Un acte d’accusation récemment rendu public aux États-Unis révèle qu’un identifiant propre à Windows 11 aurait joué un rôle dans l’identification d’un membre présumé du groupe de cybercriminalité Scattered Spider.
Contrairement à certaines interprétations apparues sur les réseaux sociaux, il ne s’agit ni d’un système d’espionnage intégré à Windows, ni d’un mécanisme permettant à Microsoft de suivre en permanence les utilisateurs. L’identifiant en question est un GUID (Globally Unique Identifier), utilisé par Windows pour identifier de manière unique certains composants ou installations du système.
Dans cette affaire, Microsoft aurait communiqué au FBI des informations techniques obtenues dans le cadre d’une enquête judiciaire, permettant de relier plusieurs activités malveillantes à une même machine.
Qu’est-ce qu’un GUID dans Windows ?
Un GUID (Globally Unique Identifier) est un identifiant composé de 128 bits, représenté sous la forme d’une chaîne de caractères, par exemple :
550e8400-e29b-41d4-a716-446655440000Windows utilise ce type d’identifiant dans de nombreux composants du système afin de distinguer de manière unique un objet, un périphérique, un utilisateur ou une installation.
On retrouve des GUID notamment pour :
- Les interfaces COM.
- Les périphériques matériels.
- Certaines clés du Registre.
- Les services Windows.
- Les installations du système d’exploitation.
- Les applications Microsoft.
Il est important de préciser que ce mécanisme n’est pas propre à Windows 11. Les GUID sont utilisés par Windows depuis de nombreuses années et sont présents dans les versions antérieures du système d’exploitation, notamment Windows 10, Windows 8.1, Windows 7 et même des versions plus anciennes de Windows.
Leur objectif est avant tout technique : garantir qu’un objet ou une installation possède un identifiant unique afin de faciliter son identification par le système et les logiciels. En eux-mêmes, ces identifiants ne contiennent aucune information personnelle sur l’utilisateur.
Quel identifiant a été utilisé dans cette enquête ?
Selon les documents judiciaires relayés par Tom’s Hardware, les enquêteurs disposaient d’informations provenant de plusieurs services Microsoft utilisés par le suspect.
Parmi ces informations figurait un identifiant associé à une installation de Windows. En recoupant cet identifiant avec d’autres éléments techniques, notamment des connexions à différents services Microsoft et les données obtenues dans le cadre de l’enquête, les autorités ont pu établir un lien entre plusieurs activités attribuées à la même machine.
Il est important de comprendre que ce n’est pas le GUID seul qui a permis d’identifier le suspect. Comme dans la plupart des enquêtes numériques, les autorités croisent de nombreuses sources d’information :
- Les identifiants techniques du système.
- Les comptes Microsoft utilisés.
- Les adresses IP.
- Les journaux de connexion.
- Les métadonnées des services en ligne.
- Les informations obtenues auprès des différents fournisseurs de services.
C’est précisément cette corrélation de données qui permet progressivement de remonter jusqu’à un utilisateur ou à un appareil.
Cette affaire illustre une réalité souvent méconnue : contrairement à une idée répandue, les cybercriminels ne sont généralement pas identifiés grâce à une seule erreur ou à un unique identifiant, mais par le recoupement de nombreuses traces numériques laissées au fil de leurs activités.
Pour mieux comprendre les techniques utilisées par les enquêteurs pour identifier des cybercriminels, même lorsqu’ils utilisent un VPN, Tor ou d’autres outils d’anonymisation, consultez également notre dossier :
Microsoft suit-il les utilisateurs grâce à cet identifiant ?
Non.
Le fait que Windows attribue un GUID à une installation ne signifie pas que Microsoft surveille automatiquement l’ensemble des activités des utilisateurs.
Dans cette affaire, Microsoft aurait répondu à une réquisition des autorités américaines dans le cadre d’une enquête criminelle, comme peuvent le faire d’autres fournisseurs de services numériques.
Les informations transmises ne deviennent utiles qu’une fois recoupées avec d’autres données techniques et judiciaires.
Pourquoi cet identifiant est-il utile ?
L’utilisation d’un identifiant unique présente plusieurs avantages pour les développeurs et les administrateurs :
- Éviter les conflits entre plusieurs installations.
- Identifier de manière fiable une machine dans certains services Microsoft.
- Faciliter le diagnostic des problèmes.
- Gérer certaines licences ou activations.
- Corréler des journaux techniques.
Ce type d’identifiant existe depuis de nombreuses années dans Windows et ne constitue pas une nouveauté introduite avec Windows 11.
Qui est Scattered Spider ?
Scattered Spider est un groupe de cybercriminels connu pour ses attaques contre de grandes entreprises.
Ses membres sont soupçonnés d’avoir participé à plusieurs campagnes d’extorsion et de ransomware en utilisant notamment :
- L’ingénierie sociale.
- Le vol d’identifiants.
- Le contournement de l’authentification multifacteur.
- Des attaques contre les centres d’assistance informatique (Help Desk).
Le groupe a notamment été associé à plusieurs attaques médiatisées contre des entreprises américaines et européennes.
A lire : Le business des malwares : comment les cybercriminels gagnent de l’argent avec les infections
Faut-il s’inquiéter ?
Cette affaire ne révèle pas l’existence d’une nouvelle fonction de suivi cachée dans Windows 11.
Elle montre surtout qu’un identifiant technique, associé à d’autres éléments obtenus légalement par les enquêteurs, peut contribuer à établir un lien entre plusieurs activités malveillantes.
Pour les utilisateurs classiques, cela ne change rien au fonctionnement quotidien de Windows 11 et ne signifie pas que Microsoft puisse localiser ou identifier automatiquement chaque PC.
Conclusion
L’arrestation d’un membre présumé de Scattered Spider montre une nouvelle fois l’importance des traces numériques laissées lors de l’utilisation d’un ordinateur connecté. Dans cette affaire, le GUID de Windows n’était qu’un élément parmi d’autres permettant aux enquêteurs de relier plusieurs activités à une même machine.
Cette actualité rappelle également que les identifiants techniques présents dans Windows ont avant tout un rôle fonctionnel. Ce n’est que dans le cadre d’une enquête judiciaire, et en les recoupant avec d’autres informations, qu’ils peuvent contribuer à identifier l’auteur présumé d’une cyberattaque.
L’article Windows 11 : comment un identifiant système a permis au FBI de remonter jusqu’à un membre présumé de Scattered Spider est apparu en premier sur malekal.com.
0 Commentaires