AlterEgo, c’est la réponse du MIT au fantasme de la télépathie et contrairement à Neuralink qui nécessite une chirurgie pour implanter des électrodes dans le cerveau, cette petite merveille se porte simplement autour des oreilles comme une prothèse auditive.

Le principe est assez malin. Au lieu de lire directement dans vos pensées (ce qui reste de la science-fiction pour le moment…), AlterEgo détecte les micro-mouvements de votre bouche, de votre visage et de vos cordes vocales quand vous “parlez” silencieusement. La conduction osseuse fait le reste, transformant ces signaux en mots compréhensibles par un ordinateur.

Arnav Kapur, le scientifique qui dirige le projet, parle d’une “percée révolutionnaire” qui donnerait “le pouvoir de la télépathie, mais uniquement pour les pensées que vous voulez partager”. Ouf, on est sauvé ! Cette précision est importante car contrairement aux interfaces cerveau-machine plus agressives, là vous gardez le contrôle total sur ce que vous communiquez.

Cette idée a germé en 2018 comme projet de recherche au MIT, mais cette année l’équipe a franchi le cap en créant une start-up. Leur dispositif affiche une précision de 90%, ce qui reste impressionnant pour une technologie non-invasive. Bien sûr, chaque utilisateur doit encore calibrer l’appareil et s’entraîner, mais c’est un détail technique… En tout cas, ce qui rend AlterEgo particulièrement intéressant, c’est son potentiel pour les personnes atteintes de troubles de la parole comme la sclérose en plaques. Imaginez pouvoir communiquer naturellement malgré les limitations physiques… Ça changerait la vie de pas mal de monde, non ?

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/alterego-telepathie-mit/alterego-telepathie-mit-1.mp4">lien vers la vidéo</a>.

Qui dit rentrée, dit évidemment séries à dévorer. Pour s'y retrouver, dans cet océan de nouveautés, nous avons sélectionné pour vous les 12 programmes clés de cette fin d'année 2025. Spoiler : du thriller au drame historique en passant par la romance, il y en aura pour tous les goûts.

C’est fou quand même qu’en 2025, les débogueurs de base comme GDB et LLDB soient toujours aussi pénibles à utiliser qu’il y a 20 ans. Par exemple faut taper x/30gx $rsp pour examiner la pile et obtenir un bloc de nombres hexadécimaux sans contexte. C’est donc super chiant pour comprendre tout ce qui se passe dans votre programme, sans être ultra concentré (et donc ultra fatigué à la fin de la journée).

Hé bien c’est exactement ce que s’est dit Zach Riggle quand il a commencé à bosser sur pwndbg (prononcez “/paʊnˈdiˌbʌɡ/”, oui comme “pound debug”). L’idée c’était de créer un plugin qui transforme ces débogueurs préhistoriques en véritables outils modernes pour les reverse engineers et les développeurs d’exploits.

Le truc avec pwndbg, c’est qu’il ne cherche pas à réinventer la roue, non, bien au contraire, puisqu’il s’appuie sur une architecture Python modulaire afin d’ajouter une couche d’intelligence par-dessus GDB et LLDB. Concrètement, ça veut dire que vous gardez toute la puissance de ces débogueurs, mais avec une interface qui ne vous donne pas envie de jeter votre clavier par la fenêtre, avant de vous y jeter vous-même ^^.

Pour l’installer, quelques lignes suffisent et hop vous aurez un environnement de debugging qui ferait pâlir d’envie les outils commerciaux.

Si vous êtes sur Linux ou macOS, la méthode la plus simple c’est la ligne magique avec curl qui va tout faire pour vous :

curl -qsL 'https://install.pwndbg.re' | sh -s -- -t pwndbg-gdb

Les utilisateurs de Mac peuvent aussi passer par Homebrew avec un simple

brew install pwndbg/tap/pwndbg-gdb

Et pour les hipsters des gestionnaires de paquets, y’a même une option avec Nix qui vous permet de tester l’outil sans rien installer en dur sur votre système. Maintenant, si vous préférez la méthode old school avec les packages classiques, pas de souci !

Récupérez le package qui correspond à votre distro sur la page des releases et installez-le avec votre gestionnaire de paquets habituel et en deux minutes chrono, vous avez votre environnement de debug GDB boosté aux stéroïdes avec toutes les fonctionnalités de pwndbg pour analyser vos binaires comme un chef.

Ensuite, que vous fassiez du débug de kernel Linux, du reverse sur des binaires ARM ou RISC-V, ou que vous développiez des exploits pour des systèmes embarqués, pwndbg saura s’adapte. Il gère même le debugging avec QEMU pour l’émulation user-space. Par contre, petit bémol pour les utilisateurs macOS, le debugging natif de binaires Mach-O n’est pas supporté avec GDB… Pour le moment, seul le debugging distant ELF fonctionne.

Un des aspects les plus cools de pwndbg, c’est son approche “consistency first”. Que vous utilisiez GDB ou LLDB, l’expérience reste cohérente. Vous pouvez donc switcher entre les deux débogueurs sans avoir à réapprendre tous les raccourcis et commandes. Bon, le support LLDB est encore expérimental et peut contenir quelques bugs, mais ça progresse vite.

Les développeurs low-level, les hardware hackers et les chercheurs en sécurité sont les premiers à adore pwndbg parce qu’au lieu de vous noyer sous des informations inutiles, il affiche exactement ce dont vous avez besoin à savoir le contexte des registres, l’état de la pile, le code désassemblé avec coloration syntaxique, et même une vue hexdump digne de ce nom (oui, en 2025, les débogueurs de base n’ont toujours pas ça par défaut).

Le projet est sous licence MIT, donc vous pouvez l’utiliser dans n’importe quel contexte, commercial ou non et si vous voulez contribuer, comme d’hab avec la plupart des projets que je vous présente, la porte est grande ouverte.

Pour ceux qui veulent se lancer, il y a même un cheatsheet complet à imprimer et garder sous la main. Parce que bon, même avec une interface aux petits oignons, un bon aide-mémoire reste toujours utile quand on débugge des trucs complexes à 3h du matin.

Au final, pwndbg c’est la preuve qu’on n’a pas toujours besoin de réinventer complètement un outil pour le rendre génial. Parfois, il suffit juste d’ajouter la bonne couche d’abstraction au bon endroit.

Encore bravo à Zach Riggle et son équipe ont vraiment tapé dans le mille !!

Spotify à 12 balles par mois, YouTube Music et Apple Music qui vous taxe 11 euros… Franchement, à ce rythme, écouter de la musique va bientôt nécessiter un crédit à la conso chez Cofidrisse. Heureusement, un développeur nommé Valeri Gokadze a décidé de renverser la table avec Musify , une app de streaming musical complètement gratuite et open source qui fait tout pareil, mais sans vous demander un rond.

Car oui, pourquoi payer pour accéder à de la musique qui est déjà disponible publiquement ? L’app utilise les API de Piped (un frontend alternatif pour YouTube respectueux de la vie privée) pour streamer directement les morceaux depuis YouTube Music. Du coup, vous avez accès à des millions de titres sans pub, sans compte, sans abonnement et sans que Google ne vous traque comme un lapin dans la forêt.

Développée en Flutter, cette petite merveille tourne sur Android et propose des fonctionnalités qui feraient pâlir les géants du secteur. Un mode hors ligne pour écouter votre musique sans connexion, la possibilité de créer des playlists personnalisées, mais également les paroles synchronisées pour vos karaokés solo, et du SponsorBlock pour zapper automatiquement les segments sponsors dans les podcasts. Ah et cerise sur le gâteau, l’interface Material Design s’adapte dynamiquement aux couleurs de votre fond d’écran si vous êtes sur Android 12 ou plus.

Les dev ont porté beaucoup d’attention aux détails d’ailleurs… L’app propose 21 langues différentes, un thème noir pur pour les écrans OLED, et même un système d’import/export de vos données pour ne jamais perdre vos playlists. Les audiophiles apprécieront également l’optimisation sonore intégrée, tandis que les paranos de la vie privée seront ravis d’apprendre qu’il n’y a absolument aucun tracking. Pas besoin des services Google, pas de collecte de données, nada.

Bref, Musify offre une expérience fluide et agréable pour streamer de la musique, rendant la découverte de nouveaux morceaux simple et la lecture sans effort. L’app fonctionne même quand votre téléphone est verrouillé avec les contrôles média sur l’écran de verrouillage, même si le changement de piste peut parfois être un peu lent.

Pour installer Musify, vous avez maintenant plusieurs options. La plus simple reste F-Droid , sinon, vous pouvez récupérer les dernières versions directement sur GitHub ou sur le site officiel du projet . Vous téléchargez l’APK, autorisez l’installation depuis des sources inconnues, et c’est parti mon kiki !

L’app n’est disponible que sur Android pour le moment (désolé les utilisateurs d’iPhone), et comme elle dépend de YouTube pour le contenu, certains morceaux peuvent parfois être indisponibles selon votre région, mais franchement, pour une app gratuite, sans pub et open source, c’est difficile de faire la fine bouche.

Puis le code est complètement ouvert sous licence GPL v3 donc vous pouvez le forker, le modifier, l’améliorer, et pourquoi pas créer votre propre version.

Bref, si vous en avez marre de jongler entre vos abonnements streaming ou si vous cherchez simplement une alternative éthique et gratuite, Musify mérite clairement le détour.

En ce moment, les développeurs s’extasiaient sur un truc appelé Jujutsu , ou “jj” pour les intimes. Au début, j’ai cru à une énième tentative de réinventer la roue puis j’ai creusé, et j’ai compris pourquoi ça fait autant parler.

Vous connaissez cette frustration avec Git ? Quand vous galérez avec l’index, que vous oubliez de stash vos modifs avant de changer de branche, ou que vous priez pour ne pas foirer votre rebase ? Eh bien, Martin von Zweigbergk, ingénieur chez Google et ancien contributeur Mercurial, a décidé qu’on méritait mieux.

Du coup, il a créé Jujutsu, un système de contrôle de version qui garde tous les avantages de Git en supprimant ses complexités.

Le principe de Jujutsu tient en une phrase : votre répertoire de travail EST un commit. Poh Poh Poh !!

Fini l’index, fini le staging area, fini les acrobaties pour synchroniser vos modifications. À chaque fois que vous sauvegardez un fichier, jj crée automatiquement un nouveau commit avec un hash différent, mais conserve un “change ID” stable qui survit aux réécritures. C’est complètement fou et pourtant ça marche.

Installation de Jujutsu

Pour installer jj, vous avez plusieurs options selon votre OS. Sur macOS avec Homebrew :

brew install jj

# Via Cargo (nécessite Rust)
cargo install --locked jj

# Sur Arch Linux
pacman -S jujutsu

# Sur NixOS
nix-env -iA nixpkgs.jujutsu

# Via Winget
winget install --id martinvonz.jj

# Via Scoop
scoop bucket add extras
scoop install jujutsu

jj config set --user user.name "Votre Nom"
jj config set --user user.email "[email protected]"

# Créer un nouveau repo jj
jj git init myproject

# Coexister avec un repo Git existant
cd existing-git-repo
jj git init --git-repo=.

# Cloner un repo Git avec jj
jj git clone https://github.com/user/repo.git

# Voir l'état actuel (équivalent de git status + git log)
jj st
jj log

# Créer une nouvelle branche de travail
jj new -m "Début de ma nouvelle feature"

# Modifier des fichiers (pas besoin de git add !)
echo "Hello Jujutsu" > README.md
# Les changements sont automatiquement suivis

# Voir les modifications
jj diff

# Créer un nouveau commit basé sur le précédent
jj new -m "Ajout de la documentation"

# Revenir au commit précédent
jj edit @-

# Naviguer dans l'historique
jj edit <change-id></change-id>

# Merger deux branches (les conflits sont sauvegardés si présents)
jj new branch1 branch2

# Voir les conflits
jj st

# Les conflits sont stockés dans le commit, vous pouvez continuer à travailler
jj new -m "Travail sur autre chose pendant que le conflit existe"

# Revenir résoudre le conflit plus tard
jj edit <conflict-commit-id>

# Après résolution manuelle
jj squash # Pour intégrer la résolution</conflict-commit-id>

# Voir l'historique des opérations
jj op log

# Annuler la dernière opération
jj undo

# Revenir à un état précédent spécifique
jj op restore <operation-id>

# Réorganiser des commits (équivalent de rebase interactif)
jj rebase -s <source> -d <destination>

# Éditer un commit ancien
jj edit <change-id>
# Faire vos modifications
jj squash # Pour intégrer dans le commit actuel

# Split un commit en plusieurs
jj split</change-id></destination></operation-id>

# Commencer une nouvelle feature
jj new main -m "feat: ajout authentification OAuth"

# Travailler sur les fichiers
vim auth.js
vim config.js

# Pas besoin de git add ! Les changements sont auto-trackés
jj diff # Voir ce qui a changé

# Créer un checkpoint pour continuer
jj new -m "wip: OAuth provider setup"

# Oh, un bug urgent à fix sur main !
# Pas besoin de stash, on switch directement
jj new main -m "fix: correction crash login"

# Fix le bug
vim login.js

# Revenir à notre feature OAuth
jj edit @- # Revient au commit précédent

# Finaliser la feature
jj describe -m "feat: authentification OAuth complète"

# Pusher vers Git
jj git push

# Synchroniser avec le remote Git
jj git fetch

# Pusher vos changements
jj git push

# Créer une branche Git depuis un change jj
jj branch create ma-feature
jj git push --branch ma-feature

# Importer les changements depuis Git
jj git import

# Exporter vers Git (automatique généralement)
jj git export

# Voir l'historique en mode graphique
jj log --graph

# Chercher dans l'historique
jj log -r 'description(regex:"fix.*bug")'

# Travailler avec plusieurs parents (merge commits)
jj new parent1 parent2 parent3

# Abandonner des changements locaux
jj abandon <change-id>

# Dupliquer un commit ailleurs
jj duplicate <change-id> -d <destination>

# Voir les changements entre deux commits
jj diff -r <from> -r <to>

# Créer un alias pour une commande fréquente
jj config set --user alias.l 'log --graph -r "ancestors(., 10)"'
jj l # Utilise l'alias</to></from></destination></change-id></change-id>

# Définir votre éditeur préféré
jj config set --user ui.editor "code --wait"

# Activer les couleurs dans le terminal
jj config set --user ui.color "always"

# Configurer le format de log par défaut
jj config set --user ui.default-revset "@ | ancestors(@, 10)"

# Voir toute la configuration
jj config list --user

# Éditer directement le fichier de config
jj config edit --user

Parfois, il m’arrive d’utiliser SwissTransfer à titre personnel, mais je n’en avais encore jamais parlé ici… à tort. En tant qu’adepte de l’auto-hébergement avec mon NAS, j’essaie habituellement de gérer mes besoins de partage de fichiers avec mes propres outils. Mais il faut reconnaître qu’il y a quelques limites dès qu’il s’agit d’envoyer ponctuellement de très gros volumes à des contacts externes : bande passante restreinte, accès au NAS limité ou disponibilité variable, etc. C’est précisément pour répondre à ces situations qu’Infomaniak propose ce service gratuit qui permet d’envoyer jusqu’à 50 Go en une seule fois, simplement et sans publicité…

Comment fonctionne SwissTransfer ?

SwissTransfer mise avant tout sur la simplicité d’utilisation de son service :

• jusqu’à 50 Go par envoi, sans inscription ni publicité ;
• partage par e-mail ou via un lien direct ;
• durée de validité modulable jusqu’à 30 jours, avec possibilité de personnaliser la date d’expiration ;
• nombre de téléchargements limité, jusqu’à 500 transferts par jour ;
• option de mot de passe pour sécuriser les fichiers.

L’expérience utilisateur est volontairement minimaliste : pas de compte à créer, pas de publicité, pas de fonctionnalités superflues. Franchement, c’est très appréciable

Confidentialité

Tous les fichiers sont stockés dans les centres de données d’Infomaniak, situés exclusivement en Suisse. À l’expiration définie par l’utilisateur, ils sont automatiquement supprimés. Contrairement à certains services extra-européens, les fichiers ne sont pas utilisés pour l’entraînement de modèles d’IA ni exploités à des fins publicitaires. L’exemple récent de WeTransfer, qui avait annoncé vouloir entraîner ses IA avec les fichiers déposés avant de faire machine arrière, illustre bien pourquoi la question de la confiance est centrale.

Points forts et limites

SwissTransfer présente plusieurs avantages : la possibilité d’envoyer gratuitement de très gros fichiers (jusqu’à 50 Go), l’absence de publicité, une interface simple et l’assurance que les données restent stockées en Suisse. En revanche, il faut garder en tête que le service se concentre uniquement sur le transfert. Il n’offre pas de stockage permanent ni d’outils collaboratifs. Pour l’archivage ou le travail en équipe, Infomaniak propose d’autres services payants

En synthèse

SwissTransfer s’est rapidement imposé comme une alternative à des services dominés par les géants américains. Simple, gratuit et transparent, le service permet de partager de gros fichiers en toute sécurité, sans conditions cachées.

Et vous, utilisez-vous un service pour envoyer de gros fichiers ? Si oui, lequel et pourquoi ?

En 1994, pendant que les autres mômes collectionnent les cartes Pokémon, un gamin de 13 ans fouille les poubelles derrière les magasins d’informatique. HD Moore ne cherche pas de la bouffe… il cherche des cartes mères cassées, des barrettes RAM défectueuses, et tout ce qui pourrait l’aider à construire SA machine. Chaque jour avant l’aube, il se tape 3 km à pied pour arriver à l’école primaire d’Austin, mais au lieu d’aller directement en cours, il se faufile par la fenêtre du labo informatique et en fin de journée, à la bibliothèque du quartier, il emprunte tous les livres et manuels techniques qu’il peut trouver pour comprendre comment fonctionnent vraiment ces machines.

20 ans plus tard, c’est ce même gamin va créer l’arme de destruction massive préférée des pentesters du monde entier. Vous allez voir, l’histoire est complètement dingue.

HD Moore, Harold David Moore de son vrai nom, naît à Honolulu en 1981. Mais contrairement à ce qu’on pourrait croire, il n’a pas grandi en surfant sur les plages hawaïennes. Sa famille déménage constamment** passant dans 13 États différents pendant les années 80**, avant de finalement poser ses valises à Austin, Texas, au début des années 90.

Et là, c’est le début d’une histoire qu’on pourrait qualifier de “la misère à la richesse” version geek. La famille Moore galère financièrement, et HD l’explique sans détour : “On était pauvres. On déménageait souvent, donc j’étais régulièrement dans un nouvel endroit sans ressources. Fouiller les poubelles, même pour la bouffe et les vêtements, c’était notre mode de vie.”

Mais au lieu de se contenter de survivre, le gamin transforme cette galère en opportunité. Il découvre les ordinateurs Apple II dans le labo informatique de son école primaire d’Austin et c’est le coup de foudre immédiat. Sauf que quand t’as pas les moyens de t’acheter un ordi, tu deviens créatif. HD commence donc à fouiller spécifiquement les poubelles des magasins d’informatique, parcourant Austin en bagnole pour récupérer des pièces détachées.

“Je cherchais des pièces d’ordinateur pour essayer de construire une machine parce que ça me donnait quelque chose avec quoi je pouvais jouer et que je pouvais contrôler. D’un point de vue émotionnel, ça me donnait un certain contrôle sur ma propre vie.”

Et le pari fonctionne ! En arrivant au lycée alternatif Gonzalo Garza, HD avait réussi à assembler un vrai 486-DX fonctionnel uniquement avec des composants de récupération. Son prof de maths et informatique, Christian Walker, se souvient encore de lui : “Je ne pouvais rien lui apprendre. La plupart du temps, les étudiants étaient à Gonzalo parce qu’ils avaient foiré leurs notes. Dans le cas de HD, c’était l’inverse. Il était trop intelligent et pas assez challengé par les autres écoles.”

Pendant que ses potes découvrent MTV et les Tamagotchis, HD Moore plonge alors dans l’univers des BBS (Bulletin Board Systems) et d’IRC. On est dans les années 90, Internet n’existe pas encore vraiment pour le grand public, mais ce gamin de 13-14 ans déchiffre déjà les mystères de l’informatique en mode autodidacte total. Et ses farces de l’époque donnent le ton : il se connecte aux tours radio d’Austin avec son modem pour faire clignoter les lumières, et sa connerie la plus épique, c’est quand il a temporairement coupé l’électricité de tout un magasin K-Mart du nord d’Austin juste pour faire une blague à un pote !

Walker découvre vite les talents de son élève et le recrute pour aider à gérer le réseau informatique de l’école. Et c’est là que ça devient dingue car certains jours, HD prend sa caisse et se tape la route jusqu’à Kelly Air Force Base à San Antonio pour faire du boulot de consultant en cybersécurité pour le Département de la Défense américain. Ils le payent même cash en petites coupures pour le garder “off the books” (hors des registres officiels). Il est un consultant fantôme qui audite les systèmes du DoD alors qu’il n’a même pas fini le lycée !

Cette expérience va être déterminante pour la suite. Moore bosse comme pentester dans une boîte, et il se rend compte d’un truc qui le frustre au plus haut point : trouver des vulnérabilités théoriques, c’est bien, mais il faut pouvoir les exploiter réellement pour prouver qu’elles sont dangereuses. Le problème c’est qu’à l’époque, le monde du hacking, c’était un peu le Far West… Chaque exploit était développé de son côté, aucune standardisation, et une galère monstre pour les utiliser. HD passait son temps à valider et nettoyer du code d’exploit pourri, et ça le gavait au plus haut point.

Été 2003. HD Moore, maintenant dans la vingtaine, a une idée qui va changer le game à jamais. Il imagine un framework unifié qui regrouperait tous les exploits connus dans une interface cohérente et pratique. Mais l’inspiration originale est d’ailleurs assez fun car au départ, Moore voulait créer un jeu réseau en mode texte (façon années 80) qui s’appellerait initialement “BFEG” (l’acronyme devrait parler à tous ceux qui ont joué à DOOM), puis “Overkill”. L’idée était que le réseau local serait représenté comme une grille et les machines actives apparaîtraient comme des points sur la carte. Un peu comme un Pac-Man version hacker, quoi. Mais très vite, l’aspect “jeu” passe au second plan et Moore réalise qu’il est en train de créer quelque chose de bien plus important : la boîte à outil ultime du pentesting.

Le nom du projet ? Metasploit.

Quand il montre son projet à son patron, la réaction est glaciale. “Tu veux mettre ce truc en open source ? Donner des armes aux cybercriminels ? T’es malade ?” Le patron refuse alors catégoriquement que HD utilise Metasploit au boulot. Certains clients menacent même de rompre leurs contrats si HD continue à publier des exploits sur leurs produits. Par exemple, un mec de chez Microsoft n’arrêtait pas d’appeler le CEO de la boîte de HD en disant qu’ils devaient l’empêcher de publier des exploits et le virer, sinon ils supprimeraient la licence de partenariat de l’entreprise. La pression était énorme sur ses collègues, son patron et le CEO pour qu’ils se débarrassent de lui.

HD admet lui-même qu’une partie de Metasploit a été créée “par dépit”, pour faire chier ses détracteurs, ses employeurs, tous ces gardiens de la cybersécurité qui le regardaient de haut. C’est quelque chose qu’il assume totalement ! Sa femme avait même créé un “get HD out of jail fund” au cas où ses activités lui causeraient des problèmes légaux.

Puis en octobre 2003, HD publie la première version publique de Metasploit, quelques jours avant ses 23 ans. Elle contient la bagatelle de… 11 exploits. Quand je pense qu’aujourd’hui Metasploit en contient plusieurs milliers, ça fait sourire, mais déjà, l’essentiel est là, à savoir une interface unifiée, des payloads modulaires, et surtout une philosophie claire.

Il présente alors officiellement son bébé à la conférence Hack-in-the-Box en Malaisie. Et là, c’est le début d’une collaboration épique ! Il rencontre un développeur qui va marquer l’histoire du projet : Spoonm. L’anecdote de leur première rencontre est mythique. Spoonm lui envoie un mail cash : “Your software sucks.” (Ton logiciel, c’est de la merde). La réponse de HD ? “OK, why don’t you rewrite it?” (OK, alors pourquoi tu ne le réécris pas ?). Et devine quoi ? Il l’a fait ! Moore avait compris un truc essentiel sur la communauté hacker comme il l’explique : “Dans la communauté d’exploits, il faut faire appel à l’ego. En faire un défi. C’est de ça qu’ils vivent.”

Cette Metasploit 2.0, sortie en avril 2004, c’est la révolution. 19 exploits, 27 payloads, et surtout une architecture modulaire qui permet de mixer et de matcher les composants. Spoonm devient un développeur lead du projet, et HD avait trouvé sa méthode à savoir pas d’attitude moralisatrice, juste du défi technique pur.

Un autre génie rejoint alors l’équipe peu après… Il s’agit de Matt Miller, alias “skape” et ce mec, c’est le Mozart du code d’exploitation. Développeur le jour, chercheur en sécurité la nuit, skape va créer Meterpreter, le payload ultime de Metasploit. C’est un agent qui s’installe en mémoire sur la machine compromise, invisible, persistant, avec des capacités de post-exploitation hallucinantes. Une simple commande, “hashdump”, et vous récupérez tous les mots de passe du système. Il contribue aussi à plein d’autres trucs comme l’injection VNC et de nombreuses autres avancées de payload. Cette collaboration va durer quelques années jusqu’à ce que skape soit recruté par Microsoft en 2008. C’est drôle quand on sait que Microsoft voulait faire virer HD ! Et fun fact, skape a aussi développé SEHOP , une technologie de mitigation qui a pratiquement tué les exploits basés sur SEH overflow.

Matt Miller

Puis en 2007, grosse décision, Metasploit est entièrement réécrit en Ruby. Un travail de titan de 18 mois de développement, et plus de 150 000 lignes de code à écrire from scratch. Metasploit 3.0 sort, et là, c’est plus un outil, c’est une plateforme complète. Interface au top, architecture modulaire, extensibilité infinie… Un pur bonheur pour tout pentester qui se respecte.

Mais HD Moore ne se contente pas de Metasploit car il continue d’innover en permanence. En 2006, il lance le “Month of Browser Bugs” (MoBB), une initiative où il sort une vulnérabilité de navigateur par jour pendant tout le mois de juillet. Les hacks publiés sont soigneusement choisis pour démontrer un concept sans révéler un chemin direct vers l’exécution de code à distance, mais ça fait quand même un tabac ! Il trouve des bugs dans Opera 9, Internet Explorer 6, Internet Explorer 7, et probablement Safari ou Konqueror. L’objectif c’est de forcer les éditeurs à patcher plus vite et sensibiliser le public aux failles de sécurité. Le concept fait tellement de bruit qu’il inspire toute une série d’initiatives similaires : Month of Apple Bugs, Month of PHP Bugs, Month of Kernel Bugs… Moore a littéralement créé un mouvement de disclosure coordonnée.

Mais son projet le plus fou, c’est en 2012 avec Critical.io. Ce projet scanne l’intégralité d’Internet pour identifier les machines vulnérables aux nouvelles failles. Et là, c’est le jackpot puisque Moore découvre une des vulnérabilités les plus critiques de l’histoire d’Internet, une faille UPnP (Universal Plug and Play) qui touche entre 40 et 50 millions d’appareils connectés. Pour vous donner une idée de l’ampleur du truc, avec un simple paquet UDP, on pouvait prendre le contrôle total de millions de routeurs, imprimantes, caméras IP et autres objets connectés. 81 millions d’adresses IP différentes ont répondu aux requêtes UPnP de Rapid7, touchant plus de 6900 produits différents de 1500 fournisseurs ! Une catastrophe potentielle que Moore révèle au grand jour, forçant les constructeurs à réagir en urgence.

2009, année charnière. Le 21 octobre, Rapid7 rachète Metasploit. La communauté open source est en panique totale. “C’est fini, ils vont tout fermer, transformer ça en produit commercial hors de prix !” Les forums s’enflamment, les développeurs menacent de forker le projet. La nouvelle tombe comme un coup de tonnerre, et les réactions sont mitigées. Certains hackers sont carrément pas contents, refusant de contribuer aux produits d’une boîte commerciale.

Mais HD, lui, voit les choses différemment : “C’est plus un buy-in qu’un sell-out”, dit-il. “Il s’agit de faire passer Metasploit au niveau supérieur avec une vraie entreprise et un vrai financement.” Et le pari est osé car HD et ses co-développeurs avaient toujours travaillé sur Metasploit après les heures de bureau, pendant les pauses déjeuner et les week-ends et là, pour la première fois, il peut bosser dessus à temps plein. “Je peux maintenant faire une fonctionnalité en une journée de travail, pas sur tout un week-end… Je suis excité de pouvoir travailler dessus à temps plein.”

HD devient Chief Security Officer puis Chief Research Officer chez Rapid7, mais il garde le contrôle architectural de son bébé jusqu’en 2016. Et là, surprise, non seulement Metasploit Framework reste open source et gratuit, mais Rapid7 investit massivement dedans. Rapid7 promet de financer 5 développeurs à temps plein pour travailler sur le projet et Moore insiste en disant que tout le logiciel développé par la nouvelle équipe restera libre et open source. “Rien de ce que les gens utilisent aujourd’hui ne va disparaître”, assure-t-il. Le pari est gagnant car avec les ressources de Rapid7, Metasploit explose littéralement. Les cycles de release passent de 9-12 mois à une release par semaine. L’équipe de développement passe de quelques bénévoles à une équipe dédiée de 5 chercheurs.

Et les chiffres parlent car au moment où Rapid7 acquiert le projet, ils n’avaient qu’environ 33 000 utilisateurs basés sur les stats subversion. Deux ans plus tard, post-Rapid7, ils étaient passés à 200 000 à 300 000 utilisateurs mensuels ! En 2009, il y avait un total de 17 personnes qui avaient contribué à Metasploit. En 2014, on est passé à environ 150 personnes qui ont contribué à Metasploit cette année-là, et sur les 400 contributeurs environ sur toute la vie de Metasploit, près de la moitié avaient commité quelque chose dans les 12 mois précédant 2014.

Il y a eu plus de commits dans les 12 premiers mois post-acquisition que dans les trois années précédentes !

L’écosystème Metasploit devient alors complètement dingue. Raphael Mudge crée Armitage en 2010, une interface graphique qui rend Metasploit accessible aux noobs du CLI puis plus tard, Mudge développe Cobalt Strike en 2012, qui deviendra l’outil de référence des red teams professionnelles. Les chiffres donnent le vertige. De 11 exploits en 2003, Metasploit passe alors à plus de 1500 exploits intégrés et 4000+ modules d’exploitation en 2025. Le framework contient maintenant plus de 6000 modules au total. Les payloads supportent PPC, MIPS et ARM, permettant de cibler les systèmes embarqués et l’IoT.

Armitage, l’interface graphique de Metasploit

En 2016, après 7 ans chez Rapid7, Moore décide alors qu’il est temps de passer à autre chose. Il quitte l’entreprise (tout en restant consultant pour Metasploit) et se lance dans une nouvelle aventure. En 2018, il crée Rumble Network Discovery, qui deviendra plus tard runZero .

Son constat c’est que même avec tous les outils de sécurité du monde, les entreprises se font encore pirater par des machines qu’elles ne connaissent pas. En effet, le problème fondamental, c’est qu’on ne peut pas sécuriser ce qu’on ne voit pas.

Super HD, toujours en train de résoudre les vrais problèmes que l’industrie préfère ignorer ! “C’est vraiment chouette de prendre l’approche que j’avais utilisée précédemment pour la découverte de réseaux externes et de l’appliquer ensuite au côté interne”, dit-il. “Nous pouvons le faire pour les entreprises derrière leur pare-feu et dans leurs réseaux internes et toutes leurs connexions cloud, VPN, et liens multisites et régionaux.”

runZero, c’est donc la réponse de Moore à ce défi. Et contrairement aux scanners de vulnérabilités classiques, son outil se concentre sur la découverte d’assets et la cartographie des réseaux. Sa philosophie sur ce projet c’est “zéro barrière pour le déploiement, zéro inconnu sur votre réseau”. Et visiblement, ça marche puisque runZero lève 5 millions de dollars en 2019, puis 15 millions supplémentaires en 2024. L’entreprise suit même les traces de Metasploit avec une reconnaissance Gartner comme “Customers’ Choice” dans la catégorie CAASM (Cyber Asset Attack Surface Management). Pas mal !!

En 2025, HD Moore reste une figure incontournable de la cybersécurité mondiale et continue de donner des conférences dans les plus gros événements du secteur tels que BSidesSF, RSA Conference, NorthSec. Son talk récent “A Pirate’s Guide to Snake Oil & Security” au NSEC a même fait sensation avec sa critique acerbe de l’industrie de la sécurité. Et son interview récente pour RSA 2025 sur “la mort et la renaissance du vulnerability management” montre qu’il n’a rien perdu de sa vision disruptive.

Bien avant HD Moore, le pentesting était réservé à une élite. Les outils commerciaux coûtaient une fortune (genre Core Impact à 30 000$ par an), les exploits publics étaient pourris, et partager ses connaissances était mal vu. Heureusement HD a tout pété et a démocratisé l’offensive security, légitimé la recherche en sécurité, et créé une communauté mondiale de chercheurs qui collaborent ouvertement.

Ses détracteurs diront qu’il a armé les cybercriminels et c’est vrai que Metasploit est utilisé par les méchants. Mais c’est aussi vrai que sans Metasploit, des milliers d’entreprises n’auraient jamais pu tester correctement leurs défenses, les pentesters indépendants n’auraient jamais pu concurrencer les grosses boîtes de sécu sans cet accès à des outils professionnels. Et quand on lui demande pourquoi il a créé Metasploit, HD répond simplement qu’il en avait marre de valider et nettoyer du code d’exploit pourri. Pas pour la gloire, pas pour l’argent (il a mis des années avant de gagner un centime avec Metasploit), mais juste pour résoudre un problème pratique qui l’emmerdait.

Vingt-deux ans après sa création, Metasploit continue d’évoluer. Les modules pour Kubernetes, les exploits pour le cloud AWS/Azure/GCP, les attaques contre l’IA et le machine learning… Le framework s’adapte constamment aux nouvelles menaces. Les releases hebdomadaires apportent régulièrement de nouveaux modules qui chaînent des vulnérabilités pour des attaques sophistiquées.

Et HD Moore ? Et bien à 44 ans, il continue de hacker, mais cette fois-ci c’est l’industrie de la cybersécurité elle-même qu’il essaie de disrupter avec runZero.

Bref la prochaine fois que vous lancerez msfconsole, pensez à ce gamin faisant les poubelles d’Austin qui a décidé un jour de faire évoluer le milieu du pentest…

Sources : Darknet Diaries Episode 114 - HD , Rapid7 - Metasploit Anniversary , Wikipedia - H.D. Moore , Wikipedia - Metasploit , Threat Picture - HD Moore , O’Reilly - History of Metasploit , Hacker Valley - HD Moore Interview , Dark Reading - runZero , Dark Reading - One Year After Acquisition , Metasploit Official , Cobalt Strike - Raphael Mudge , Rapid7 - Metasploit Documentation , Hacker History - HD Moore , InfoWorld - The mind of HD Moore , Slashdot - Metasploit Project Sold To Rapid7 , The Register - UPnP scan shows 50 million network devices open to packet attack , Wikipedia - Month of bugs

Vous avez déjà eu besoin d’éditer rapidement un fichier audio mais vous n’aviez pas Audacity sous la main ? Ou vous êtes sur un ordinateur où vous ne pouvez pas installer de logiciel ? Alors Wavacity va vous sauver la mise ! (Oui, je sais que vous avez lu Wawacity… lol. Et vous allez voir, ce sera comme ça jusqu’à la fin de cet article… ^^)

Wavacity est tout simplement un portage web d’Audacity qui tourne directement dans votre navigateur. Pas d’install, pas de téléchargement, vous ouvrez le site et vous éditez votre audio, et c’est tout !

Pour vous proposer cette merveille, les développeurs ont porté Audacity en WebAssembly, une technologie qui permet de faire tourner du code natif dans le navigateur. Du coup, ça permet de retrouver l’interface familière d’Audacity avec ses outils de découpage, de collage, d’effets et tout le toutim, mais dans un onglet de navigateur.

Il vous faudra évidemment un navigateur moderne qui supporte cette technologie. Chrome et Firefox sur desktop feront parfaitement l’affaire… Par contre, Safari c’est moins sûr selon les développeurs.

L’interface ressemble trait pour trait à Audacity, ce qui est rassurant si vous connaissez déjà le logiciel. Vous pouvez importer vos fichiers audio, les découper, appliquer des effets, réduire le bruit, faire du multi-pistes… Bref, tout ce qu’on attend d’un éditeur audio digne de ce nom.

Après y’a quand même quelques limitations par rapport à la version desktop d’Audacity. Vous ne pourrez pas par exemple installer des plugins VST ou d’autres extensions externes, ce qui me semble assez logique. Mais pour de l’édition de base et même avancée, ça fait largement le boulot.

Bref, c’est top quand un pote vous demande de lui couper un extrait audio et que vous n’avez pas envie de télécharger et installer Audacity juste pour ça. Ou quand vous êtes sur un ordi public, ou en déplacement, ou dans un environnement où vous n’avez pas de droits administrateur pour installer des outils.

Wavacity rejoint ainsi la famille grandissante des éditeurs audio web comme AudioMass que j’avais déjà testé. Chacun a ses avantages et ses inconvénients, donc à vous de voir lequel vous préférez. Moi perso, je suis plus Ableton Live, même si c’est pas sur le web. Les habitudes, que voulez-vous…

Le projet est open source sous licence GNU GPL v2, comme Audacity, et disponible sur GitHub. Les développeurs précisent bien qu’ils ne sont ni affiliés ni soutenus par l’équipe d’Audacity. C’est un projet indépendant.

Pour un outil de dépannage ou pour des éditions rapides, c’est exactement ce qu’il nous fallait. Et qui sait, les outils portables accessibles en ligne dans le navigateur, c’est peut-être l’avenir ?

Vous savez ce qui m’a toujours ennuyé avec git blame ? C’est qu’à chaque refactoring, chaque reformatage de code, chaque déplacement de fichier, tous les noms disparaissent pour être remplacés par celui de la personne qui a fait ces modifications. Du coup, impossible de savoir qui a vraiment écrit le code original. Heureusement, un développeur nommé Sinclair Target vient de sortir un outil qui résout ce problème.

git-who (c’est son nom) fait donc exactement ce que git blame aurait dû faire depuis le début à savoir analyser qui a vraiment contribué à votre codebase, et pas juste qui a touché les lignes en dernier. Au lieu de se contenter d’une analyse ligne par ligne comme git blame, git-who analyse les patterns de contribution sur des fichiers entiers, des dossiers, voire des composants complets.

L’installation est simple comme bonjour. Si vous êtes sur Mac avec Homebrew, un petit brew install git-who et c’est réglé. Pour les autres, vous pouvez passer par Go avec go install github.com/sinclairtarget/git-who@latest ou compiler depuis les sources si vous aimez les défis. Docker est aussi supporté pour ceux qui préfèrent…

Ce qui rend git-who vraiment intéressant, c’est ses trois modes d’analyse. Le mode table (par défaut) vous donne un tableau récapitulatif des contributions par auteur, triable par nombre de commits, lignes de code, fichiers touchés ou date de modification. C’est pratique pour identifier rapidement qui sont les principaux contributeurs d’un projet. Le mode tree affiche l’arborescence du projet avec le contributeur principal annoté pour chaque fichier et dossier. Et le mode hist génère une timeline de l’activité des commits avec le top contributeur par période.

Pour vous donner une idée concrète, Sinclair Target a fait une démo sur le projet Vim pour analyser les patterns de maintenance après le décès de Bram Moolenaar. L’outil a permis d’identifier rapidement qui avait pris le relais sur différentes parties du code. C’est quelque chose qu’il aurait été impossible à voir clairement avec un git blame classique.

La différence fondamentale donc avec git blame, c’est que git-who “comprend” le contexte. Si quelqu’un déplace un fichier ou fait un reformatage massif, git blame lui attribuera toutes les lignes alors git-who, lui, va chercher plus loin dans l’historique pour identifier les véritables auteurs du code. Il respecte même les fichiers .mailmap pour consolider les identités multiples d’un même développeur et prend en compte le fichier .git-blame-ignore-revs pour ignorer certains commits de maintenance.

Pour utiliser git-who, il suffit de faire un git who à la racine de votre projet afin d’obtenir l’analyse de base. Vous pouvez filtrer par chemin avec git who Parser/ pour analyser seulement un dossier spécifique. Le tri est customisable avec des options comme -l pour trier par lignes de code ou -m pour la date de dernière modification. Et pour une vue historique entre deux versions, git who hist v3.10.9..v3.11.9 fait le job.

Bien sûr, git-who n’est pas le seul dans sa catégorie. GitLens pour VS Code reste l’extension la plus populaire, offrant une intégration visuelle directement dans l’éditeur. Git Quick Stats est aussi une autre alternative en ligne de commande qui propose des statistiques détaillées sur les repositories. Mais aucun ne va aussi loin que git-who dans l’analyse de la véritable propriété du code.

Qui maintient réellement cette partie critique du code ? Quelle équipe a le plus contribué à ce module ? Comment les contributions ont évolué au fil du temps ? Git-who vous aide à répondre à ces questions essentielles sur la gestion de votre projet, les audits de code ou simplement pour comprendre l’histoire d’un projet open source.

Bref, j’ai trouvé ça cool… Et qui sait, peut-être qu’un jour git-who sera intégré directement dans Git ?

Vous savez ce qui différencie un grand chef d’un cuistot lambda ? Le grand chef invente les recettes que tout le monde copiera pendant des décennies. Aaron Swartz, c’est un peu le Escoffier du web, sauf qu’au lieu de codifier la sauce hollandaise, il a inventé RSS, co-fondé Reddit et co-créé Markdown avant même d’avoir son permis de conduire. Et comme tous les révolutionnaires, il a fini par déranger le pouvoir en place jusqu’à en mourir.

Je connaissais Aaron Swartz de réputation depuis des années, mais c’est en lisant son histoire après sa mort que j’ai réalisé à quel point ce gamin était un phénomène.

L’histoire d’Aaron Swartz, c’est celle d’un gamin né le 8 novembre 1986 à Highland Park, à 40 kilomètres au nord de Chicago, dans une famille juive où la tech coule dans les veines. Son père Robert avait fondé la boîte de logiciels Mark Williams Company (créateurs du compilateur C Coherent), sa mère Susan était consultante et il a deux frères plus jeunes, Noah et Ben. Bref, l’environnement parfait pour éclore en tant que prodige de l’informatique. Mais Aaron, c’était pas juste un nerd qui collectionnait les lignes de code comme d’autres collectionnent les cartes Pokémon. Dès le début, il avait cette vision révolutionnaire que la technologie devait servir à libérer l’humanité, pas à l’enfermer.

L’icône RSS, symbole du format co-développé par Aaron à 14 ans

À 3 ans donc, pendant que les autres gamins découvraient les joies du pot, Aaron découvrait les joies du clavier. Ses parents racontent qu’il passait des heures devant l’écran, pas pour jouer, mais pour comprendre comment ça marchait. Le genre de gosse qui démonte son réveil pour voir ce qu’il y a dedans, mais version 2.0. Et ça n’a jamais cessé puisqu’à 12 ans, en 1999, il lance The Info Network, une encyclopédie collaborative où n’importe qui pouvait ajouter ou modifier du contenu. Vous me direz, c’est exactement le principe de Wikipedia… sauf que Wikipedia n’a été lancé qu’en janvier 2001. Aaron avait donc 2 ans d’avance sur l’un des sites les plus connus du web.

Ce projet lui vaut d’ailleurs le prix ArsDigita en 1999, récompensant les jeunes qui créent des sites “utiles, éducatifs et collaboratifs”. À 13 ans, il était déjà reconnu comme un talent exceptionnel mais le meilleur restait à venir…

En 2000, à 14 ans, Aaron rejoint le RSS-DEV Working Group qui développe la spécification RSS 1.0. Pour ceux qui ont vécu l’époque où on devait aller vérifier manuellement chaque site pour voir s’il y avait du nouveau contenu, RSS c’était la révolution absolue. Fini de faire le tour de 20 sites web tous les matins, les flux RSS amenaient directement l’info dans votre lecteur. C’est Aaron qui a participé à créer ça. À cet age, il devient même membre du World Wide Web Consortium (W3C) pour aider à développer les formats de données communs utilisés sur le web.

Un an plus tard, à 15 ans (j’insiste sur les âges parce que c’est hallucinant) il bosse avec Lawrence Lessig, professeur de droit à Harvard, sur l’architecture technique de Creative Commons. Vous savez, ces licences qui permettent aux créateurs de partager leurs œuvres sans se faire bouffer par le copyright traditionnel ? Et bien c’est Aaron qui code littéralement la couche logicielle des licences Creative Commons qui sont maintenant utilisées dans le monde entier. Des millions de créateurs utilisent aujourd’hui ce système pour libérer leurs contenus.

Aaron Swatz et Lawrence Lessig (source)

En parallèle, avec John Gruber, il co-crée Markdown en 2004, ce langage de balisage simple que vous utilisez probablement sans le savoir si vous traînez sur GitHub, Reddit, Discord ou même certains CMS. Par exemple, cette page que vous êtes en train de lire à été transformée en HTML à partir d’un fichier markdown. Cette syntaxe Markdown a été influencée par le langage atx qu’Aaron avait créé en 2002. Markdown, c’est donc cette syntaxe géniale qui permet d’écrire de l’hypertexte mis en forme, sans se prendre la tête avec les balises. Encore une fois, Aaron était sur le coup.

Et puis il y a Reddit.

Alors attention, l’histoire est un peu tordue parce qu’officiellement, Reddit a été fondé par Steve Huffman et Alexis Ohanian en 2005. Mais Aaron arrive dans l’histoire quand sa boîte Infogami (qu’il avait lancée avec son framework web.py) fusionne avec Reddit chez Y Combinator en novembre 2005. Du jour au lendemain, il devient cofondateur et se retrouve à recoder entièrement Reddit depuis le langage Lisp vers Python avec son framework web.py qu’il avait développé et qu’il release en open source.

Et Reddit, c’est pas juste un site de partage de liens, hein… c’est devenu LE lieu de débat d’Internet avec 430 millions d’utilisateurs actifs en 2025. Et Aaron était là dès le début, même si Condé Nast l’a racheté en 2006 pour une somme entre 10 et 20 millions de dollars, faisant d’Aaron un millionnaire avant même qu’il puisse légalement acheter une bière.

Aaron (source)

Et Aaron n’était pas juste un développeur brillant, c’était un visionnaire. Il voyait déjà Internet comme un outil d’émancipation démocratique alors quand les autres codaient pour faire du fric ou pour le fun, lui codait pour changer le monde. D’ailleurs, il quittera Reddit en janvier 2007, frustré par la culture corporate après le rachat par Condé Nast.

Sa philosophie, Aaron l’a formalisée en juillet 2008 dans son Guerilla Open Access Manifesto, écrit lors d’une rencontre entre bibliothécaires en Italie. Un texte court mais percutant qui commence par cette phrase mythique : “Information is power. But like all power, there are those who want to keep it for themselves.” L’information, c’est le pouvoir. Mais comme tout pouvoir, il y a ceux qui veulent le garder pour eux. Le manifeste continue : “L’ensemble du patrimoine scientifique et culturel mondial, publié au fil des siècles dans des livres et des revues, est de plus en plus numérisé et verrouillé par une poignée d’entreprises privées.” C’était son credo, son combat de toute une vie.

Parce qu’Aaron, il avait compris un truc que beaucoup n’ont toujours pas pigé. Dans une société de l’information, celui qui contrôle l’accès au savoir contrôle tout le reste. Les éditeurs scientifiques comme Elsevier ou Springer qui verrouillent la recherche derrière des paywalls de 30-40$ par article, pour Aaron, c’était de la pure extorsion. La recherche scientifique étant financée par l’argent public via les universités et les bourses de recherche (NSF, NIH, etc.), les résultats devraient appartenir au public. Point barre. Il écrivait alors dans son manifeste : “Nous devons récupérer les informations, où qu’elles soient stockées, en faire des copies et les partager avec le monde entier.”

C’est donc exactement ce raisonnement qui l’a mené à lancer Open Library en 2007 avec l’Internet Archive de Brewster Kahle. Le projet était dingue. Il s’agissait de créer une bibliothèque numérique universelle qui référencerait tous les livres existants, “une page pour chaque livre” et pas juste les cataloguer. Non, il voulait les rendre accessibles. Aaron bossait pour l’Internet Archive à l’époque, et il était déterminé à numériser le patrimoine littéraire mondial pour le rendre libre d’accès.

Le projet continue aujourd’hui avec des millions de livres numérisés.

L’Internet Archive, où Aaron a développé l’Open Library

Moi qui galère parfois à trouver des bouquins techniques récents sans me ruiner, je peux vous dire que l’idée d’Aaron me parlait énormément. Combien de fois j’ai eu besoin d’un article spécialisé et je me suis retrouvé face à un paywall à 39$ pour 8 pages PDF ? C’est rageant, surtout quand on sait que les chercheurs qui ont écrit ces articles ne touchent généralement pas un centime sur ces ventes… Ils font même du peer-review gratuitement !

Aaron développait aussi en parallèle d’autres projets révolutionnaires. En 2011-2012, avec Kevin Poulsen (ancien hacker devenu journaliste chez Wired) et James Dolan, il bossait sur DeadDrop, un système ultra-sécurisé permettant aux sources anonymes de transmettre des documents aux journalistes sans risquer d’être identifiées. Le projet utilisait Tor et un chiffrement avancé pour protéger les lanceurs d’alerte. Après la mort d’Aaron, la Freedom of the Press Foundation a repris le projet sous le nom SecureDrop.

Le premier déploiement a eu lieu au New Yorker le 15 mai 2013 sous le nom “Strongbox” et aujourd’hui, des médias comme The Guardian, The New York Times, The Washington Post, ProPublica ou The Intercept utilisent SecureDrop pour recevoir des documents confidentiels en toute sécurité. C’est grâce à ce système que des révélations majeures ont pu être publiées.

Politiquement, Aaron était aussi très engagé. Il a cofondé Demand Progress et le Progressive Change Campaign Committee pour soutenir des candidats progressistes au Congrès américain. Il s’est battu contre SOPA (Stop Online Piracy Act), cette loi scélérate qui aurait donné des pouvoirs de censure énormes aux ayants droit. Je me souviens encore du blackout de Wikipedia le 18 janvier 2012 pour protester contre SOPA… Aaron était sur tous les fronts de cette bataille, organisant des campagnes qui ont généré des millions d’appels au Congrès. La loi a finalement été abandonnée grâce à cette mobilisation.

Mais avant ça, en 2008, Aaron avait déjà frappé un grand coup avec PACER. Pour ce projet, il téléchargera légalement 2,7 millions de documents judiciaires fédéraux depuis une bibliothèque publique offrant un accès gratuit temporaire, et les rendra ensuite disponibles gratuitement alors que PACER facturait 8 cents la page. Le FBI ouvre une enquête mais la ferme rapidement car Aaron n’avait techniquement rien fait d’illégal.

Mais c’est son combat pour l’open access qui va lui coûter la vie. Entre septembre 2010 et janvier 2011, Aaron mène sa dernière grande opération de libération de l’information. Il se rend régulièrement au MIT, se connecte au réseau de l’université avec un compte invité légitime, et télécharge massivement des articles de JSTOR, cette base de données qui stocke des millions d’articles académiques derrière des paywalls. Il utilise pour cela un script Python appelé “keepgrabbing.py” depuis un ordinateur portable qu’il cache dans une armoire réseau non verrouillée du bâtiment 16 du MIT.

Le campus du MIT où Aaron a téléchargé les articles JSTOR (source)

Au total, Aaron récupère 4,8 millions d’articles soit environ 80% de la base JSTOR, dont 1,7 million étaient disponibles via le “Publisher Sales Service” de JSTOR.

Son plan était de les rendre publics, évidemment. Pour lui, c’était logique car ces articles décrivent des recherches financées par l’argent public, et doivent donc être accessibles au public. C’était l’application pratique de son manifeste de 2008.

Sauf que le système ne l’entendait pas de cette oreille. Le 6 janvier 2011, Aaron est arrêté par la police du MIT et un agent des services secrets américains près du campus de Harvard alors qu’il venait récupérer son ordinateur dans le placard où il l’avait planqué. Les charges fédérales tombent alors comme un couperet en juillet 2011 : 4 chefs d’accusation initiaux, puis 13 au total, soit 2 pour fraude électronique et 11 violations du Computer Fraud and Abuse Act de 1986. Au total, il risque 35 ans de prison, 1 million de dollars d’amende, la confiscation de ses biens, des dommages-intérêts et une liberté surveillée.

35 ans de prison pour avoir voulu libérer des articles scientifiques. Je vais être franc avec vous, quand j’ai découvert ces chiffres, j’ai eu envie de vomir On parle quand même d’un gamin de 24 ans qui n’a jamais fait de mal à personne, et qui a consacré sa vie à améliorer Internet et la société. Et le système judiciaire américain, mené par la procureure Carmen Ortiz et le procureur adjoint Stephen Heymann, veut l’enfermer plus longtemps que certains meurtriers. Ortiz déclare même : “Voler, c’est voler, que ce soit à l’aide d’une commande informatique ou d’un pied-de-biche.”

L’ironie, c’est que JSTOR eux-mêmes n’ont pas porté plainte civile. Ils ont récupéré leurs articles et publié un communiqué disant qu’ils considéraient l’affaire close, même s’ils jugeaient l’accès d’Aaron comme un “significant misuse” (un abus manifeste) fait de manière non autorisée. Mais les procureurs fédéraux ont décidé d’en faire un exemple. Il fallait montrer aux hacktivistes qu’on ne plaisantait pas avec la propriété intellectuelle. Les cons.

Les négociations de plaider-coupable traînent en longueur. Aaron refuse un deal qui l’enverrait 6 mois en prison car pour lui, accepter équivaudrait à admettre qu’il a eu tort de vouloir libérer l’information. Son avocat Marty Weinberg raconte qu’il était sur le point de négocier un accord où Aaron n’aurait pas fait de prison du tout. JSTOR était d’accord, mais le MIT a refusé de signer une déclaration de soutien et est resté “neutre”… une neutralité qui ressemblait fort à une condamnation.

Pendant ce temps, Aaron déprime. Ses amis racontent qu’il était de plus en plus isolé, de plus en plus désespéré par l’acharnement judiciaire dont il était victime. Il souffrait de dépression depuis des années et avait déjà écrit sur son blog “Raw Thought” à ce sujet. L’avocat Andy Good, qui s’occupait initialement de l’affaire, a même dit au procureur Heymann qu’Aaron était suicidaire. La réponse du procureur ? “Fine, we’ll lock him up.” (Très bien, on l’enfermera.)

Le 9 janvier 2013, deux jours avant sa mort, JSTOR annonce ironiquement qu’ils vont rendre accessibles gratuitement plus de 4,5 millions d’articles datant d’avant 1923 aux États-Unis et d’avant 1870 ailleurs via leur service “Register & Read”. Une partie de ce qu’Aaron voulait accomplir, mais trop peu, trop tard.

Puis le 11 janvier 2013, sa compagne Taren Stinebrickner-Kauffman (directrice exécutive de SumOfUs) le retrouve pendu dans leur appartement de Crown Heights, Brooklyn. Aaron Swartz est mort à 26 ans, 2 jours après que les procureurs aient rejeté sa dernière contre-proposition de plaidoyer. Il n’a pas laissé de mot d’adieu.

Sa famille publiera un communiqué bouleversant : “La mort d’Aaron n’est pas seulement une tragédie personnelle. Elle est le résultat d’un système judiciaire pénal marqué par l’intimidation et les abus du ministère public. Les décisions prises par les responsables du bureau du procureur fédéral du Massachusetts et du MIT ont contribué à sa mort.” Ils accusent directement les procureurs d’avoir poussé Aaron au suicide par leur acharnement.

Moi qui ai parfois des coups de blues quand l’un de mes projets plante ou qu’un cyber-gland m’insulte, je n’arrive même pas à imaginer la pression qu’Aaron a dû ressentir. Se retrouver face à 35 ans de prison pour avoir voulu partager de la connaissance, c’est d’une violence inouïe. Surtout pour quelqu’un qui avait consacré sa vie entière à améliorer le monde.

La mort d’Aaron provoque un tollé international. Des mémoriaux sont organisés dans le monde entier, y compris au MIT. Ses funérailles ont lieu le 15 janvier 2013 à la Central Avenue Synagogue de Highland Park et le mouvement Anonymous lance l’Opération Last Resort avec des cyberattaques contre le site du MIT et du département de Justice en protestation. Une pétition demandant le limogeage de la procureure Carmen Ortiz recueille même plus de 60 000 signatures sur We the People.

Plus important, les représentants Zoe Lofgren et Ron Wyden introduisent au Congrès une révision du Computer Fraud and Abuse Act, surnommée “Aaron’s Law”, pour éviter que d’autres hacktivistes subissent le même sort. La loi vise à empêcher les poursuites pour violation de conditions d’utilisation. Malheureusement, elle n’a jamais été votée et à l’heure où j’écris ces lignes, les mêmes excès du système judiciaire américain persistent.

En août 2013, Aaron est intronisé à titre posthume au Internet Hall of Fame. En 2014, Lawrence Lessig mène une marche à travers le New Hampshire en son honneur, militant pour la réforme du financement des campagnes électorales.

Mais l’héritage d’Aaron est immense ca chaque jour, des millions de personnes utilisent ses créations sans le savoir. Les flux RSS alimentent encore une bonne partie du web et les vrais passionnés utilisent toujours des lecteurs RSS. Reddit est devenu un des 10 sites les plus visités au monde avec 430 millions d’utilisateurs actifs mensuels et une valorisation de 10 milliards de dollars. Markdown est utilisé par tous les développeurs sur GitHub, GitLab, Stack Overflow, Discord et une myriade d’autres plateformes et c’est devenu LE standard de facto pour la documentation technique.

SecureDrop, son dernier projet, protège aujourd’hui des centaines de sources et de journalistes à travers le monde. Plus de 75 organisations médiatiques l’utilisent. Des révélations majeures comme les Panama Papers ou les Paradise Papers ont pu être publiées grâce à ce type de systèmes qu’Aaron avait imaginé pour protéger les lanceurs d’alerte. Et chaque fois qu’un gouvernement corrompu ou une entreprise véreux se font épingler grâce à des fuites sécurisées, c’est un peu l’esprit d’Aaron qui gagne.

Creative Commons a également libéré des millions d’œuvres créatives… On compte plus de 2 milliards d’œuvres sous licence CC en 2025 et Open Library continue de numériser et de rendre accessibles des livres du monde entier avec plus de 20 millions d’ouvrages référencés. Et surtout, ses idées sur l’open access ont fini par s’imposer et de plus en plus d’universités et d’organismes de recherche exigent que les publications financées par l’argent public soient librement accessibles. L’Union Européenne a aussi rendu l’open access obligatoire pour toutes les recherches financées par Horizon Europe et même PubMed Central aux États-Unis contient maintenant plus de 8 millions d’articles en libre accès.

Alexandra Elbakyan, inspirée par Aaron, a créé Sci-Hub en 2011 qui donne accès à plus de 85 millions d’articles scientifiques gratuitement. Elle dédie explicitement son travail à la mémoire d’Aaron. “Je pense qu’Aaron a fait un excellent travail en téléchargeant des millions d’articles de JSTOR. C’est un acte héroïque”, a-t-elle déclaré.

En février 2025, l’Internet Archive a même inauguré une statue d’Aaron dans son auditorium. Ils ont choisi cette date symbolique pour marquer les 12 ans de sa disparition et rappeler que son combat continue. Parce que oui, le combat continue.

Regardez ce qui se passe aujourd’hui avec l’IA générative et les droits d’auteur. Les grands modèles sont entraînés sur des milliards de textes récupérés sur Internet, et les éditeurs crient au scandale. Ils voudraient qu’on paye des licences pour chaque bout de texte utilisé pour entraîner un modèle IA.

Je pense qu’Aaron aurait été en première ligne de ce débat, défendant l’idée que la connaissance doit être libre pour permettre l’innovation. Il aurait aussi été horrifié de voir comment les GAFAM ont verrouillé Internet. Meta qui décide de ce que vous avez le droit de voir, Google qui filtre les résultats de recherche selon ses intérêts commerciaux, Apple qui contrôle tout ce qui peut tourner sur iOS avec son App Store… Aaron avait prévu cette dérive et s’y opposait déjà quand les autres trouvaient ça cool d’avoir des plateformes “gratuites”.

Le mouvement pour la neutralité du net, qu’Aaron soutenait déjà en 2010, est plus d’actualité que jamais. Aux États-Unis, elle a été supprimée sous Trump, rétablie sous Biden, et qui sait ce qui se passera ensuite. Aaron avait vu juste. Sans neutralité du net, Internet devient un outil de contrôle au service des plus riches.

Ce qui me frappe le plus dans l’histoire d’Aaron, c’est à quel point il était en avance sur son temps. Il parlait déjà d’éthique de l’IA quand la plupart des gens découvraient à peine Facebook, il défendait la transparence algorithmique quand Google était encore “Don’t be evil” (motto abandonné en 2018…) et il voulait démocratiser l’accès à l’information quand les autres ne voyaient Internet que comme un nouveau marché à conquérir.

Je pense souvent à ce qu’il aurait pu accomplir s’il avait vécu. À bientôt 39 ans (le 8 novembre 2025), il serait probablement à la tête d’organisations luttant contre la surveillance de masse, pour la protection des données personnelles, pour un Internet décentralisé. Il aurait peut-être créé des alternatives libres aux GAFAM (Imaginez un Aaron Swartz travaillant sur le Fediverse ou sur des protocoles vraiment décentralisés), et il se serait battu pour que les bienfaits de l’IA profitent à tous, et pas juste aux actionnaires de quelques boîtes californiennes.

Mais même absent, Aaron continue d’inspirer. Chaque développeur qui publie son code en open source, chaque chercheur qui rend ses publications librement accessibles sur arXiv ou bioRxiv, chaque journaliste qui utilise SecureDrop pour protéger ses sources perpétue son héritage. Chaque fois que quelqu’un refuse de céder aux sirènes du verrouillage propriétaire et choisit la liberté, Aaron gagne un peu.

Parce que c’est ça, le vrai message d’Aaron Swartz : L’information libre n’est pas un luxe de geek, c’est un droit fondamental. Dans une société démocratique, l’accès au savoir ne peut pas dépendre de votre capacité à payer des abonnements. La connaissance appartient à l’humanité entière, pas aux éditeurs qui la verrouillent ou aux gouvernements qui la censurent.

Alors oui, Aaron Swartz était un révolutionnaire. Pas le genre qui pose des bombes ou qui renverse des gouvernements, mais le genre qui change le monde ligne de code après ligne de code. Le genre qui comprend que dans l’ère numérique, la liberté passe par la libre circulation de l’information.

Et comme tous les vrais révolutionnaires, il a fini martyr de sa cause.

Mais contrairement aux révolutionnaires d’antan dont on ne se souvient que dans les livres d’histoire, l’héritage d’Aaron est vivant et tangible et le 8 novembre, jour de son anniversaire, des hackatons sont organisés dans le monde entier pour l’Aaron Swartz Day. Des développeurs, des militants, des chercheurs se réunissent pour faire avancer des projets dans l’esprit d’Aaron, à savoir rendre l’information plus libre, plus accessible, plus démocratique.

Parce que finalement, c’est ça le plus grand hommage qu’on puisse rendre à Aaron Swartz : Continuer son combat en refuser les paywalls absurdes, en soutenant l’open source, en défendant la neutralité du net, en protégeant les lanceurs d’alerte, utiliser et en promouvant les licences Creative Commons.

Chaque fois qu’on choisit la liberté plutôt que la facilité, l’ouverture plutôt que le contrôle, l’information libre plutôt que le profit, on honore sa mémoire.

Bref, Aaron Swartz était le héros dont Internet avait besoin, mais pas celui qu’il méritait.

Sources : Wikipedia - Aaron Swartz, Wikipedia - United States v. Swartz, Guerilla Open Access Manifesto (2008), Internet Hall of Fame - Aaron Swartz, JSTOR Evidence in United States vs. Aaron Swartz, MIT Report on Aaron Swartz, Aaron Swartz Day

Pourquoi prendre des vacances d’été et glander sur une plage, alors qu’on pourrait pondre projet open source qui résout un vrai problème ?

Adrien Revel a fait exactement ça avec Microfolio, et le plus rigolo c’est qu’il s’est fait assister par Claude Code pour développer son bébé. Une fois installé, vous lui balancez vos fichiers dans des dossiers, vous ajoutez du Markdown pour les descriptions, et paf, vous avez un portfolio statique qui a la classe.

Pas de base de données qui rame, pas de CMS à maintenir, pas de plugins WordPress qui vous lâchent au pire moment. Juste des fichiers, du contenu, et un site qui booste.

Microfolio tourne sur SvelteKit 2, l’un des générateurs de sites statiques les plus utilisés, couplé à Tailwind CSS 4. Pour ceux qui ne suivent pas l’actu dev, SvelteKit est un framework qui compile votre code en vanilla JavaScript ultra-optimisé. Du coup, les sites chargent à la vitesse de l’éclair même sur une connexion 3G pourrie.

Maintenant, l’installation, c’est du velours. Par exemple, sous macOS, une ligne de Homebrew et c’est parti :

brew install aker-dev/tap/microfolio
microfolio new mon-portfolio
cd mon-portfolio
microfolio dev

Pour les autres OS, un bon vieux clone Git et pnpm font l’affaire. Le projet est pensé pour les designers, architectes, photographes, bref tous les créatifs qui veulent montrer leur travail sans se prendre la tête avec du code.

Ce qui est intéressant dans l’histoire, c’est qu’Adrien a développé Microfolio avec Claude Code, ce nouvel assistant IA d’Anthropic qui cartonne chez les développeurs. Claude Code est d’ailleurs particulièrement doué pour bosser avec Svelte 5 et sa nouvelle syntaxe de runes. L’IA l’a visiblement bien aidé sur la doc et le code, ce qui montre qu’on peut faire de l’open source de qualité en duo avec une IA.

La démo en ligne montre déjà ce que ça donne à savoir une interface épurée, une navigation fluide entre les projets, une vue carte pour les projets géolocalisés (pratique pour les architectes), et un système de tags pour filtrer le contenu. Le tout responsive évidemment, c’est la base aujourd’hui.

Moi j’en ai fait un site de chat pour rigoler…

Pour le déploiement, GitHub Pages est supporté d’office avec possibilité de mettre un domaine custom. Adrien cherche également des beta-testeurs pour peaufiner le projet avant de sortir la v1.0 à la rentrée. Donc si vous avez un portfolio à refaire ou si vous voulez juste tester un outil moderne, c’est le moment.

Bref, du bon “file-based CMS” comme on les aime. Comme ça, au lieu de stocker vos contenus dans une base de données qui peut foirer, tout est dans des fichiers que vous pouvez versionner avec Git. Vous gardez le contrôle total sur vos données, vous pouvez tout éditer offline, et surtout vous n’êtes pas prisonnier d’un système.

Puis ce combo SvelteKit + Tailwind CSS est vraiment pertinent, je trouve. SvelteKit permet de générer des sites statiques en automatique, ce qui veut dire que votre site est servi en HTML statique pour le SEO, puis devient interactif côté client. C’est le meilleur des deux mondes.

Pour les devs qui veulent contribuer, le code est sur GitHub sous licence MIT. Le projet utilise les dernières versions de tout (SvelteKit 2, Tailwind CSS 4, Node.js 20+), donc c’est aussi l’occasion de jouer avec les dernières technos du moment.

A découvrir ici !

Merci à Adrien Revel pour avoir partagé son projet !

Cet article fait partie de ma série de l’été spécial hackers. Bonne lecture !

Vous savez ce qui me fascine avec les gangs de ransomware ? C’est leur capacité à renaître de leurs cendres comme des phœnix. L’opération Checkmate vient de frapper BlackSuit le 24 juillet dernier, saisissant 4 serveurs, 9 domaines .onion et récupérant 1,09 million de dollars en crypto, mais instantanément, les cybercriminels ont déjà muté en “Chaos”, leur nouvelle identité lancée en février dernier. Trop fort ! Ils avaient anticipé le coup !

Pour comprendre l’ampleur de ce bordel, il faut remonter à mai 2022. À cette époque, le gang Conti, ces tarés qui avaient attaqué le Costa Rica et déclaré leur soutien à la Russie dans la guerre en Ukraine, implose complètement. Un insider balance 60 GB de leurs conversations internes sur Twitter. On y découvre alors tout : leurs méthodes, leurs cibles, leurs comptes Bitcoin, même leurs conversations WhatsApp où ils parlent de leurs gosses et de leurs vacances. Du jamais vu !

Mais ces mecs sont malins et plutôt que de disparaître, ils se fragmentent en plusieurs groupes. D’abord Quantum en janvier 2022, qui teste les eaux avec le ransomware ALPHV/BlackCat. Puis Royal en septembre 2022, qui développe son propre encrypteur Zeon. Et enfin BlackSuit en juin 2023, juste après avoir mis la ville de Dallas à genoux. À chaque mutation, ils perfectionnent leurs techniques et augmentent leurs tarifs. C’est l’évolution darwinienne version cybercrime !

L’attaque de Dallas en mai 2023, c’est leur chef-d’œuvre. Ils paralysent complètement la ville : services d’urgence 911 hors service, tribunaux fermés, administration municipale KO. Les flics doivent revenir aux rapports papier, les ambulances naviguent avec des cartes routières, c’est le chaos total. Royal demande 60 millions de dollars de rançon ! La ville refuse de payer mais les dégâts sont estimés à plus de 8,5 millions. C’est là qu’ils décident alors de se “rebrander” en BlackSuit… Trop de chaleur médiatique, j’imagine…

Et surtout mes amis, l’ampleur des dégâts est incroyable. Depuis 2022, BlackSuit et Royal ont touché plus de 450 organisations américaines, extorquant 370 millions de dollars selon les estimations du FBI. Mais attention, c’est juste ce qu’on sait ! Les vraies victimes sont probablement le double car beaucoup préfèrent payer en silence plutôt que de voir leurs données exposées. Hôpitaux, écoles, services d’urgence, centrales électriques… ces enfoirés ciblent spécifiquement les infrastructures critiques car elles sont plus susceptibles de payer rapidement.

La collaboration internationale pour l’Opération Checkmate, c’est du jamais vu dans l’histoire de la cybercriminalité. 8 pays unis sous la coordination d’Europol : Canada (RCMP), Royaume-Uni (NCA), Allemagne (BKA et le parquet de Francfort), Ukraine (Cyber Police), Lituanie, France (ANSSI), Irlande et les États-Unis évidemment avec ICE, FBI, Secret Service et l’OFAC.

Chacun apporte ses compétences spécifiques. Les Allemands du BKA avec leur expertise technique légendaire sur l’analyse forensique. Les Ukrainiens avec leur unité cybercrime qui est devenue ultra performante depuis qu’ils se font attaquer H24 par les Russes. Les Britanniques du NCA avec leur expérience des réseaux criminels et leurs infiltrations. Les Néerlandais qui ont fourni l’infrastructure pour coordonner l’opération. Même BitDefender, la boîte roumaine de cybersécurité, était dans le coup !

Cisco Talos a alors rapidement identifié que Chaos présente des similitudes troublantes avec BlackSuit. Mêmes commandes de chiffrement, mêmes structures de notes de rançon, mêmes outils living-off-the-land (ces techniques qui utilisent les outils légitimes Windows pour passer sous les radars). C’est comme si les développeurs avaient juste fait un Ctrl+H pour remplacer “BlackSuit” par “Chaos” dans leur code.

BlackSuit lui-même était né des cendres de Conti. C’est une dynastie criminelle qui remonte à 2016 avec Ryuk, puis Conti en 2020, puis la fragmentation en 2022. À chaque fois qu’on les tape, ils reviennent plus forts. C’est l’Hydre de Lerne version 2.0… tu coupes une tête, il en repousse deux !

Ce nouveau groupe “Chaos” opère donc déjà sur le forum criminel russe RAMP (Ransom Anon Market Place). Pour ceux qui connaissent pas, RAMP c’est le LinkedIn des cybercriminels. Créé en juillet 2021 par TetyaSluha (qui s’est rebrandé en “Orange”), c’est LE forum où les gangs de ransomware recrutent leurs affiliés après que les autres forums comme XSS et Exploit les aient bannis suite à l’attaque de Colonial Pipeline.

RAMP, c’est 14 000 membres qui parlent russe, chinois et anglais et pour s’inscrire, faut soit être recommandé par un membre d’XSS ou Exploit avec plus de 2 mois d’ancienneté et 10 messages, soit casquer 500 dollars cash. Ils ont même un système d’escrow façon Silk Road pour garantir les transactions. C’est Amazon pour les criminels, avec des notes et des avis clients !

Chaos propose donc leur ransomware-as-a-service (RaaS) compatible Windows, ESXi, Linux, BSD et NAS. Leur première demande connue s’élève à 300 000 dollars, mais c’est juste le prix d’entrée. Pour les grosses entreprises, ça peut monter jusqu’à 60 millions !

Leurs techniques d’infiltration sont diaboliques puisqu’ils combinent :

• Spam flooding : bombardement d’emails de phishing jusqu’à ce qu’un employé craque
• Ingénierie sociale par téléphone : ils appellent le support IT en se faisant passer pour des employés
• Living-off-the-land : utilisation de PowerShell, WMI, et autres outils Windows légitimes
• Supply chain attacks : compromission de fournisseurs pour atteindre les vraies cibles
• Zero-days achetés sur Genesis Market : des vulnérabilités inconnues à 100 000 dollars pièce

Leur spécialité ce sont les environnements VMware ESXi. Ces salopards ont compris que si tu chiffres l’hyperviseur, tu paralyses TOUTES les machines virtuelles d’un coup. Plus besoin donc de chiffrer 500 serveurs individuellement. Il suffit d’attaquer l’ESXi et boom, c’est game over. Ils exploitent notamment la CVE-2024-37085 où il suffit de créer un groupe “ESX Admins” dans l’Active Directory pour avoir les droits admin complets. Du grand art !

Les techniques d’attaque de Chaos sont d’un autre niveau :

• Clés de chiffrement individuelles pour chaque fichier (impossible de créer un décrypteur universel)
• Chiffrement optimisé : seulement les premiers 1MB de chaque fichier pour aller plus vite
• Ciblage des sauvegardes : suppression des snapshots VMware, Volume Shadow Copies, backups Veeam
• Double extorsion : vol des données avant chiffrement pour faire pression
• Triple extorsion : DDoS sur le site de la victime si elle refuse de payer

Mais le plus dingue, c’est leur nouveau système de négociation. Ils utilisent pour cela des chatbots IA pour gérer les discussions avec les victimes ! Plus besoin d’avoir un négociateur humain disponible 24/7. L’IA analyse le profil de la victime, adapte le ton, applique des techniques de pression psychologique, et peut même négocier dans plusieurs langues simultanément. C’est ChatGPT au service du crime organisé !

Le chatbot est programmé pour :

• Offrir une “preuve de vie” en déchiffrant gratuitement 2 fichiers
• Augmenter la pression toutes les 24h avec menaces de publication
• Proposer des “réductions” si paiement rapide (technique de vente classique)
• Menacer de contacter les clients/partenaires de la victime
• Publier automatiquement 10% des données volées si pas de réponse après 72h

Heureusement, l’Opération Checkmate a porté un coup sévère. Les autorités ont saisi les serveurs hébergeant les sites .onion de négociation et de leak. Les domaines miroirs ont aussi été pris simultanément pour éviter toute migration rapide. Les systèmes de blanchiment via mixers Bitcoin ont été démantelés. Même les comptes sur les exchanges crypto ont été gelés grâce à l’OFAC.

Mais bon, le plus inquiétant dans cette affaire, c’est surtout la rapidité de la mutation. BlackSuit était actif jusqu’au 24 juillet, jour de la saisie. Mais Chaos était déjà opérationnel depuis février ! Ces enfoirés avaient anticipé l’intervention policière et préparé leur sortie de secours 5 mois à l’avance. Plusieurs affiliés de BlackSuit avaient d’ailleurs déjà migré vers la nouvelle plateforme, emportant avec eux leurs accès aux réseaux compromis.

L’impact sur les victimes reste dramatique. Les secteurs de la santé et de l’éducation, déjà fragilisés par le COVID et les coupes budgétaires, subissent des pertes moyennes de 800 000 dollars par incident selon les dernières statistiques. Mais c’est rien comparé aux coûts cachés :

• Arrêt d’activité : 21 jours en moyenne pour un retour à la normale
• Perte de confiance des clients : -23% de chiffre d’affaires sur 2 ans
• Frais légaux et de notification : 450 000 dollars minimum
• Augmentation des primes d’assurance cyber : x3 après une attaque
• Coût de reconstruction from scratch : souvent plus cher que la rançon

Les petites municipalités américaines, avec leurs budgets IT dérisoires (genre 50 000 dollars par an pour protéger toute une ville), deviennent des cibles privilégiées. Lake City en Floride a payé 460 000 dollars. Riviera Beach a lâché 600 000. LaPorte County dans l’Indiana, 130 000. C’est open bar pour les criminels !

SC Media souligne à juste titre que malgré cette victoire, le problème reste entier. Tant que le modèle économique du RaaS reste rentable (les affiliés touchent 70 à 90% des rançons !), de nouveaux groupes continueront d’émerger. La décentralisation via les cryptomonnaies et les forums du dark web rend ces organisations presque impossibles à éradiquer complètement.

Le pire c’est que les gouvernements eux-mêmes alimentent le problème. La NSA développe des exploits qui finissent sur le marché noir (coucou EternalBlue et WannaCry). Les services de renseignement achètent des zero-days au lieu de les signaler. Et certains pays (on ne citera pas la Russie et la Corée du Nord) protègent activement ces groupes tant qu’ils ne ciblent pas leurs citoyens.

Bref, cette lutte contre les ransomwares ressemble à un jeu du chat et de la souris infini car même si les forces de l’ordre marquent des points importants comme avec Checkmate, les criminels s’adaptent et reviennent sous de nouvelles formes. C’est la version cyber de la guerre contre la drogue… on arrête un cartel, trois autres prennent sa place.

Du coup, au risque de rabâcher, n’oubliez pas que la seule vraie défense reste la prévention :

• Sauvegardes hors ligne : la règle 3-2-1 (3 copies, 2 supports différents, 1 hors site)
• Patchs à jour : 85% des attaques exploitent des vulns connues depuis plus de 2 ans
• Formation du personnel : 91% des attaques commencent par un email de phishing
• Segmentation réseau : limiter la propagation latérale
• Plans de réponse aux incidents : testés régulièrement avec des simulations
• Cyber-assurance : mais lisez les petites lignes car certaines excluent les “actes de guerre cyber”

Parce qu’au final, ce n’est pas une question de SI vous serez ciblé, mais de QUAND. Les stats sont implacables puisque 71% des organisations ont subi au moins une attaque ransomware en 2024. Et pour les 29% restants… soit ils mentent, soit ils ne le savent pas encore !

On vit vraiment une époque formidable où des criminels peuvent paralyser un hosto depuis leur canapé à Moscou tout en négociant une rançon à l’aide d’un chatbot IA. À vous de voir maintenant si vous préférez investir dans la prévention ou financer involontairement le prochain yacht d’un cybercriminel russe…

Sources : ICE - Operation Checkmate Takedown, BleepingComputer - Royal and BlackSuit Impact, Cisco Talos - Chaos Ransomware Analysis, SOCRadar - RAMP Forum Analysis, SC Media - Operation Checkmate, TechCrunch - CISA/FBI Advisory

WinRAR, vous savez, le truc que tout le monde a sur son PC pour décompresser des fichiers et dont personne ou presque ne paye la licence ? Bah il vient de se faire trouer comme jamais. En effet un groupe de hackers russes exploite actuellement une faille zero-day pour installer des backdoors sur les machines et le pire dans tout ça, c’est que vous avez probablement WinRAR installé depuis des années sans jamais l’avoir mis à jour.

La faille en question, c’est la CVE-2025-8088, une vulnérabilité de type directory traversal qui a été découverte le 9 janvier dernier. En gros, quand vous ouvrez une archive RAR piégée, le malware peut s’installer où il veut sur votre système, notamment dans le dossier de démarrage de Windows. Résultat, à chaque fois que vous allumez votre PC, la backdoor se lance automatiquement.

Derrière cette attaque, on trouve le groupe RomCom, aussi connu sous les noms Storm-0978, Tropical Scorpius, Void Rabisu ou UNC2596. Ces mecs sont liés à la Russie et sont actifs dans le cyber-espionnage depuis plusieurs années. Leur mode opératoire est simple… Ils vous envoient des emails de phishing avec des pièces jointes RAR qui ont l’air légitimes. Genre un faux document de votre banque ou une facture bidon.

Ce qui rend cette vulnérabilité particulièrement vicieuse, c’est la méthode d’exploitation. Comme je vous l’expliquais en intro, les fichiers malveillants peuvent être placés directement dans le dossier Windows Startup sans aucune alerte de sécurité, permettant au malware de s’exécuter automatiquement à chaque démarrage. Vous décompressez le fichier, vous pensez que tout va bien, mais en réalité vous venez d’installer un backdoor qui donnera accès complet à votre machine aux hackers.

RARLAB, la société derrière WinRAR, a publié en urgence la version 7.02 le jour même de la découverte, sauf que voilà le problème : WinRAR n’a pas de système de mise à jour automatique. Ça veut dire que les 500 millions d’utilisateurs dans le monde doivent aller manuellement télécharger et installer la nouvelle version. Combien vont vraiment le faire ? On peut parier que dans 6 mois, 90% des gens auront toujours la version vulnérable.

D’ailleurs, c’est pas la première fois que WinRAR se fait avoir cette année. En juin 2025, une autre faille critique CVE-2025-6218 avec un score CVSS de 7.8 permettait l’exécution de code à distance. Et il y a aussi eu la CVE-2025-31334 qui permettait de contourner le Mark of the Web, cette protection Windows qui vous avertit quand vous ouvrez un fichier téléchargé d’Internet.

Les chercheurs en sécurité qui ont analysé les attaques RomCom ont découvert que le groupe cible principalement des organisations gouvernementales et militaires en Ukraine et dans les pays de l’OTAN. Selon Security Affairs, les attaquants utilisent des leurres très élaborés, comme de faux documents sur des exercices militaires ou des rapports de renseignement.

Le malware RomCom lui-même est une saloperie bien rodée. Une fois installé, il peut voler vos identifiants, enregistrer vos frappes clavier, faire des captures d’écran, et même activer votre webcam. Les hackers peuvent aussi l’utiliser comme point d’entrée pour déployer d’autres malwares, notamment des ransomwares qui chiffrent tous vos fichiers.

C’est quand même couillon cette absence totale de mise à jour automatique dans WinRAR. On est en 2025, et même ma cafetière se met à jour toute seule ! Alors comment un logiciel aussi répandu peut encore fonctionner comme dans les années 90 ? RARLAB justifie ça en disant qu’ils veulent éviter de “déranger” les utilisateurs. Mais là, le dérangement c’est de se faire pirater parce qu’on n’a pas pensé à vérifier manuellement les mises à jour.

Pour vous protéger, c’est simple mais chiant… Allez sur le site officiel de WinRAR (attention aux faux sites), téléchargez la version la plus récente, et installez-la par-dessus votre ancienne version. Vérifiez bien dans le menu Aide que vous avez la bonne version après installation. Et surtout, méfiez-vous des archives RAR que vous recevez par email ou que vous téléchargez. Si vous avez un doute, utilisez un sandbox ou une machine virtuelle pour les ouvrir.

Les entreprises sont particulièrement à risque parce qu’elles ont souvent des versions anciennes de WinRAR déployées sur des centaines de postes et avec le télétravail, c’est encore pire car les employés utilisent leurs PC perso avec des versions obsolètes pour ouvrir des fichiers pro. C’est la porte ouverte à toutes les fenêtres, comme dirait l’autre !

Bref, encore une fois, c’est souvent les trucs basiques qu’on néglige qui nous font tomber. Faites-vous une faveur et mettez à jour WinRAR maintenant, ou mieux, passez à 7-Zip qui est open source et se met à jour plus régulièrement.

Source

Cet article fait partie de ma série de l’été spécial hackers. Bonne lecture !

C’est l’histoire d’une hackeuse qui a littéralement fait trembler Intel, Microsoft et toute l’industrie de la sécurité et qui a prouvé qu’on ne pouvait JAMAIS faire confiance à un ordinateur.

Je ne me souviens absolument pas du jour où j’ai découvert Blue Pill mais c’est en août 2006, lors de la présentation de Joanna Rutkowska à Black Hat, que le monde a découvert cet outil. Les forums de sécurité étaient en ébullition totale car une hackeuse polonaise de 25 ans venait de démontrer comment créer un rootkit 100% indétectable en utilisant de la virtualisation hardware. Les experts étaient alors partagés entre l’admiration et la terreur absolue.

Comment une chercheuse inconnue du grand public avait-elle pu mettre à genoux toute l’industrie et devenir quelques années plus tard, l’architecte de l’OS le plus sécurisé au monde ? Je vais tout vous raconter…

Joanna Rutkowska naît en 1981 à Varsovie, dans une Pologne encore sous régime communiste. Quand elle débarque sur Terre, Solidarność vient juste d’être interdit et le général Jaruzelski impose la loi martiale. C’est dans ce contexte politique super tendu qu’elle grandit, dans une ville où l’accès à la technologie occidentale reste un luxe rare.

En 1992, à 11 ans, Joanna découvre son premier ordinateur. Un PC/AT 286 avec un processeur à 16 MHz, 2 MB de RAM et un disque dur de 40 MB. Pour une gamine de cet âge dans la Pologne post-communiste, c’est comme trouver un trésor. Alors pendant que ses copines jouent à la poupée Barbie, Joanna passe ses journées devant l’écran monochrome, fascinée par ce monde binaire.

Elle commence par apprendre GW-BASIC, puis découvre Borland Turbo Basic. Les lignes de code défilent, les programmes prennent vie. C’est magique ! Elle passe des heures à créer des petits jeux, des utilitaires et tout ce qui lui passe par la tête. Mais très vite, le BASIC ne lui suffit plus. Elle veut comprendre comment fonctionne VRAIMENT la machine.

L’adolescence de Joanna est marquée par une curiosité dévorante pour les entrailles des systèmes. Elle se plonge dans la programmation assembleur x86, le langage le plus proche du hardware. C’est hardcore, c’est complexe, mais c’est exactement ce qu’elle cherche. Elle veut tout contrôler, tout comprendre, tout maîtriser jusqu’au dernier registre du processeur.

Alors elle ne se contente pas d’apprendre. Elle expérimente, crée ses premiers virus. Pas pour nuire hein, mais pour comprendre. Comment un programme peut-il se répliquer ? Comment peut-il se cacher ? Comment peut-il survivre ? Ces questions l’obsèdent. Elle passe ses nuits à désassembler des programmes, à tracer leur exécution instruction par instruction.

Et au milieu des années 90, quelque chose change. Les maths et l’intelligence artificielle commencent à la fasciner. Elle découvre les réseaux de neurones, les algorithmes génétiques, et tout ce qui touche à l’IA naissante. Elle dévore les whitepapers de recherche, implémente des prototypes. Et cette même passion qu’elle avait mise dans l’assembleur, elle la met maintenant dans l’IA.

Parallèlement, elle découvre Linux et le monde de l’open source et c’est une révélation totale ! Un système d’exploitation dont on peut lire le code source, c’est fou ! Elle peut enfin voir comment fonctionne vraiment un OS moderne. Elle compile son premier kernel, le modifie, le recompile. Elle apprend la programmation système, les drivers, les mécanismes de sécurité du kernel.

Puis à la fin des années 90, Joanna fait un choix crucial. Elle retourne à sa première passion : la sécurité informatique. Mais cette fois avec une approche différente. Elle ne veut plus créer des virus pour le fun, non, elle veut comprendre comment sécuriser les systèmes, comment les protéger, comment détecter les attaques les plus sophistiquées.

Alors elle s’inscrit à l’Université de Technologie de Varsovie (Warsaw University of Technology), l’une des meilleures facs d’informatique de Pologne et là, elle approfondit ses connaissances théoriques tout en continuant ses recherches personnelles sur les exploits Linux x86 et Win32 puis finit par se spécialiser dans la sécurité système, un domaine encore peu exploré à l’époque.

Son mémoire de master porte sur les techniques de dissimulation des malwares. Elle y développe des concepts qui préfigurent déjà ses futures recherches. Comment un programme malveillant peut-il se rendre totalement invisible ? Comment peut-il tromper les outils de détection les plus sophistiqués ? Ses profs sont bluffés par la profondeur de son analyse.

Diplômée, Joanna commence à bosser comme consultante en sécurité, mais très vite, elle réalise que le consulting ne la satisfait pas. Elle veut faire de la recherche pure et dure, explorer les limites de ce qui est possible, repousser les frontières de la sécurité informatique. Pas juste auditer des systèmes pour des clients corporate.

C’est à cette époque qu’elle commence à s’intéresser à la virtualisation. Intel et AMD viennent de sortir leurs nouvelles extensions de virtualisation hardware : VT-x et AMD-V. Pour la plupart des gens, c’est juste une amélioration technique pour faire tourner des VMs plus efficacement mais pour Joanna, c’est bien plus que ça. C’est une nouvelle surface d’attaque.

Elle passe des mois à étudier ces nouvelles technologies. Elle lit les manuels Intel de 3000 pages (oui, 3000 !), analyse chaque instruction, comprend chaque mécanisme. Les opcodes VMXON, VMXOFF, VMRESUME deviennent ses meilleurs amis et petit à petit, une idée germe dans son esprit génial.

Et si on pouvait utiliser la virtualisation non pas pour protéger, mais pour attaquer ? Et si on pouvait créer un hyperviseur malveillant qui prendrait le contrôle total d’un système sans que personne ne s’en aperçoive ? Un rootkit qui s’exécuterait à un niveau encore plus bas que le kernel, dans le ring -1 comme on dit.

L’idée est révolutionnaire car jusqu’alors, les rootkits devaient modifier le kernel, laissaient des traces, et étaient détectables d’une manière ou d’une autre. Mais avec la virtualisation hardware, on pourrait créer un rootkit qui contrôle le système d’exploitation lui-même sans jamais le toucher. Le rootkit parfait en somme…

En 2006, Joanna est prête. Elle a développé une preuve de concept qu’elle appelle “Blue Pill”, en référence à la pilule bleue de Matrix. Le nom est parfait car comme dans le film, le système d’exploitation continue de vivre dans une réalité virtuelle sans se douter qu’il est contrôlé par une entité supérieure. “Your operating system swallows the Blue Pill and it awakes inside the Matrix”, comme elle le dira.

À cette époque, Joanna bosse pour COSEINC Research, une boîte de sécurité basée à Singapour et ce sont eux qui financent ses recherches sur Blue Pill. Mais attention, Blue Pill n’est pas destiné à être vendu ou distribué. C’est exclusivement pour la recherche, simplement pour “prouver le concept” (PoC).

Le 3 août 2006, Las Vegas. C’est l’heure de la Black Hat, LA conférence de sécurité la plus prestigieuse au monde. Joanna monte sur scène, elle a 25 ans, elle est inconnue du grand public américain, et elle s’apprête à bouleverser le monde de la cybersécurité.

“The idea behind Blue Pill is simple”, commence-t-elle avec son accent polonais caractéristique, “Your operating system swallows the Blue Pill and it awakes inside the Matrix controlled by the ultra-thin Blue Pill hypervisor.”

La salle est bondée. Les experts sont venus voir cette jeune chercheuse polonaise qui prétend avoir créé un rootkit indétectable. Certains sont sceptiques. D’autres curieux. Personne ne s’attend à ce qui va suivre.

Joanna lance sa démo. En quelques secondes, elle installe Blue Pill sur un système Windows Vista en cours d’exécution. Pas de redémarrage. Pas de modification visible. Le système continue de fonctionner normalement, sauf qu’il est maintenant entièrement sous le contrôle de Blue Pill.

Elle montre alors comment Blue Pill peut intercepter tous les appels système, modifier les résultats, cacher des processus, des fichiers, des connexions réseau. Tout ça sans toucher à un seul octet du kernel Windows. Les outils de détection de rootkits ne voient rien, les antivirus sont aveugles et le système lui-même n’a aucune idée qu’il s’exécute dans la machine virtuelle.

Le plus fou c’est que Blue Pill n’exploite aucun bug dans AMD-V ou Intel VT-x. Il utilise uniquement les fonctionnalités documentées. Ce n’est pas un exploit, c’est une utilisation créative de la technologie. “Blue Pill does *not* rely on any bug in Pacifica neither in OS”, précise-t-elle.

La démonstration se termine. Un silence de cathédrale règne dans la salle. Puis les applaudissements explosent. Les experts présents réalisent qu’ils viennent d’assister à quelque chose d’historique. Joanna Rutkowska vient de prouver que la virtualisation hardware peut être “weaponisée”.

L’impact est immédiat et dévastateur et les médias s’emparent de l’histoire. eWeek Magazine la nomme parmi les “Five Hackers who put a mark on 2006”. Les forums de sécurité s’enflamment et les débats font rage. Est-ce vraiment indétectable ? Comment se protéger ? Faut-il interdire la virtualisation hardware ?

Microsoft est en panique totale. Leur nouveau Vista, qui devait être le système le plus sécurisé jamais créé, vient d’être compromis par une hackeuse de 25 ans et surtout, Intel n’est pas mieux car leur technologie VT-x, censée améliorer la sécurité, devient soudain une menace. Même AMD essaie de minimiser, publiant un communiqué disant que Blue Pill n’est pas vraiment “indétectable”.

Mais Joanna ne s’arrête pas là et dans les mois qui suivent, elle publie plus de détails techniques sur son blog “The Invisible Things”. Elle explique comment Blue Pill fonctionne, les défis techniques qu’elle a dû surmonter. Bien sûr, elle ne publie pas le code source complet (COSEINC garde ça pour leurs trainings), mais elle donne assez d’infos pour que d’autres chercheurs comprennent.

Et en 2007, la controverse atteint son paroxysme. Trois chercheurs en sécurité de renom, Thomas Ptacek de Matasano Security, Nate Lawson de Root Labs et Peter Ferrie de Symantec, défient publiquement Joanna. Ils prétendent avoir développé des techniques pour détecter Blue Pill et ils lui proposent un duel à Black Hat 2007.

Leur présentation s’intitule “Don’t Tell Joanna: The Virtualised Rootkit Is Dead”. Ils veulent prouver que Blue Pill n’est pas si indétectable que ça alors ils proposent un challenge : leur détecteur contre le rootkit de Joanna. Que le meilleur gagne !

Joanna accepte le défi, mais à une condition : Elle demande 384 000 dollars pour participer. Pas par cupidité, mais pour border le projet car ce qu’elle a maintenant, c’est un prototype et pour en faire quelque chose de vraiment “hard to detect”, il faudrait deux personnes à plein temps pendant six mois à 200 dollars de l’heure. Elle et Alexander Tereshkin ont déjà investi quatre mois-personnes et il en faudrait douze de plus pour avoir un vrai rootkit de production.

Certains disent qu’elle a peur de perdre, d’autres comprennent sa position et que le montant demandé représente le coût réel du développement d’un rootkit de production, et pas juste une preuve de concept académique.

Finalement, le duel n’aura pas lieu et les deux parties s’accordent sur le fait qu’en l’état actuel, Blue Pill n’est pas prêt pour un tel challenge. Mais les chercheurs présentent quand même leur talk. Joanna et Alexander Tereshkin contre-attaquent avec leur propre présentation, démontrant que les méthodes de détection proposées sont imprécises et facilement contournables.

En avril 2007, au milieu de cette tempête médiatique, Joanna prend alors une décision qui va changer sa vie. Elle fonde Invisible Things Lab (ITL) à Varsovie. L’idée est simple : créer un laboratoire de recherche indépendant, focalisé sur la sécurité système au plus bas niveau. Pas de produits commerciaux, pas de bullshit marketing. Juste de la recherche pure et dure.

ITL attire rapidement les meilleurs talents. Alexander Tereshkin, un génie russe de la sécurité hardware. Rafał Wojtczuk, un expert polonais des systèmes d’exploitation qui deviendra son bras droit pendant des années. Ensemble, ils forment une dream team de la sécurité offensive. Et leur première cible majeure c’est Intel Trusted Execution Technology (TXT).

C’est une technologie qui est censée garantir qu’un système démarre dans un état sûr, non compromis. C’est le Saint Graal de la sécurité à savoir un boot de confiance, vérifié par le hardware. Intel en fait la promotion comme LA solution contre les rootkits.

Alors en janvier 2009, Joanna et Rafał frappent fort et publient une attaque dévastatrice contre Intel TXT. Le point faible c’est le System Management Mode (SMM), un mode d’exécution spécial du processeur qui a plus de privilèges que tout le reste, y compris l’hyperviseur. C’est le ring -2, encore plus profond que le ring -1 de Blue Pill !

Leur découverte est brillante dans sa simplicité car TXT vérifie l’intégrité du système au démarrage, mais il ne vérifie pas le code SMM. Si un attaquant parvient à infecter le SMM avant le boot, il peut alors survivre au processus de démarrage sécurisé et compromettre le système “de confiance”. Pour prouver leur dires, ils créent un rootkit SMM qui s’installe via une vulnérabilité de cache poisoning et une fois en place, il peut compromettre n’importe quel système, même après un boot TXT “sécurisé”. Ils démontrent ainsi l’attaque en ajoutant une backdoor au hyperviseur Xen.

Game over pour Intel TXT.

Intel est furieux. Non seulement leur technologie phare vient d’être cassée, mais Joanna révèle que des employés Intel avaient alerté le management sur cette vulnérabilité dès 2005. Trois ans d’inaction. Trois ans pendant lesquels les clients ont cru être protégés alors qu’ils ne l’étaient pas. C’est un scandale.

Face au silence d’Intel, Joanna et Rafał décident de leur forcer la main. En mars 2009, ils annoncent qu’ils vont publier le code complet de leur exploit SMM. C’est un coup de poker risqué car publier un exploit aussi puissant pourrait être dangereux, mais c’est le seul moyen de forcer Intel à agir.

Heureusement, la stratégie fonctionne et Intel se met enfin au boulot pour pondre des correctifs. Mais le problème est complexe car il ne s’agit pas juste de patcher un bug. Il faut repenser toute l’architecture de confiance, développer un “SMM Transfer Monitor” (STM), convaincre les fabricants de BIOS de l’implémenter. Ça va prendre des années.

Pendant ce temps, Joanna continue d’explorer d’autres angles d’attaque. Elle s’intéresse particulièrement aux attaques physiques. C’est dans ce contexte qu’elle invente un concept qui va entrer dans l’histoire : l’attaque “Evil Maid”.

L’idée lui vient lors d’un voyage. Elle réalise que même avec le chiffrement intégral du disque, un laptop laissé dans une chambre d’hôtel reste vulnérable. Une femme de chambre malveillante (d’où le nom “Evil Maid”) pourrait booter l’ordinateur sur une clé USB, installer un keylogger dans le bootloader, et capturer le mot de passe de déchiffrement lors du prochain démarrage.

En 2009, elle publie alors une preuve de concept contre TrueCrypt, le logiciel de chiffrement le plus populaire de l’époque. L’attaque est élégante : une clé USB bootable qui modifie TrueCrypt pour enregistrer le mot de passe. L’utilisateur revient, tape son mot de passe, et hop, il est enregistré sur le disque. L’attaquant n’a plus qu’à revenir pour le récupérer.

Le terme “Evil Maid attack” entre immédiatement dans le vocabulaire de la sécurité car il capture parfaitement la vulnérabilité fondamentale des appareils laissés sans surveillance. Même avec les meilleures protections logicielles, un accès physique change tout. C’est devenu un classique, au même titre que “man-in-the-middle” ou “buffer overflow”. Mais Joanna ne se contente pas de casser des choses… Elle veut aussi construire et c’est là que naît son projet le plus ambitieux : Qubes OS.

L’idée de Qubes germe depuis longtemps dans son esprit, car après des années à découvrir faille sur faille, elle réalise une vérité fondamentale : aucun système n’est sûr. Il y aura toujours des bugs, toujours des vulnérabilités. La question n’est donc pas “si” mais “quand” un système sera compromis.

Alors plutôt que d’essayer de créer un système parfait (mission impossible), pourquoi ne pas créer un système qui assume qu’il sera compromis ? Un système où la compromission d’une partie n’affectera pas le reste ? C’est le concept de “security by compartmentalization”, la sécurité par compartimentation.

En 2010, elle s’associe avec Rafał Wojtczuk et Marek Marczykowski-Górecki pour concrétiser cette vision. Qubes OS est basé sur Xen, un hyperviseur bare-metal mais au lieu d’utiliser Xen pour faire tourner plusieurs OS complets, Qubes l’utilise pour créer des dizaines de machines virtuelles légères, chacune dédiée à une tâche spécifique. Vous voulez surfer sur des sites douteux ? Une VM dédiée isolée. Faire du banking en ligne ? Une autre VM. Travailler sur des documents sensibles ? Encore une autre VM. Chaque VM est isolée des autres, comma ça, si l’une est compromise par un malware, les autres restent safe. C’est loin d’être con !

Mais Qubes va encore plus loin. Il utilise des VMs spécialisées pour les tâches critiques. NetVM gère uniquement le réseau. USB VM gère les périphériques USB (super dangereux). AudioVM gère le son. Ainsi, même si un driver est compromis, il ne peut pas accéder au reste du système. L’isolation est totale.

Le développement de Qubes est un défi monumental car il faut repenser toute l’expérience utilisateur. Comment faire pour que l’utilisateur lambda puisse utiliser des dizaines de VMs sans devenir fou ? Comment gérer le copier-coller entre VMs de manière sécurisée ? Comment partager des fichiers sans compromettre l’isolation ?

Joanna et son équipe passent ainsi deux ans à résoudre ces problèmes. Ils créent des mécanismes élégants pour que tout soit transparent. Les fenêtres des différentes VMs s’affichent sur le même bureau, avec des bordures colorées pour indiquer leur niveau de sécurité (rouge pour non fiable, jaune pour perso, vert pour travail, etc.) et le copier-coller fonctionne, mais de manière contrôlée via des canaux sécurisés.

Puis le 3 septembre 2012, Qubes OS 1.0 est officiellement lancé. La réaction de la communauté sécurité est mitigée. Certains adorent le concept tandis que d’autres trouvent ça trop complexe, trop lourd, trop paranoïaque. “C’est overkill”, disent certains. “C’est le futur”, répondent d’autres. Mais Joanna a un supporter de poids…

En 2013, Edward Snowden fuit les États-Unis avec des téraoctets de documents classifiés de la NSA. Pour communiquer avec les journalistes de manière sécurisée, il a besoin d’un système ultra-sécurisé. Son choix ? Qubes OS.

Le 29 septembre 2016, Snowden tweete : “If you’re serious about security, @QubesOS is the best OS available today. It’s what I use, and free. Nobody does VM isolation better.” Pour Joanna, c’est une validation extraordinaire car si l’homme le plus recherché du monde fait confiance à Qubes pour sa sécurité, c’est que le système fonctionne.

Le soutien de Snowden propulse Qubes dans la lumière et, d’un coup, tout le monde veut comprendre ce système. Les journalistes qui travaillent sur des sujets sensibles l’adoptent (Laura Poitras, Glenn Greenwald), les activistes l’utilisent, les chercheurs en sécurité aussi.

Mais Joanna reste humble. “A reasonably secure operating system”, c’est comme ça qu’elle décrit Qubes. Pas “ultra-secure”, pas “unbreakable”. Juste “reasonably secure”. Cette humilité, cette reconnaissance des limites, c’est ce qui fait la force de son approche car elle sait qu’aucun système n’est parfait.

Au fil des ans, Qubes continue d’évoluer. Version 2.0 en 2014, 3.0 en 2015, 4.0 en 2018. Chaque version apporte des améliorations, des raffinements et l’équipe grandit. La communauté aussi. Qubes devient une référence dans le monde de la sécurité, utilisé par ceux qui ont vraiment besoin de protection.

Mais Joanna a une philosophie qui la distingue des autres, car elle refuse catégoriquement de déposer des brevets. “I proudly hold 0 (zero) patents”, affirme-t-elle sur ses réseaux. Pour elle, les brevets sont antithétiques à la sécurité et la sécurité doit être ouverte, vérifiable, accessible à tous et surtout pas enfermée dans des coffres légaux.

Cette philosophie s’étend à sa vision de la liberté individuelle. “I strongly believe that freedom of individuals is the most important value”, dit-elle car pour elle, la sécurité informatique n’est pas une fin en soi. C’est un moyen de préserver la liberté, de permettre aux individus de faire des choix, de protéger leur vie privée contre les États et les corporations.

En octobre 2018, après neuf ans à la tête de Qubes et d’ITL, Joanna surprend tout le monde. Elle annonce qu’elle prend un congé sabbatique. Elle veut explorer de nouveaux horizons, réfléchir à la suite. Qubes est entre de bonnes mains avec Marek Marczykowski-Górecki qui prend la relève.

Sa décision est mûrement réfléchie. “These are very important problems, in my opinion, and I’d like to work now on making the cloud more trustworthy, specifically by limiting the amount of trust we have to place in it”, explique-t-elle. Après avoir sécurisé les endpoints, elle veut maintenant s’attaquer au cloud.

Nouvelle surprise : Joanna rejoint Golem, un projet de blockchain visant à créer un “ordinateur décentralisé”. Elle devient Chief Strategy Officer et Chief Security Officer. Son passage de la sécurité des endpoints à la blockchain surprend beaucoup de monde. “Qu’est-ce qu’elle va faire dans la crypto ?”, se demandent certains.

Mais pour Joanna, c’est une évolution logique car après avoir passé des années à sécuriser des systèmes individuels, elle veut maintenant s’attaquer à la sécurité des systèmes distribués. Comment sécuriser un ordinateur composé de milliers de machines appartenant à des inconnus ? Comment garantir la confidentialité dans un système décentralisé ?

En juillet 2019, la Golem Foundation commence alors ses opérations et Joanna devient “Long-term navigator and Wildland chief architect”. Son projet le plus ambitieux chez Golem c’est Wildland, un système de fichiers décentralisé qui veut libérer les données des silos des GAFAM. L’idée de Wildland c’est de permettre aux utilisateurs de stocker leurs données où ils veulent (Amazon S3, Dropbox, leur propre serveur, IPFS…) tout en ayant une interface unifiée. Plus besoin de se souvenir où est stocké quoi. Plus de vendor lock-in. Vos données vous appartiennent vraiment.

Et surtout, Wildland va plus loin que le simple stockage. Il introduit des concepts innovants comme la “multi-catégorisation” (un fichier peut appartenir à plusieurs catégories simultanément) et le “cascading addressing” (possibilité de créer des hiérarchies complexes sans point central de confiance). C’est de la décentralisation pragmatique.

“What we believe we do in a non-standard way is we are more pragmatic”, explique Joanna. “We don’t tell the user: ditch any kind of data centers you use and only use a P2P network. We say: use anything you want.” Cette approche pragmatique, c’est du pur Joanna.

Le 24 juin 2021, Wildland 0.1 est lancé lors d’un meetup à Varsovie. Joanna présente le projet : “Wildland containers are similar to Docker containers, except that dockers are for code, and Wildland containers can store any type of information.” L’accueil est positif mais mesuré. Le projet est ambitieux, peut-être trop.

Pour Joanna, Wildland représente la suite logique de son travail sur Qubes. Si Qubes compartimente l’exécution pour la sécurité, Wildland compartimente les données pour la liberté. Les deux ensemble offrent une vision d’un futur où les utilisateurs reprennent le contrôle de leur vie numérique.

Aujourd’hui, Joanna continue son travail sur les systèmes décentralisés. Elle reste conseillère pour Qubes OS, participe aux décisions stratégiques et sur son profil GitHub, ces 2 mots résument sa philosophie : “Distrusts computers.” Cette méfiance fondamentale envers la technologie, paradoxale pour quelqu’un qui y a consacré sa vie, est en fait sa plus grande force.

C’est parce qu’elle ne fait pas confiance aux ordinateurs qu’elle peut les sécuriser. C’est parce qu’elle comprend leurs failles qu’elle peut les protéger. C’est parce qu’elle sait qu’ils nous trahiront qu’elle construit des systèmes qui limitent les dégâts.

Elle a montré que la virtualisation pouvait être une arme avec Blue Pill. Elle a prouvé qu’aucun système n’est inviolable avec ses attaques contre Intel TXT. Elle a inventé des concepts comme l’Evil Maid attack qui font maintenant partie du vocabulaire de base. Mais surtout, elle a créé Qubes OS, un système qui protège les plus vulnérables. Journalistes, activistes, lanceurs d’alerte… Tous ceux qui ont vraiment besoin de sécurité utilisent Qubes. C’est son œuvre majeure, sa contribution la plus importante à la liberté numérique.

Elle incarne aussi une certaine éthique du hacking. Pas le hacking pour la gloire ou l’argent (elle aurait pu se faire des millions avec des brevets), mais le hacking comme outil de liberté. Le hacking comme moyen de reprendre le contrôle. Le hacking comme acte de résistance contre les systèmes opaques et les monopoles technologiques.

Aujourd’hui, Joanna continue d’écrire, de chercher et de construire. Ses articles sur “Intel x86 Considered Harmful” et “State Considered Harmful” proposent des visions radicales de ce que pourrait être l’informatique. Un monde sans état persistant, sans les architectures x86 legacy, sans les compromis du passé.

Des rêves impossibles ? Peut-être pas…

Sources : Wikipedia - Joanna Rutkowska, Wikipedia - Blue Pill, The Invisible Things Blog, Black Hat 2006 - Blue Pill Presentation, Qubes OS Official Website, Edward Snowden Twitter, Wildland Project, Invisible Things Lab

Un logiciel qui survit depuis plus de 16 ans, c’est assez rare. Surtout quand c’est maintenu par un seul développeur qui depuis tout ce temps refuse catégoriquement d’ajouter de la pub et qui continue de faire évoluer son outil mois après mois. Ce logiciel c’est File & Image Uploader développé par Zoom et qui me rappelle cette époque bénie où les développeurs créaient des outils juste parce qu’ils en avaient besoin, et pas pour lever des millions en série A.

Ce qui m’a d’abord plu sur ce site d’une autre époque, c’est ce petit message tout en bas qui dit : “If you don’t like it, don’t use it.” C’est cool de voir un dev qui assume complètement son projet et qui ne cherche pas à plaire à tout le monde. Et vous savez quoi ? Ça marche puisque le logiciel supporte aujourd’hui plus de 700 services différents, de Google Drive à des hébergeurs dont vous n’avez probablement jamais entendu parler comme filearn.top ou tubearn.top.

Pendant que WeTransfer fait polémique avec ses nouvelles conditions d’utilisation autorisant l’exploitation des fichiers par IA (avant de faire marche arrière face au tollé), et pendant que Gofile limite toujours ses options gratuites, zoo_m continue tranquillement son chemin. Le développeur ne demande rien, ne collecte rien, ne revend rien. Il code, il publie, point.

Le truc vraiment intéressant c’est le support des uploads resumables. Zoom le fait depuis des années pour ses 700 services différents comme ça si votre connexion plante au milieu d’un upload de 10 GB vers Dropbox, pas de panique, vous reprenez exactement où vous en étiez. Et contrairement aux interfaces web qui rament avec plusieurs fichiers, ici vous pouvez lancer des uploads parallèles vers différents services simultanément. C’est un peu l’opposé à JDownloader.

Il existe plein de services web qui font pareil, mais j’aime bien l’idée d’avoir un vrai logiciel qui transforme votre PC en centrale d’upload, comme un point de repère, un phare bravant l’océan du cloud (oui, je suis d’humeur poète). Et sur lequel vous pouvez glisser vos fichiers, choisir vos destinations (oui, au pluriel), et qui se débrouille comme un chef. Pas de limite artificielle, pas de restrictions de format, pas de serveur surchargé. D’après le site officiel, c’est généralement bien plus rapide que les interfaces web parce que le logiciel optimise les connexions et évite tout le JavaScript inutile qui plombe les navigateurs.

Alors oui, l’interface n’est pas aussi léchée qu’un produit Adobe, oui, il faut lire la documentation (quelle idée bizarre en 2025 ^^), mais si vous cherchez un outil qui fait exactement ce qu’il promet sans arrière-pensées commerciales, sans tracking, sans ces formules creuses qu’on voit partout, File & Image Uploader est probablement ce qui se rapproche le plus de l’idéal du freeware tel qu’on l’imaginait dans les années 2000.

Le développeur précise d’ailleurs qu’il accepte les suggestions et peut ajouter de nouveaux services sur demande. Pas via un formulaire Google qui finira dans les limbes, mais directement via le menu Help du logiciel.

Voilà, pour ceux que ça intéresse, le logiciel est dispo en version portable (pas d’installation requise) et tourne sur Windows. Il existe des versions 32 et 64 bits, et apparemment ça fonctionne aussi sous Wine pour les linuxiens motivés. Cependant pas de version Mac et vu la philosophie du projet, je doute que ce soit dans les priorités.

Un membre présumé du groupe cybercriminel LockBit a été arrêté par les autorités françaises en juillet. Suspecté d'avoir participé à de nombreuses cyberattaques, dont certaines sur des infrastructures sensibles en France, le suspect a été arrêté en Ukraine après une enquête menée par l'unité nationale cyber (UNC).

Source