Le Joueur de flûte de Hamelin et les armes cybernétiques

Contrairement aux idées reçues, les contes et les légendes populaires n’ont pas été inventés pour nous divertir mais plutôt pour que les enfants (et les adultes) les comprennent facilement et en tirent d’importantes leçons. Depuis la nuit des temps, les conteurs ont laissé des conseils en cybersécurité dans leurs récits pour qu’Internet (ils l’avaient prédit) soit un endroit plus sûr. Par exemple, l’histoire du Petit Chaperon rouge nous avertit sur les attaques de l’homme du milieu (HDM) alors que Blanche-Neige avait anticipé les campagne APT financées par le gouvernement. La liste est longue.

Malheureusement, l’humanité commet toujours les mêmes erreurs de façon frénétique et ignore les conseils évidents données par ces contes. La légende du Joueur de flûte de Hamelin illustre à la perfection cette situation.

Le Joueur de flûte de Hamelin

Comme c’est souvent le cas avec les histoires très anciennes, il existe plusieurs versions mais toutes abordent le même sujet. L’intrigue principale est la suivante : la ville allemande de Hamelin est envahie par les rats qui mangent les réserves de nourriture, attaquent les habitants et les animaux et font généralement beaucoup de bruit.

Incapables de gérer la situation, les autorités locales recourent aux services d’un spécialiste, qui n’est autre qu’un dératiseur bien habillé qui se sert d’une flûte magique pour attirer les rats hors de la ville et les amène jusqu’à la rivière voisine où ils se noient.

Ensuite, le maire avare de la ville refuse de remplir sa part du marché et offre au dératiseur, donc le Joueur de flûte, une récompense bien inférieure à celle stipulée dans le contrat. Le Joueur de flûte ne dit rien mais prend sa revanche en utilisant à nouveau sa flûte magique pour attirer les enfants de Hamelin en dehors de la ville, exactement comme il l’a fait avec les rats.

La fin du conte dépend du lieu de résidence et de l’optimisme (généralement bas) du narrateur. Les enfants se noient dans la rivière Weser, comme les rats, se perdent dans les montagnes Koppenberg ou (dans les versions les plus récentes et moins tristes) se rendent au-delà des montagne, dans un pays lointain, où ils trouvent une ville.

Signification de cette allégorie

Bizarrement, cet incident aurait eu lieu à une date précise : le 26 juin 1284. Cette légende est apparue pour la première fois dans les chroniques de la ville en 1375, puis a été réécrite et racontée à plusieurs reprise avec l’ajout de détails supplémentaires et de fioritures au cours du temps. La plupart des informations ont des motivations politiques ou religieuses évidentes. Certaines versions se concentrent sur l’avidité des citoyens de Hamelin alors que d’autres diabolisent ouvertement le personnage du Joueur de flûte. Laissons de côté tous les préjugés médiévaux de l’époque et concentrons-nous sur les faits.

Attaques de Hamelin

De notre point de vue, l’infrastructure de Hamelin est attaquée par des acteurs malveillants inconnus. Ils dévorent littéralement les biens matériaux (céréales) et les informations (documents juridiques), et menacent la santé des résidents locaux.

Aucune description détaillée de l’attaque n’a survécu mais il est fort probable que les animaux à l’origine de cette attaque, donc les rats, aient utilisé un outil d’administration à distance ou un cheval de Troie d’administration à distance (RAT). En général, ces outils et chevaux de Troie peuvent être utilisés pour faire toute sorte de sales boulots puisqu’ils permettent aux criminels d’accéder au système de la victime.

Le choix du spécialiste

Les habitants de la ville adoptent d’abord une solution qui consiste à utiliser un chat pour détecter les points de terminaison mais cette méthode s’avérant inutile, ils engagent un tiers qui est un expert et connaît la vulnérabilité RAT utilisé pour cette attaque. Pour s’en prendre à cette vulnérabilité, il met en place une arme cybernétique puissante qui lui permet de prendre le contrôle à distance des ordinateurs qui opèrent pour le RAT, puis les transforme en un genre de botnet. Après avoir réussi à entrer dans tous les dispositifs, le Joueur de flûte neutralise la menace.

Des civils pris pour cible

Après être venu à bout de l’attaque RAT, les autorités décident imprudemment de ne pas honorer le contrat signé avec le spécialiste. La plupart des versions de cette histoire parlent d’un désaccord financier mais cette partie est impossible à vérifier, évidemment. Quoi qu’il en soit, il s’avère que cette même vulnérabilité se trouve dans les dispositifs qu’utilisent les enfants de la ville.

Le conte ne fournit aucun détail technique qui explique pourquoi la même menace fonctionne contre les opérateurs RAT et les personnes ordinaires. Imaginons qu’il s’agisse d’une vulnérabilité dans quelque chose de très répandu, comme un protocole serveur au niveau de l’application dont on se sert pour accéder aux ressources du réseau à distance.

Nous ne savons pas non plus pourquoi les soi-disant adultes du conte ne sont pas affectés par cette vulnérabilité. Peut-être que le mot  » enfant  » dans cette histoire ne fait pas référence aux utilisateurs mineurs mais plutôt à une nouvelle génération de dispositifs avec un système d’exploitation plus récent qui a développé une vulnérabilité après une mise à jour manquée du protocole susmentionné.

Dans tous les cas, le final est tragique : le Joueur de flûte interprète la même astuce de botnet mais cette fois il leurre les opérateurs RAT et les plus jeunes de la ville.

Le Joueur de flûte dans les temps modernes

Toute cette histoire rappelle fortement l’histoire du groupe de cybercriminels Shadow Brokers et la fuite de l’exploit EternalBlue qui a donné lieu à l’épidémie WannaCry et à bien d’autres attaques de ransomwares. Si j’avais lu le conte du Joueur de flûte de Hamelin juste après la fuite EternalBlue, je l’aurai sans aucun doute pris comme un rapport, bien qu’allégorique, sur cet incident. Le scénario est identique : une organisation gouvernementale commande le développement d’une arme cybernétique puissante qui est, contre toute attente, utilisée contre les habitants du pays.

Nous pouvons attribuer cette remarquable coïncidence à l’Histoire qui ne cesse de se répéter. Évidemment, les experts allemands en sécurité des informations du XVIIIº siècle connaissaient déjà le problème et ont essayé d’avertir leurs descendants (nous) du danger que représentent les programmes d’armes cybernétiques financés par le gouvernement puisqu’ils peuvent, un jour ou l’autre, se retourner contre les civils qui s’en servent et avoir de graves conséquences.