ceux qui les observent d’une perception commune, comme s’ils restaient furtifs ou irrésolus : microparticules situées sous le seuil de détection observable mais dont on « pressent » des effets combinatoires ou différés, virus à bas bruit dont on ne connaît pas le potentiel létal, objets techniques suscitant entre sciences sociales un dissensus irréconciliable – comme le numérique à l’école, dont on ne sait s’il fait promesse ou s’il engendre une inquiétante extase.

  • 1 En novembre 1988, Robert T. Morris, fils d’un responsable de la National Security Agency (NSA), tra (...)
  • 2 Dès novembre 1996, le centre de recherche de la firme Symantec, spécialisée dans la protection info (...)
  • 3 Le terme hoax est une contraction de la formule anglo-saxonne hocus pocus, vouée à impressionner le (...)

2Autour de la catégorie de « virus », le numérique affronte toutes ces figures de la « tempête ». À l’origine du terme, les virus informatiques renvoient à des effets intentionnels et non vécus. En 1982, Fred Cohen, en soutenance d’une thèse d’informatique sous la direction de Leonard Adleman à l’université de Californie du Sud, montre au public un petit programme réalisé à des fins expérimentales qui peut, une fois exécuté, s’insérer de façon discrète dans un second programme, puis à partir de là en contaminer d’autres. Ces programmes étaient à l’origine de jeux par lesquels quelques apprentis sorciers désœuvrés ont paralysé des portions du réseau Arpanet1. Mais à partir de 1995, les processus viraux se sont orientés dans une double direction : la coexistence des attaques toujours plus préparées pour rester le plus longtemps possible discrètes (au moins durant la période d’incubation), et d’une réception dans le grand public prenant la forme de la panique en surestimant le nombre d’informations qui n’émanent pas des autorités certifiées. La forme extrême de ce hiatus est le « canular», forme récurrente de la perception publique des virus informatiques2. On peut même se demander si l’auteur du premier hoax3 n’a pas réussi à créer un virus sans écrire une seule ligne de code ! Ce hiatus montre la différence entre la force émotionnelle d’un événement imprévisible et la convocation d’un imaginaire pour en stabiliser la puissance de rupture.

3Les deux attitudes courantes du grand public à l’égard de la sécurité informatique sont d’une part la peur ou l’alarmisme (Taïeb 2001), et d’autre part la négligence ou l’insouciance (Denis 2012). Il est facile de concevoir que, face aux crises amenées par les virus, l’oscillation entre ces deux figures extrêmes a quelque chose d’inopérant. Pour adoucir ce hiatus, ce sautillement aux deux bouts de la chaîne socio-technique, des choses aux représentations, deux approches de sciences sociales consacrées aux humanités digitales ont mis la viralité au centre de leur analyse, sans toutefois prendre en compte de manière pragmatique la dynamique du rapport à l’invisibilité de ceux qui sont confrontés aux virus.

4D’un côté, l’archéologie des médias (Huhtamo & Parikka 2010) a proposé une histoire d’Internet qui se fonde, en se référant à Michel Foucault, sur son projet « archéologique » : une entrée par les « anomalies » et les « choses infâmes », parce qu’elles seraient porteuses de rupture. Dans cette perspective, les virus apparaissent comme des « bruits » ou des rebuts de l’histoire officielle (Brunton 2013). Les « contenus viraux » sont ainsi désignés sous le terme deleuzien de « savoir mineur» par Jussi Parikka (2007, 2010), sans qu’il distingue nettement entre leur dimension sémantique et leur dimension matérielle. Les propriétés de duplication et de remixage, faites de bidouillage de circuits et de piratage, permettent selon lui de faire recirculer les contenus avec modification sous une « logique virale ». Ce que Parikka appelle des « formes zombies » revient hanter la culture numérique, au point de parasiter l’environnement. La dissémination de ces micro-transformations est étudiée dans cette analyse sous la forme de « mèmes » qui engagent le consommateur dans un acte créatif : la notion de « mème » est utilisée par ces auteurs pour renvoyer à des dynamiques de réplication d’éléments culturels reconnaissables par imitation du comportement d’un individu par d’autres individus, sans qu’il y ait répétition. Pour parvenir à être repris par la population davantage que leurs concurrents, certains contenus font l’objet de distorsions légères au fil de leur circulation, et l’étude comparée de ces appropriations est l’objet du travail de ces auteurs pour une étude de la distorsion du contenu sur dix mèmes suivis sur YouTube (Shifman & Blondheim 2010). L’archéologie des médias transforme alors considérablement le concept de mème (Sampson 2012) en éloignant son usage de son cadre théorique initial, le modèle naturaliste analogique néo-darwinien.

5Un autre courant s’inscrit dans le retour d’une sociologie tardienne (Latour, Jensen & Venturini 2013), et analyse la réalité numérique comme des phénomènes de « possession réciproque » ou de contagion. La « tardomania » en sciences sociales (Muchielli 2000) a certes connu un essor antérieur à la croissance du réseau Internet, décrivant un monde fait de fourmillement d’interférences, de répétition foisonnante, de propagation en réseau étoilé, marqué par la force de l’interindividuel, par la quantification des désirs et des croyances. Découvrant la force du réseau et des flux d’adoption qui avaient grossi avec elle, et qu’elle avait d’une certaine manière prophétisée, cette sociologie a donné corps à ces intuitions par des cartographies dynamiques et féeriques du Web.

6Toutefois, ces deux approches, qui insistent sur les représentations associées à l’idée de « viralité », ne prennent pas au sérieux la dynamique entre matérialité et sémantique, c’est-à-dire le rapport entre une « écologie » matérielle, qui permettrait l’existence de ces virus (et qui, comme un réservoir viral, est souvent tenue dans l’invisibilité), et les stratégies mises en place par les chasseurs en sécurité informatique ou le grand public pour les détecter ou contrer leur extension.

7Pour être plus ajusté au réel, entre ces deux figures de la fausse rumeur et de la catastrophe, il faut souligner le rôle décisif de professionnels – des chercheurs en sécurité et les industriels des éditeurs d’antiviraux – qui endiguent la prolifération des virus. Derrière le brassage, en apparence difficile à voir, des virus logiciels et des humains, se trament des raisonnements, des procédures, parfois des propositions de durcissement et de confinement social des parcs informatiques, destinées à nous rassurer. Pour tâtonner dans l’univers fuyant des virus, les chercheurs en sécurité informatique ont inventé des techniques de chasse. Par un effort d’imagination, ils parviennent à intégrer l’imprévisibilité et la nouveauté de l’événement. Cet article étudie les techniques appliquées par les chercheurs en sécurité informatique pour inférer des comportements difficilement perceptibles.

8Il faut cependant remarquer que ces techniques d’identification portent sur deux types d’invisibilité. À l’incertitude sur le lieu et les modes d’action des criminels clandestins, difficiles à repérer et à surveiller, répond l’incertitude sur le comportement d’internautes inexpérimentés qui sont piégés par l’insécurité propre au monde informatique. Internet a en effet fait émerger chez ses utilisateurs un nouveau régime d’engagement marqué par l’ouverture attentionnelle, la figure du butinage ou de la trouvaille heureuse (Auray & Vétel 2013), qui explique à la fois la profusion, le foisonnement, l’impression d’immédiateté de possibles qui s’offrent à la prise, et la vulnérabilité de ces chasses à des pièges. Ainsi, l’économie des virus sur Internet fait fond sur une double imprévisibilité de l’avenir : au flou lié à la clandestinité d’une menace correspond l’impondérable d’une curiosité à la direction imprédictible.

9Comment l’imagination des internautes inexpérimentés dans leur rapport à l’illimitation des possibles les rend-elle crédules face à ces chausse-trappes ? Comment les assaillants arrivent-ils à les piéger ? Comment les scientifiques peuvent-ils détecter les principales manières à la mode pour piéger ces visions fantastiques de l’avenir ? Comment les escrocs réagissent-ils au retour qu’ils ont sur les conjectures faites sur eux par les savants ?

10Cet article répondra à ces questions en deux étapes. Tout d’abord, nous serons attentifs aux êtres spécifiques – vers et automates – de l’écologie virale du numérique. En étudiant les rapports de force entre ces entités, nous verrons qu’un trait caractéristique du numérique est que ces formes émergentes sont contrôlées par des acteurs organisés qui ont des plans et des intentions.

11Nous étudierons ensuite les techniques de chasse utilisées par les scientifiques, et les pièges qu’ils inventent pour traquer cette réalité clandestine. Ensuite, nous traiterons des formes de dissimulation et de manipulation utilisées par les virus pour piéger les internautes inexpérimentés, en étudiant leur régime de définition et leur rythme d’évolution.

Vers, machines zombies et virus

  • 4 Source : http://www.spamcop.net/ spamstats.shtml (Cisco) [lien valide en novembre 2014].
  • 5 Conformément à la définition qu’en donne la Commission nationale de l’informatique et des libertés.
  • 6 Source : Symantec, Monthly Threat report [en ligne], août 2014.
  • 7 En 2010, les principaux sont : Storm (alias Peacom, Nuwar ou Zhelatin), Kraken (alias Bobax, Bobic, (...)

12Selon les statistiques du service gratuit d’information mis en place par le constructeur de routeurs Cisco4, 91 % des contenus diffusés sur Internet seraient du spam, autrement dit du courriel non sollicité envoyé en masse à des utilisateurs dont l’adresse a été captée de manière irrégulière5. Toujours selon les mêmes statistiques, ce pourcentage se serait accru en dix ans : il était de 80 % en 2005. Selon le rapport mensuel de l’entreprise Symantec, les quatre cinquièmes de ce spam proviendraient d’ordinateurs infectés par une poignée de gros opérateurs qui se sont introduits dans des ordinateurs par le biais de virus appelés « vers »6. La littérature spécialisée dans la surveillance d’Internet recense une dizaine de ces « titans criminels »7. Des ingénieurs en sécurité (Dvorsky 2007) estimaient par exemple en 2007 que 8 % des logiciels malveillants tournant sur les ordinateurs Windows proviendraient du même botnet, c’est-à-dire du même parc de machines contrôlé à distance par des pirates malintentionnés. Entre avril et novembre 2009, 29 % du trafic mondial de spam aurait été occasionné par le botnet Cutwail (Rowe, Wood & Reeves 2010). Un événement est souvent cité pour donner un ordre de grandeur : le 11 novembre 2008, lorsque le botnet russe Rustock (mal conçu) fut banni d’Internet par un hébergeur, le trafic mondial de spam chuta de 65 %. Comment est-on arrivé à cette organisation centralisée de la malveillance sur Internet ? Quelques précision préalables pour transcrire le contexte historique s’imposent. On peut appréhender le « virus » comme le résultat d’un « script » particulier de la technologie informatique, comme le fait Jessica R. Johnston (2009) dans son ethnographie de l’industrie des logiciels antivirus. Elle montre que, au moment où la notion s’est introduite, dans les années 1980, il y avait concurrence entre deux métaphores, celle du virus et celle de la « mauvaise herbe » (weed). Le 4 novembre 1988, des ordinateurs du réseau Arpanet (Advanced Research Projects Agency Network), précurseur du réseau Internet, se sont soudainement et dramatiquement arrêtés. Ils étaient devenus léthargiques, comme sans réponse. Des données inédites et imprévues semblaient avoir interféré avec leurs opérations. Ces processus de sabotage semblaient se disséminer autour du monde. C’est alors la notion de virus qui s’est imposée, non pas de manière métaphorique mais parce qu’elle correspondait à un certain « script » de l’activité : on tenta de « mettre en quarantaine » les ordinateurs infectés, on stérilisa le réseau pour limiter une diffusion virulente. Un tel script laissait supposer qu’un logiciel s’était inséré dans d’autres programmes, alors qu’en vérité le programme intrusif était indépendant.

13Déjà, en 1998, Alan Solomon, l’entrepreneur, titulaire d’un doctorat en économie qui avait créé le premier éditeur d’antivirus (Doctor Solomon’s Anti-Virus Toolkit), avait critiqué la métaphore du virus en jugeant qu’elle était trop chargée émotivement. L’euphémisme « mauvaise herbe » lui semblait mieux correspondre au fait que les virus étaient des petits êtres indépendants, certes capables de s’autoreproduire, comme les pollens, les spores, mais susceptibles d’être contrôlés à la manière dont les herbicides contrôlent les asticots. Cependant, la notion de virus s’est établie car elle rend mieux compte de la vitesse effarante à laquelle se répandent ces entités, et donc de la magnitude de la menace, très vite globale, qu’elles génèrent.

  • 8 Un automate « bayésien » est un réseau d’entités semi-autonomes entre lesquelles les relations de c (...)
  • 9 Là où les systèmes bayésiens précédents parvenaient à un taux moyen de 1,16 % (chiffre donné pour l (...)
  • 10 Le taux de réponse au spam est aujourd’hui entre trois et six réponses pour cent mille spams envoyé (...)

14C’est à cause d’un changement d’ordre industriel dans l’organisation du spam que les virus se sont infiltrés de manière plus massive dans les ordinateurs. Le facteur principal de ce changement est apparu en 2004, année considérée par tous les observateurs du numérique comme une césure (McWilliams 2005 ; Brunton 2013) : celle de l’adoption massive par les fournisseurs d’accès des « filtres antispam ». En 2002, Paul Graham, un programmeur célèbre du langage LISP, publie un essai décisif, intitulé « A plan for spam » (Graham 2002), qui transforme radicalement la manière dont sont conçus les filtres antispam. Il propose de transférer le travail de tri et de classification des spams à des processus émergents et non à des heuristiques fondées sur des assomptions précalculées. Alors que la plupart des filtres de l’époque triaient les spams à partir de propriétés remarquables prédéfinies (telle la présence de signes caractéristiques : « FREE ! », « be over 21 », « @*# ? % »), il considère que ces choix sociaux sont facilement contournables par les spammeurs une fois qu’ils ont décodé la règle simple. Graham qualifie les « automates bayésiens8 » de « naïfs », ce qui veut dire qu’ils n’ont pas de préjugés sur le contenu, et peuvent donc apprendre sous la supervision de l’utilisateur qui les nourrit. La trouvaille de Graham est décisive, car elle va de pair avec une amélioration des taux de « faux positifs », ces messages faussement catégorisés en spam et qui sont pourtant du courrier légitime9. La grande quantité de faux positifs était jusqu’alors un frein majeur au développement des spams, car ils pouvaient faire rater des rendez-vous importants. C’est pourquoi l’adoption massive des filtres bayésiens en 2004 a fait baisser d’un facteur mille le pourcentage des utilisateurs recevant un spam dans leur boîte e-mail10. Suite à cette intervention, les spammeurs devaient détenir des équipements de taille beaucoup plus grande (avec un facteur mille) pour envoyer leurs courriels sans qu’ils soient reconnus, et donc prendre le contrôle d’ordinateurs de victimes qui seraient sans le savoir des relais de l’envoi. Seuls les mieux organisés, et ceux qui vendaient des produits illégaux avec une forte marge bénéficiaire, pouvaient ainsi continuer cette activité. Cette disparition des « petits » délinquants ou des facétieux a entraîné l’arrivée des « vers », qui ont comme asphyxié l’écologie virale en devenant prépondérants. Les vers sont toujours décrits comme une sous-catégorie de virus ayant quatre caractéristiques : une plus grande indépendance, un pilotage à distance par des maîtres (appelés « botmasters »), un polymorphisme et parfois des propriétés additionnelles de furtivité.

  • 11 La citation originale est celle-ci : « And-no, it can’t be killed. It’s indefinitely self-perpetuat (...)
  • 12 « Scalper de la bande passante sur un port » signifie en informatique détourner une quantité réduit (...)

15Historiquement, il est vrai que la notion de ver informatique est plus ancienne que le moment 2004. L’intuition du « ver » provient d’un romancier de science-fiction cité dans l’exergue d’un article de deux informaticiens11 : elle a été inventée dans la théorie informatique en 1982 par John F. Shoch et Jon A. Hupp, chercheurs au Xerox Paolo Alto Research Center. Elle désignait un programme distribué entre plusieurs machines distantes, et tirant profit des capacités de calcul en sommeil dans chacune de ces différentes machines. Au lieu de voir cet environnement comme autant de machines indépendantes connectées au réseau, elles sont considérées comme un unique multiprocesseur à la recherche d’un programme pour fonctionner. Le mot a été distingué de celui de « virus », parce que le ver n’avait pas besoin de programme hôte pour se reproduire. C’était un programme autonome vivotant dans la machine infectée de l’utilisateur, exploitant ses ressources au repos, et « scalpant » sur ses ports la partie de la bande passante12 non utilisée pour assurer ses opérations.

  • 13 Une des rares études, celle de MainNerve, déduisait qu’en 2005 vingt-cinq mille nouvelles cartes ba (...)

16Le ver est depuis lors classiquement considéré par les informaticiens comme une variété de virus, parce qu’il en développe une propriété, la perpétuation intrusive de soi, c’est-à-dire la capacité d’explorer son environnement en vue d’infecter une cible et de lui injecter une copie de soi-même. Mais il a deux autres caractéristiques qui le distinguent des virus. D’une part, il est piloté. Le ver en effet ouvre une « porte dérobée » dans l’ordinateur infecté, afin que celui-ci communique à distance avec son « maître », transformant dès lors l’ordinateur en « zombie ». Les opérations réalisées à distance sont nombreuses : fouille des données confidentielles se trouvant dans le disque dur et pouvant être revendues sur le marché noir (numéros de carte bancaire13).

17D’autre part, le ver est polymorphe. Les botnets sont dotés d’un pouvoir de métamorphose tel que leur code informatique mute pour contourner les détecteurs. Un « exploit », nom donné au code informatique d’un ver, change de code à chaque réplication et même de taille toutes les minutes (Holz et al. 2008) pour être moins facilement repérable par les antivirus. La polymorphie du ver lui vient aussi de la manière dont il organise sa communication avec la chaîne de commandement. Entre les premiers vers, nés en 2004, et les vers de « seconde génération », nés en 2007, un changement de mode de furtivité est intervenu. Les premiers, inspirés par MyDoom, qui se diffuse le 1er février 2004, avaient un seul canal de commandement, facile à surveiller, à contrôler ou à attaquer. En revanche, à partir de 2007, les vers de seconde génération reposent sur une architecture furtive parce que décentralisée : au lieu d’émaner d’un serveur unique, les ordres sont répartis entre les nœuds du réseau. Pour mettre en place une telle architecture, le système a implémenté la technologie de la « table de hachage distribuée », utilisée couramment sur les réseaux en pair à pair de partage. Ces communautés l’avaient déployée vers 2006 pour les mêmes raisons : éviter la centralisation de leur annuaire en le distribuant entre l’ensemble de leurs pairs, pour être moins sensibles à une attaque extérieure. Du fait de cette architecture furtive, les vers, depuis cette génération, sont plus difficiles à éradiquer, durent plus longtemps, et atteignent un nouvel ordre de grandeur : entre un et dix millions de machines informatiques chacun (Spiess 2010).

  • 14 Des chercheurs en informatique (Li & Knickerbocker 2007) ont tenté de comparer le fonctionnement de (...)

18Par conséquent, peut-on encore les qualifier de virus ? On pourrait considérer que non puisque – quoique se comportant en parasites – ils ne déstabilisent pas l’hôte. Ils ont néanmoins d’indéniables propriétés virales : autoreproduction, furtivité, polymorphisme. À cela s’ajoute la virulence de leur mode d’infection : dès la première génération, les vers sont intentionnellement ralentis dans leur code pour les empêcher d’être directement trop actifs, cela afin de les rendre invisibles plus longtemps, d’éloigner le moment où apparaissent les premiers symptômes14, et donc de faire durer le commerce sous-jacent. C’est pourquoi de nombreux experts en sécurité informatique identifient leurs modes opérateurs à ceux des virus, et les traquent comme tels.

Clandestinité des vers et façons de les chasser

19L’observation des comportements des vers prend une forme indirecte. L’observation directe est presque impossible sur un univers discret et répartissant sa charge sur un large support. Les attaques virales sont généralement observées par les équipes scientifiques à travers des honeypots, miroirs ou leurres posés à des endroits choisis sur le réseau Internet – sites web, adresses e-mail, routeurs– qui attirent les intrus en leur faisant croire qu’ils peuvent prendre le contrôle d’une machine intéressante. Les assauts sont alors différenciés en fonction de leurs signatures précises. Une signature facile à utiliser est le pattern formé par la série des nombres qui sont générés par le générateur de nombres aléatoires que comporte chaque ver pour réaliser ses infections (XIe et al. 2008). Les honeypots permettent de mesurer le volume des campagnes et leur répartition entre les différentes origines criminelles. Ces systèmes sont « actifs », c’est-à-dire qu’ils ne se contentent pas d’observer les événements qui leur arrivent : ils se déplacent pour comparer à divers nœuds du réseau la densité relative d’infection et produire une cartographie d’ensemble. Seul cet appareillage technique permet d’inférer une mesure exhaustive du champ. Cette démarche s’apparente au paradigme de l’indice (Ginzburg 1980), c’est-à-dire à une capacité à déduire à partir de traces accumulées des « actions significatives » régulières, voire des actions réfléchies, sur le mode du chasseur récoltant des informations par un piège – mais les traces lues sont ici des séries statistiques. Voici deux exemples de la manière dont on peut inférer des actions ou des relations sociales à partir de traces observées.

20Le premier est tiré d’une étude (Stringhini et al. 2014) montrant qu’il existe une division du travail social dans un envoi viral de spam, soit un échange marchand entre des collecteurs d’adresses et des promoteurs. À partir d’un piège à spam déplacé sur soixante-quinze endroits du réseau Internet, les auteurs ont calculé le temps de latence moyen entre le moment où une adresse e-mail est récoltée par un collecteur et la première figuration de cette adresse en tant que destinataire d’un spam. Ils constatent une singularité de la distribution de ces adresses : le délai moyen se distribue entre deux pics principaux (d’ailleurs de taille égale) : le premier autour de quinze jours et le second autour de trois cents jours. Cela leur permet de conclure que la moitié du spam mondial fait l’objet d’un achat, par des promoteurs, d’adresses e-mails précédemment récoltées « au filet » en quelques heures par des acteurs spécialisés dans leur récolte sur la Toile.

21Le second (Kreibich et al. 2009) porte sur la capacité à différencier une opération et un test exploratoire. Ayant disposé sur une durée de 228 jours un mouchard actif pour renifler l’activité des campagnes de spams sur le ver Storm, l’enquête en recense 680. Mais l’étude constate que neuf campagnes ont un ordre de grandeur nettement inférieur en termes de nombre d’adresses ciblées, la moyenne étant l’envoi à 570 adresses par minute. Elle en déduit qu’il s’agit de « tests », et parvient à documenter la manière dont sont effectués ces tests, afin de les déjouer.

  • 15 Pour une énumération de ces travaux, voir Brandon Enright et al. (2008).

22Cet accès par la trace n’est pas sans poser problème. L’un des problèmes est lié à la prolifération de ces mouchards qui sont souvent actifs. Beaucoup d’analyses sont par exemple centrées sur un seul ver, Storm, largement infiltré par des équipes scientifiques concurrentes au point de faire l’objet de conférences qui lui sont dédiées15. Il devient alors difficile de trier, dans les comportements analysés, ceux qui appartiennent spécifiquement au ver et ceux qui tiennent à la présence des scientifiques qui en modifient significativement le fonctionnement. Une blague circulait ainsi largement dans la communauté : « Un jour, le réseau Storm aura fondu en une poignée d’escrocs résiduels mais il y aura toujours en lui une armée de chercheurs enragés qui lutteront l’un contre l’autre pour savoir lequel est l’escroc. »

23Le jeu sur la réflexivité est une dimension essentielle du travail des pirates. Sachant que les chercheurs les observent, ils cherchent à tromper leur vigilance en envoyant des rideaux de fumée. Le 1er février 2004 est apparu le ver MyDoom, l’une des entités virales les plus puissantes jamais diffusées sur le réseau, affectant le système d’exploitation Windows. Une fois ce dernier infecté, il s’envoyait automatiquement à tout le carnet d’adresses de sa victime sous de fausses identités et avec des objets aléatoires. Au démarrage de son activité, le ver organisait une attaque massive par déni de service sur le site web de la compagnie SCO, un petit éditeur informatique haï de la communauté des militants du logiciel libre parce qu’il venait de racheter Unix à l’occasion du démantèlement de la compagnie ATT, et qu’elle intentait des procès contre Linux pour vol de propriété intellectuelle. L’attaque avait pour objectif, en inondant le serveur par un très grand nombre de requêtes ciblées, la mise hors ligne de ce dernier. Un bout de son code, niché dans la plupart de ses zombies, stipulait : « Envoie une requête au site web SCO Inc., http://www.sco. com, toutes les millisecondes, et continue jusqu’au 12 du mois » (Brunton 2013 : 174). L’attaque a porté un coup dévastateur à la crédibilité de SCO. Cependant, l’opération était surtout un piège, destiné à aiguiller sur une fausse piste les agences de cybercriminalité à la poursuite des auteurs de ce virus. Elle a servi à les guider vers de faux coupables, et à gagner du temps.

24Ces vues indirectes empruntant au paradigme de la trace permettent de construire le virus autour de son caractère « vivant » et néanmoins « stable ». Son réservoir viral est ainsi caractérisé par sa pulsation, ses rythmes circadiens par exemple, et par la célérité avec laquelle, comme une araignée, il se déplace sur le réseau –perdant des nœuds et en conquérant d’autres. On observe ainsi des propriétés diurnes des zombies et une pulsation de l’activité des botnets en fonction des fuseaux horaires tout au long de la journée. Par conséquent, et probablement parce qu’ils anticipent ces évolutions, les « maîtres » de ces vers appliquent un minutage précis de leurs infections pour qu’elles se synchronisent avec les pics d’affluence sur le réseau. Des chercheurs ont observé qu’elles sont coordonnées pour éclater dans chaque fuseau lors de son pic diurne, c’est-à-dire entre 14 heures et 18 heures (Dagon, Zhou & Lee 2006). Les botnets ont par ailleurs une taille qui augmente toujours significativement avant Noël, période où les consommateurs sont plus enclins à acheter en ligne et sont plus souvent novices, donc plus faciles à piéger.

  • 16 Depuis 1995, les administrateurs réseau qui tiennent les routeurs se coordonnent pour maintenir un (...)

25La célérité avec laquelle les vers nomadisent sur le réseau est frappante. Pour parer aux mises à jour de sécurité, ils doivent changer régulièrement d’ordinateur hôte. Les noms de domaine des adresses frauduleuses, sur les campagnes de spam, évoluent de même à très grande vitesse. Une équipe de sécurité a montré que pour une campagne de spam dans l’industrie pharmaceutique, le million de spams envoyés le même jour pointe vers 14,7 domaines différents en moyenne. Ces domaines ont une durée de vie moyenne de cinq à six jours. De nouveaux domaines sont sans cesse injectés en nombre, au point que sur une même campagne (dont la durée de vie moyenne n’excède pas dix heures), plus de la moitié de ces domaines – soit huit – sont changés avant qu’elle se termine. Cela doit être rapporté au fait que, entre le moment où un spam pointe vers un nouveau domaine et le moment où il est introduit dans la liste noire des administrateurs de routeurs16, il s’écoule un délai de dix-huit minutes (Kreibich et al. 2009).

26L’inférence par les traces est cependant trop restreinte pour comprendre les conditions de reproduction des chaînes socio-techniques qui sont derrière les virus. C’est pourquoi pour parer à cette défaillance, la documentation est complétée par des analyses exhaustives de forums et de messageries instantanées où se revendent les éléments, voire, plus rarement, par des observations participantes, où les chercheurs font semblant d’acheter, ou font réellement des achats.

Le maintien de cloisons entre l’escroquerie informatique et la criminalité mafieuse

  • 17 Sur un serveur russe, cent cartes bancaires avec les données complètes (cryptogramme et date d’expi (...)

27La réussite d’un botnet suppose la crédibilité économique de l’ensemble du circuit, et donc un lieu de blanchiment pour l’encaissement de ces informations (codes de carte bancaire, numéros de permis de conduire) dont la valeur potentielle est encore un peu virtuelle17. Pour cela, deux rôles particuliers sont progressivement apparus, commissionnant une grosse part (voisine de 50 %) de l’argent des transferts : celui de « confirmateur» et celui de « caissier ». Le confirmateur, celui à qui les hackers vendent, permet de maintenir l’anonymat des caissiers. Il prend en charge l’expédition de la somme à ces derniers, en utilisant des comptes volés sur des services de transfert d’argent électronique ayant une grande pénétration dans les pays hors États-Unis (comme Yandex et WebMoney, utilisés en Russie et en Europe de l’Est). Le caissier est celui qui convertit les accréditations sur les comptes de cartes bancaires usurpés en liquidité. Il a une légitimité auprès des banques, qu’il doit parfois appeler directement.

28Parce qu’une banque n’ouvrira jamais un compte de carte bancaire appartenant à une femme texane si une voix masculine à l’accent slave lui téléphone, il s’est développé un marché souterrain pour ces personnes atypiques, qui sont généralement ancrées localement là où les comptes sont situés. Voici un exemple de ces transactions, rapporté par un informateur :

A — i need someone who can confirme westernunion female visa

  • 18 Nous avons gardé l’orthographe « oralisée»employée : « u » est la contraction de « you ».

B — speaking of u, who can do females ?18

29Des expressions conventionnelles existent – par exemple « fml CA US UK cashout » pour désigner le fait que, à fins de réouverture de comptes bancaires volés (« cashout »), on cherche des femmes (« fml »), de nationalités canadienne, étatsunienne et britannique. Ces ventes s’effectuent sur des places de marché électroniques assez organisées, où certains vendeurs sont distingués par des indicateurs de confiance (ils ont un symbole +v à la fin de leur pseudo) et où les voleurs sont signalés (« Report ripperz to @s– Trade OPEN rippers are note alowed [sic] here... if u find one show the log »). Les meilleurs tarifs et les plus fiables transactions sont d’ailleurs trouvés sur des places de marché privées, protégées par un mot de passe : il faut être parrainé pour y accéder. La prévalence dans ce monde clandestin des clubs fermés s’est nettement accrue entre 2007 et 2011 (Motoyama et al. 2011). Il y a un argot spécialisé mais aussi un style graphique : les protagonistes font leur commande avec des phrases comme « i need 1 mastercard i give 1 linux hacked root », ils font alterner les lettres capitales et les minuscules et utilisent un surlignage de couleurs vives, vert, jaune ou bleu électrique.

30Une séparation existe entre les pilotes de vers et les forces de la criminalité organisée qui, à travers eux, blanchissent leur argent. Un groupe de chercheurs a enquêté sur le blanchiment d’argent du spam pharmaceutique en procédant à l’achat de cent produits vendus par des spammeurs (Levchenko et al. 2011), et est arrivé au constat, largement cité par la suite, que 95 % de l’argent finalement converti l’était dans trois banques, une banque norvégienne installée en Lettonie (DnB nord), une banque azerbaïdjanaise et une banque de l’État de Saint-Christophe-et-Niévès, un minuscule paradis fiscal situé dans les Petites Antilles, placé par le G20 depuis 2009 sur liste grise. Cette fragilité est le talon d’Achille actuel de cette écologie virale marquée par la concurrence de collectifs hétérogènes dont chacun contribue à entretenir un cheval de Troie.

De la viralité à la curiosité : une phénoménologie de l’infection informatique

31Les vers sont un objet « biface » : ils ont une partie informatique opérant sous les seuils de perceptibilité humaine, et une partie sémantique destinée à envoyer une « charge mentale ». Car pour pouvoir se propager sur d’autres machines (généralement par le carnet d’adresses des utilisateurs déjà infectés), il lui est nécessaire que sa nouvelle victime l’exécute, et pour cela télécharge un fichier ou clique sur un lien. Les vers intègrent donc des technologies de manipulation sophistiquées pour pouvoir proliférer ou se stabiliser. Quelles sont- elles ? Comment ont-elles évolué ?

  • 19 Pour un développement sur l’importance du régime d’exploration dans les usages d’Internet, nous nou (...)

32Pour comprendre la manière dont se comportent les personnes qui inventent ces dispositifs, il faut étudier comment s’élaborent les attentes dans le contexte spécifique d’Internet. Le réseau fait cohabiter deux dimensions d’imprévisibilité d’une façon qui suscite une très forte curiosité, voire une crédulité, des utilisateurs. D’une part, la connexion au réseau est souvent anticipée ou vécue comme ouvrant un ensemble de possibles, de promesses à portée de clic ou de surprises étonnantes, sur le modèle du hasard chanceux19. En formulant ces promesses exceptionnelles, les escrocs exploitent l’incapacité à réfréner l’excitation. D’autre part, l’innovation technologique, par les inventions qu’elle libère dans la société, les nouveaux agencements dont elle esquisse la venue, ouvre naturellement la voie à des croyances fantastiques. À ce titre, dans les situations de connaissance complexe, les novices, parce que la recherche dans le savoir encyclopédique a un coût trop important, abandonnent souvent toute tentative de se former une représentation pleinement propositionnelle du contenu qu’on leur communique, et cela entraîne une forte crédulité. Cela fait le sel des bizutages de débutants appelés « chasse au dahu » (Umbres 2013). En renvoyant ici les utilisateurs à leur compréhension obscure du réseau, les messages piégeurs abaissent encore la vigilance épistémique (Origgi 2007 ; Hardwig 1991) des internautes novices. Ils soumettent ces derniers à des processus infra-intentionnels marqués par un certain emballement rationnel, excité ou passionnel. Comment la curiosité est-elle suscitée et contrôlée ?

L’abaissement de la vigilance épistémique

33Tous les vers incluent des architectures qui permettent de maximiser par des variations différentielles l’effet de surprise que suscitent les messages qu’ils envoient. Ils possèdent un système intégré de dictionnaires dans lesquels ils vont puiser pour construire leurs variantes, ceux-ci se renouvelant régulièrement. Ces dictionnaires ont pour but d’injecter de la « salade textuelle », susceptible d’effectuer un « empoisonnement » des filtres bayésiens des logiciels antispam. D’après le mouchard actif infiltré sur le ver Storm par l’équipe de Christian Kreibich (Kanich et al. 2008), sur les 188 campagnes de spam recueillies, seule une ne faisait pas appel à un dictionnaire pour infiltrer cette salade textuelle.

34Mais il est un phénomène plus marquant, apparu avec le ver Storm en 2009. Tirant parti du fait qu’ils ont un accès direct au contenu des disques durs des utilisateurs, les vers de seconde génération possèdent un système intégré de fouille qu’ils utilisent pour produire des textes imitant le style d’écriture du véritable propriétaire de la machine infectée. En particulier, ils reprennent le nombre moyen de lignes des messages, l’utilisation de signatures, de majuscules et d’abréviations. Certaines techniques les rendent capables de passer outre la plupart des filtres antispam actuels puisqu’ils deviennent alors presque indiscernables des e-mails normaux envoyés par ses contacts réguliers à l’utilisateur (O’Hara et al. 2012) ! L’abaissement de la vigilance épistémique s’explique ainsi par l’intégration des entités dans les routines de langage de l’utilisateur, dans les arrière-plans d’attentes socialement partagées, dans la confiance dans le témoignage d’autrui. Elle repose aussi sur la « suspension de l’incrédulité » en régime de réception romanesque.

La substitution de la curiosité à la crédulité

  • 20 Brunton donne pour exemple le ver Bigfoot (qui fait référence à une découverte archéologique préten (...)
  • 21 Il faut toutefois, pour que l’exécutable soit envoyé à l’utilisateur, que ce dernier ait une vulnér (...)

35La grande majorité des vers s’introduisent en attirant la curiosité des récepteurs. Paul Graham déjà avait anticipé que le « spam du futur», fait pour mieux tromper les filtres, prendrait la forme de petits confettis de texte avec un simple lien. L’excitation liée à la « nouvelle » permet de tromper les filtres : il n’y a pas trop de mots dans le texte du courriel, ceux-ci se transportant dans la page sur laquelle le récepteur va cliquer, tout en excitant le lecteur avec une annonce ou un scandale. Finn Brunton (2013) montre que la nouvelle est le mode prééminent de l’émission de spams aujourd’hui20. Le ver Storm se propagea initialement en janvier 2007 avec une « breaking news », un e-mail d’annonce d’une catastrophe qui avait lieu au même moment, la tempête Kyrill qui ravageait l’Europe : « 230 morts dans une tempête qui frappe l’Europe. » Son architecture lui permettait de se modifier très rapidement en intégrant de nouvelles annonces croustillantes en lien avec l’actualité : « Un missile chinois abat un avion américain » et « La secrétaire d’État américaine Condoleezza Rice a botté les fesses de la chancelière allemande Angela Merkel. » Thorsten Holz et ses collègues recensent vingt et une campagnes d’e-mails différentes sur la période de décembre 2006 à janvier 2007 (Holz et al. 2008). Le simple clic de l’utilisateur, l’impulsion exploratoire, suffit pour y ouvrir une porte dérobée, y loger le ver et lui permettre d’aller chercher dans le carnet d’adresses la liste des victimes suivantes21. Parmi les nouvelles, la curiosité macabre est exploitée avec prédilection. On sait depuis saint Augustin que la « concupiscence des yeux », mélange de goût morbide pour le malheur des autres et d’excitation pour le spectacle de l’horrible, est au cœur de cette curiosité (Tasinato 1999).

  • 22 Gabriella Coleman (2012) réalise une ethnographie des black hats à partir de leurs jeux avec la mac (...)

36De ce point de vue, le ver informatique exploite une forme de connaissance de la méconnaissance, ce qui est appelé par ces escrocs une « ingénie- rie sociale». Derrière le brassage, en apparence fluide, des virus et des humains, où se trament en fait des infrastructures et des pratiques (des raisonnements, des procédures), s’active une « intelligence de la réalité » qui est propre aux hackers aussi appelés « black hats »22. Ceux qui arrivent à faire vivre l’écologie virale autour de laquelle prolifèrent les vers informatiques ont en effet une capacité à comprendre les manières dont est construite la réalité selon des schèmes sociaux que les autres interlocuteurs ne maîtrisent pas.

Conclusion

37Cet article a exploré l’organisation de l’écologie virale dans le contexte actuel du réseau numérique. Nous avons observé comment, depuis 2004, un certain « réservoir viral » s’était formé, dans lequel avaient prééminence une poignée de titanesques vers informatiques, possédant des propriétés telles qu’ils ont été catégorisés comme virus : autoreproduction, polymorphisme et mobilité. Pour que ces sortes de virus se déploient, il faut une infrastructure très forte, très puissante, une grande concentration de moyens. Mais le plus étonnant dans notre enquête a porté sur la façon dont s’est organisée la mise en « observation » de ces entités, qui par définition recherchent la clandestinité et qui sont imprévisibles.

38Nous avons limité notre analyse de cette double invisibilité à la chasse à un gros « vers informatique » (Storm), qui prend la forme du paradigme indiciaire utilisé dans l’ordre de la chasse. Deux conclusions se construisent à partir d’une telle approche. La première est que la force virale de ces entités est directement connectée à l’ouverture à l’imprévisibilité qui structure la popularité du réseau Internet. D’une certaine façon, les virus informatiques ont ceci de particulier que leur moteur viral se situe dans la sphère de la curiosité humaine. Il y a ainsi une réflexivité spéculaire entre la suspension de la vigilance (épistémique) qui caractérise l’ouverture à l’imprévisible de la situation, propre à la curiosité de l’internaute, et la propagation technique de ces entités informa- tiques résiduelles. L’essor digital des vers est une conséquence de la place exceptionnelle prise par le régime d’engagement curieux dans les usages massifs et normaux du réseau Internet.

39Par ailleurs, tâtonner dans l’univers fuyant des virus a entraîné des chercheurs en sécurité informatique à sophistiquer des techniques de chasse. Par un effort d’imagination, elles leur permettent d’intégrer l’imprévisibilité et la clandestinité des forces en jeu pour inférer des comportements qui sont difficilement détectables. Entre le grand public et les chasseurs, il existe une même curiosité pour les virus, une même vulnérabilité à l’inattendu, et des dérapages possibles. L’anthropologie des virus ouvre à une étude de la vulnérabilité des sociétés humaines face à l’opportunité accrue des hypothèses fantastiques et des désertions frauduleuses.

Armstrong Alice, 2011

« Sakawa’ rumours. Occult Internet fraud and Ghanian identity », UCL Anthropology Working Papers, vol. 8. Disponible en ligne, http://www.ucl.ac.uk/​anthropology/​ research/working-papers/082011.pdf [lien valide en novembre 2014].

Auray Nicolas & Bruno Vétel, 2013

« L’exploration comme modalité d’ouverture attentionnelle : design et régulation d’un jeu freemium », Réseaux, n° 182, « Le sujet et l’action à l’ère numérique », p. 153-186.

Auray Nicolas, 2011

« Les technologies de l’information et le régime exploratoire », in Danièle Bourcier & Pek Van Andel (dir.), La Sérendipité. Le hasard heureux, actes du colloque « La sérendipité dans les sciences, les arts et la décision » (Cerisy, 20-30 juillet 2009), Paris, Hermann éditeurs.

Beck Ulrich, 2001 [1986]

Société du risque. Sur la voie d’une autre modernité, Paris, Aubier, coll. « Alto ».

Boltanski Luc, 2009

De la critique. Précis de sociologie de l’émancipation, Paris, Gallimard, coll. « NRF essais ».

Brunner John, 1975

The Shockwave rider, New York, Harpers & Row.

Brunton Finn, 2013

Spam. A shadow history of the Internet, Cambridge (USA), The MIT Press, coll. « Infrastructures series ».

Burrel Jenna, 2008

« Problematic empowerment. West African Internet scams as strategic misrepresentation »,

Information Technology and international development, vol. 4, n° 4, p. 15-30. Disponible en ligne, http://itidjournal.org/​ itid/article/viewFile/308/140[lien valide en novembre 2014].

Coleman Gabriella, 2012

Coding Freedom. The ethics and aesthetics of hacking, New Jersey, Princeton University Press.

Dagon David, Zhou Cliff Changchun & Wenke Lee, 2006

« Modeling botnet propagation using time zones », NDSS Symposium 2006. Conference Proceedings [2-3 février 2006, San Diego, Californie], Reston, Internet Society. Disponible en ligne, http://www. internetsociety.org/doc/modeling-botnet-propagation-using-time-zones [lien valide en novembre 2014].

Denis Jérôme, 2012 « L’informatique et la sécurité. Le souci de la fragilité technique », Réseaux, n° 171, vol. 1, « Le travail ordinaire de la sécurité », p. 161-188. Disponible en ligne, http://www.cairn.info/​ revue-reseaux-2012-1.htm [lien valide en novembre 2014].

Dvorsky George, 2007

« Storm Botnet storms the Net », IEET.org,

http://ieet.org/​index.php/​ IEET/more/dvorsky20070927/ [lien valide en novembre 2014].

Enright Brandon, Voelker Geoffrey M., Savage Stefan, Kanich Chris & Kirill Levchenko, 2008

« Storm. When researchers collide », ;Login: The USENIX magazine, vol. 33, n° 4. Disponible en ligne, https://www.usenix.org/​ publications/login/august-2008-volume-33- number-4 [lien valide en novembre 2014].

Franklin Jason, Paxson Vern, Perrig Adrian & Stefan Savage, 2007

« An inquiry in the nature and the causes of the wealth of Internet miscreants », in Sabrina De Capitani di Vimercati, Paul F. Syverson, David Evans (dir.), CCS’07. Proceedings of the 14th ACM conference on computer and communications security (Alexandria, USA, 29 octobre - 2 novembre 2007), New York, ACM, p. 375-388. Disponible en ligne, http://cseweb. ucsd.edu/~savage/papers/CCS07.pdf [lien valide en novembre 2014].

Ginzburg Carlo, 1980

« Signes, traces, pistes. Racines d’un paradigme de l’indice », Le Débat, n° 6, p. 3-44.

Graham Paul, 2002 (août)

« A plan for spam », PaulGraham.com, http://www.paulgraham.com/​spam.html [lien valide en novembre 2014].

Hardwig John, 1991

« The role of trust in knowledge », Journal of philosophy, vol. 88, n° 12, p. 693-708. Disponible en ligne, https://www.msu. edu/~orourk51/860-Phil/Handouts/Readings/ Hardwig-RoleOfTrustInKnowledge-JPhil-1991. pdf [lien valide en novembre 2014].

Holt Thomas J. & Eric Lampke, 2010

« Exploring stolen data markets online. Products and market forces », Criminal Justice studies. A critical journal of crime, law and society, vol. 23, n° 1, p. 33-50.

Holz Thorsten, Steiner Moritz, Dahl Frederic, Biersack Ernst & Felix Freiling, 2008 (9 avril)

« Measurements and mitigation of peer-to- peer based botnets. A case study on storm worm », Usenix.org, https://www.usenix.org/​ legacy/event/leet08/tech/full_papers/holz/ holz_html/index.html

[lien valide en novembre 2014].

Huhtamo Erkki & Jussi Parikka (dir.), 2010

Media Archeology. Approaches, applications and implications, Berkeley, University of California Press.

Johnston Jessica R., 2009

Technological Turf wars. A case study of the computer antivirus industry, Philadelphie, Temple University Press.

Kanich Chris, Kreibich Christian, Levchenko Kirill, Enright Brandon, Voelker Geoffrey M., Paxson Vern & Stefan Savage, 2008

« Spamalytics. An empirical analysis of spam marketing conversion », in Paul Syverson, Somesh Jha & Xiaolan Zhang (dir.), CCS’08. Proceedings of the 15th ACM Conference on computer and communications security. Alexandria, Virginia, USA, October 27-31, 2008, New-York, ACM. Disponible en ligne,

http://www. cs.uic.edu/~ckanich/papers/cacm.spamalytics. pdf [lien valide en novembre 2014].

Kreibich Christian, Kanich Chris, Levchenko Kirill, Enright Brandon, Voelker Geoffrey M., Paxson Vern & Stefan Savage, 2009

« Spamcraft. An inside look at spam campaign orchestration », conférence donnée dans le cadre de l’atelier LEET’09, 2nd USENIX workshop on large-scale exploits and emergent threats. Botnets, spyware, worms, and more (Boston, 29 mars 2011) [en ligne], https://www.usenix.org/​legacy/​events/​ leet09/tech/full_papers/kreibich/kreibich_ html/ [lien valide en novembre 2014].

Latour Bruno, Jensen Pablo & Tommaso Venturini, 2013

« Le tout est toujours plus petit que ses parties. Une expérimentation numérique des monades de Gabriel Tarde », Réseaux, n° 177,

« Politique des algorithmes. Les métriques du Web », p. 199-233.

Latour Bruno, 2008 « Pour un dialogue entre science politique et science studies », Revue française de science politique, vol. 58, n° 4, p. 657-678. Disponible en ligne, http://www.cairn.info/​revue-francaise-de-science-politique-2008-4- page-657.htm [lien valide en novembre 2014].

Levchenko Kirill, Pitsillidis Andreas, Chachra Neha, Enright Brandon, Felegyhazi, Mark, Grier Chris, Halvorson Tristan, Kanich Chris, Kreibich Christian, Liu He, Mccoy Damon, Weaver Nicholas, Paxson Vern, Voelker Geoffrey M. & Stefan Savage, 2011 « Click Trajectories. End-to-end analysis of the spam value chain », in Computer Society Technical Committee on Security and Privacy, 2011 IEEE Symposium on Security and Privacy (SP 2011) [Oakland, 22-25 mai 2011], Piscataway, Institute of Electrical and Electronics Engineers, p. 431-466.

Li Jun & Paul Knickerbocker, 2007

« Functional similarities between computer worms and biological pathogens », Computers and Security, vol. 26, pp. 338-347. Disponible en ligne, http://netsec.cs.uoregon. edu/research/papers/li07bio.pdf [lien valide en novembre 2014].

Mcwilliams Brian, 2005

Spam Kings. The real story behind the high- rolling hucksters pushing porn, pills, and @*#?% enlargements, Sebastopol (USA), O’Reilly.

Motoyama Marti, Mccoy Damon, Levchenko Kirill, Savage Stefan & Geoffrey M. Voelker, 2011

« An analysis of underground forums », in ACM, IMC’11. Proceedings of the 2011 ACM SIGCOMM Internet Measurement Conference, November 2-4, 2011, Berlin, Germany, New York, ACM.

Muchielli Laurent, 2000

« Tardomania ? Réflexions sur les usages contemporains de Tarde », Revue d’histoire des sciences humaines, n° 3, vol. 2, « Gabriel Tarde et la criminologie au tournant du siècle », p.161-184. Disponible en ligne, http://www. cairn.info/revue-histoire-des-sciences- humaines-2000-2-page-161.htm [lien valide en novembre 2014].

O’hara Kieron, Contractor Noshir°S., Hall Wendy, Hendler James A. & Nigel Shadbolt, 2012

« Web science. Understanding the emergence of macro-level features on the World Wide Web », Foundations and trends in Web science, vol. 4, n° 2-3, p. 103-267.

Origgi Gina, 2007

Qu’est-ce que la confiance ?, Paris, J. Vrin, coll. « Champs philosophiques ».

Parikka Jussi, 2007

Digital Contagions. A media archaeology of computer viruses, New York, Peter Lang, coll. « Digital formations ».

Parikka Jussi, 2010

Insect media. An archaeology of animals and technology, Minneapolis, University of Minnesota Press, coll. « Posthumanities ».

Rowe Brent, Wood Dallas & Douglas Reeves, 2010

« How the public views strategies designed to reduce the threat of botnets », in Alessandro Acquisti, Sean W. Smith, Ahmad-Reza Sadeghi (dir.), Trust and trustworthy computing. Third International Conference, TRUST 2010, Berlin, Germany, June 21-23, 2010. Proceedings, Berlin/New-York, Springer Verlag coll. « Lecture notes in computer science », série « LNCS sublibrary », p. 337-351.

Sampson Tony D., 2012

Virality. Contagion theory in the age of networks, Minneapolis, University of Minnesota Press.

Shifman Limor & Menahem Blondheim, 2010

« The medium is the joke. Online humor about and by networked computers », New Media & Society, vol. 12, n° 8, p. 1348-1367.

Sloterdijk Peter, 2006

Le Palais de cristal. À l’intérieur du capitalisme planétaire, Paris, Maren Sell.

Spiess Kevin, 2010 (26 février)

« Big botnet shut down by sudden counter attack », Neoseeker.com, http://www. neoseeker.com/news/13240-big-botnet-shutdown-by-sudden-counterattack/ [lien valide en novembre 2014].

Stone-Gross Brett, Abman Ryan, Kemmerer Richard A., Kruegel Christopher, Steigerwald Douglas G. & Giovanni Vigna, 2013

« The underground economy of fake antivirus software », in Bruce Schneier (dir.), Economics of information security and privacy III, Berlin/New-York, Springer Verlag, p. 55-78.

Stone-Gross Brett, Holz Thorsten, Stringhini Gianluca, & Giovanni Vigna, 2011

« The underground economy of spam. A botmaster’s perspective of coordinating large- scale spam campaigns », conférence donnée dans le cadre de l’atelier LEET’11, 4th USENIX workshop on large-scale exploits and emergent threats. Botnets, spyware, worms, and more (Boston, 29 mars 2011) [en ligne], https://www.usenix.org/​legacy/​events/​ leet11/tech/full_papers/Stone-Gross.pdf [lien valide en novembre 2014].

Stringhini Gianluca, Hohlfeld Oliver, Kruegel Christopher & Giovanni Vigna, 2014

« The harvester, the botmaster, and the spammer: on the relations between the different actors in the spam landscape », in ACM, ASIA CCS’14 Proceedings of the 9th ACM symposium on information, computer and communications security. June 4-6, 2014, Kyoto, Japan, New-York, ACM, p. 353-364.

Taïeb Emmanuel, 2001

« Persistance de la rumeur. Sociologie des rumeurs électroniques », Réseaux, n°106, vol. 2, « Internet et le commerce électronique », p. 231-271. Disponible en ligne, http://www. cairn.info/revue-reseaux-2001-2-page-231. htm [lien valide en novembre 2014].

Tasinato Maria, 1999

La Curiosité. Apulée et Augustin, Lagrasse, Verdier.

Umbres Radu, 2013

« Chasse au dahu et vigilance épistémique », Terrain, n°61, « Rires », p. 84-101. Disponible en ligne, http://terrain.revues.org/​15187 [lien valide en novembre 2014].

Xie Yinglian, Yu Fang, Achan Kannan, Panigrahy Rina, Hulten Geoff & Ivan Osipkov, 2008

« Spamming botnets. Signatures and characteristics », in Christos Faloutsos, Thomas Karagiannis & Pablo Rodriguez (dir.), Proceedings of the first workshop on online social networks, actes du colloque SIGCOMM’08 (Seattle, 17-22 août 2008), New-York, ACM. Disponible en ligne, http://ccr.sigcomm.org/​ online/files/p171-xie.pdf [lien valide en novembre 2014].

Haut de page

Notes

1 En novembre 1988, Robert T. Morris, fils d’un responsable de la National Security Agency (NSA), travaille à partir d’une console lui donnant accès à un ordinateur universitaire. En principe, il expérimente ce jour-là un programme autoreproducteur. Malheureusement, il en perd presque aussitôt le contrôle et des copies passent rapidement hors du système pour se répandre à travers le réseau Internet auquel il est relié. En moins de vingt-quatre heures, c’est la panique : 6 200 terminaux sont affectés, un grand nombre d’entre eux restant momentanément non opérationnels. Il a été évalué qu’au cours de cet épisode, 10 % des ordinateurs connectés à Internet furent rendus partiellement ou totalement non opérationnels. Les dégâts causés furent estimés à près de cent millions de dollars américains. Ce sont paradoxalement des erreurs dans le code qui ont rendu le programme dangereux : un ordinateur pouvait être infecté plus d’une fois, et chaque processus additionnel ralentissait la machine au point de la rendre inutilisable.

2 Dès novembre 1996, le centre de recherche de la firme Symantec, spécialisée dans la protection informatique, signale que plusieurs virus avec lesquels certains s’amusent à faire peur n’existent pas et sont des canulars : ainsi les faux virus Good Times, Deeyenda, Email, Irina, 3b Trojan, Trojan, PKZip et PKZ300B.ZIP. Selon Sophos, environ 70 % des avertissements qui circulent sur Internet mentionnant des virus correspondent en réalité à de « faux virus », une part d’entre eux étant signalés par de « faux antivirus » (Stone-Gross et al. 2013).

3 Le terme hoax est une contraction de la formule anglo-saxonne hocus pocus, vouée à impressionner les spectateurs des spectacles de prestidigitation et à distraire leur attention. Il est couramment employé pour qualifier un mensonge forgé à des fins humoristiques, parfois malveillantes. Il désigne plus récemment un canular informatique.

4 Source : http://www.spamcop.net/ spamstats.shtml (Cisco) [lien valide en novembre 2014].

5 Conformément à la définition qu’en donne la Commission nationale de l’informatique et des libertés.

6 Source : Symantec, Monthly Threat report [en ligne], août 2014.

7 En 2010, les principaux sont : Storm (alias Peacom, Nuwar ou Zhelatin), Kraken (alias Bobax, Bobic, Cotmonger), Cutwail, Nugache, Ozdok (alias Mega-D), Grum, Lethic, Festi, Bagle, Srizbi (alias Exchanger, Cbeplay), Conficker (alias Kido), Rustock et Wopla. L’équipe de recherche menée par Jason Franklin note qu’ils constituent à eux treize 90 % du volume du spam mondial, et les appelle des « titans » (Franklin et al. 2007).

8 Un automate « bayésien » est un réseau d’entités semi-autonomes entre lesquelles les relations de cause à effet ne sont pas déterministes, mais probabilisées. Tous les mots entre guillemets de la section 1 sont issus du vocabulaire récurrent indigène.

9 Là où les systèmes bayésiens précédents parvenaient à un taux moyen de 1,16 % (chiffre donné pour le filtre le plus répandu, inventé par les ingénieurs Pantel et Lin), le système de Graham tombait à 0,03 %.

10 Le taux de réponse au spam est aujourd’hui entre trois et six réponses pour cent mille spams envoyés, pour un taux de conversion final (autrement dit le pourcentage d’utilisateurs qui achètent vraiment le produit commercial proposé) de l’ordre de trois à six pour dix millions d’envois (Kanich et al. 2008).

11 La citation originale est celle-ci : « And-no, it can’t be killed. It’s indefinitely self-perpetuating so long as the net exists. Even if one segment of it is inactivated, a counterpart of the missing portion will remain in store at some other station and the worm will automatically subdivide and send a duplicate head to collect the spare groups and restore them to their proper place » (Brunner 1975). Leur propension à se reproduire la nuit conduit l’écrivain à les décrire comme des « programmes vampires ».

12 « Scalper de la bande passante sur un port » signifie en informatique détourner une quantité réduite de la voie de circulation pour des usages occultes. Le fait que cette quantité soit réduite permet de maintenir l’opération le plus longtemps possible indétectable par l’usager qui en est victime.

13 Une des rares études, celle de MainNerve, déduisait qu’en 2005 vingt-cinq mille nouvelles cartes bancaires Visa étaient ainsi compromises chaque mois.

14 Des chercheurs en informatique (Li & Knickerbocker 2007) ont tenté de comparer le fonctionnement de huit vers au mode opératoire de huit agents pathogènes biologiques, rapprochant par exemple le ver Code Red II du bacille de la tuberculose parce que dans les deux cas les dynamiques ne sont pas immunisantes.

15 Pour une énumération de ces travaux, voir Brandon Enright et al. (2008).

16 Depuis 1995, les administrateurs réseau qui tiennent les routeurs se coordonnent pour maintenir un système automatisé qui place en liste noire les adresses IP (et les DNS) envoyant du spam : la Composite Blocking List (CBL) (voir http://cbl.abuseat.org/). Bien sûr, il est possible d’envoyer des messages en passant par d’autres routeurs non membres de cette communauté, mais l’accès à l’épine dorsale de l’Internet est alors compromis.

17 Sur un serveur russe, cent cartes bancaires avec les données complètes (cryptogramme et date d’expiration) s’échangent contre 10,66 dollars, le prix d’un million d’adresses est de 120 dollars, l’envoi d’un million de messages spam vaut environ 100°dollars. Une campagne de spam à la nigériane (environ 200 000 destinataires pour le message envoyé d’un seul coup) coûte ainsi 20°dollars à celui qui veut la produire. On peut vendre les données « en vrac », donc moins cher parce que c’est au récepteur de trier les pépites, autour de 10 dollars le mégabit. On peut aussi louer une partie de la capacité de son botnet sur des fonctionnalités dédiées : une heure d’une grosse partie de botnet pour faire du déni de service distribué est louée 15°dollars (Holt & Lampke 2010). On peut aussi vendre des botnets : leur prix se situe entre 0,04 et 0,1°dollar la machine (Franklin et al. 2007). Ces tarifs se forment en fonction de l’offre et de la demande de telle sorte qu’ils permettent une rentabilité pour chaque maillon de la chaîne.

18 Nous avons gardé l’orthographe « oralisée»employée : « u » est la contraction de « you ».

19 Pour un développement sur l’importance du régime d’exploration dans les usages d’Internet, nous nous permettons de renvoyer à Auray & Vétel (2013), de même que, sur son extension à la notion (à la mode) de « sérendipité », à Auray (2011). Au sujet des escroqueries sur Internet, voir Burrel (2008) et Armstrong (2011).

20 Brunton donne pour exemple le ver Bigfoot (qui fait référence à une découverte archéologique prétendue et controversée), ainsi nommé à partir du message qui se présentait comme une information d’actualité, qui a permis sa propagation infectieuse : « Bigfoot found, shot down in cold blood » (Brunton 2013 : 238).

21 Il faut toutefois, pour que l’exécutable soit envoyé à l’utilisateur, que ce dernier ait une vulnérabilité dans son logiciel de navigation. Le ver Storm était suffisamment sophistiqué pour ne pas envoyer son exploit lorsqu’il détectait que le navigateur de l’utilisateur était à jour. Cette prudence freinait la circulation dans la nature du code et contribuait à le laisser plus longtemps sous les radars.

22 Gabriella Coleman (2012) réalise une ethnographie des black hats à partir de leurs jeux avec la machine (coding freedom) en les comparant à des « fripons farceurs ». Le fripon joue des tours pendables, possède une activité désordonnée incessante. Coleman rapproche ainsi le hacker de la figure mythique du trickster, de l’espiègle, de l’enfant ou de l’animal malin (Renard le Goupil, le Coyote...), défini par Paul Radin comme un miroir de l’esprit (speculum mentis), et capable à ce titre de prendre des connotations « surnaturelles ».

Haut de page

Pour citer cet article

Référence papier

Auray Nicolas, 2015, « L’invisible et le clandestin. Une ethnographie du virus informatique Storm », Terrain, n° 64, pp. 32-49.

Référence électronique

Nicolas Auray, « L’invisible et le clandestin  », Terrain [En ligne], 64 | mars 2015, mis en ligne le 12 mars 2015, consulté le 29 mars 2017. URL : http://terrain.revues.org/15660 ; DOI : 10.4000/terrain.15660

Haut de page

Auteur

Nicolas Auray

École nationale supérieure des télécommunications, Institut interdisciplinaire de l’innovation (i3)

Articles du même auteur

Haut de page
  • Logo CNRS
  • Logo Université Paris Lumière
  • Logo Ministère de la Culture
  • Logo Université Paris Ouest
  • Logo MAE - Maison Archéologie Ethnologie
  • Logo FMSH-Diffusion
  • Revues.org