Directeur: Guy Perrimond
Rédacteur-en-chef : Guillaume Belan

Lettre d'informations stratégiques et de défense

Investigation informatique

2/12/2009

Depuis quelques jours, le logiciel d’investigation de systèmes informatiques COFEE, développé par Microsoft, est apparu sur différents réseaux Internet d’échanges de fichiers. COFEE (Computer Online Forensic Evidence Extractor) permet aux forces de police ainsi qu’aux services de renseignement d’extraire rapidement les données inscrites, voire celles effacées sur les disques durs des ordinateurs sous Windows.

Déjà utilisé par une vingtaine de pays, l’outil était, jusqu’à présent, livré gratuitement aux forces de sécurité par Microsoft. En avril 2009, Microsoft et Interpol ont signé un accord de coopération permettant à cette dernière de servir de principal distributeur auprès de ses Etats membres. Le Center for Cyber Crime Investigations de l’University College de Dublin assure la formation au programme en collaboration avec Interpol. Aux Etats-Unis, le logiciel était fourni aux forces de police via le National White Collar Crime Center, structure fédérale en charge du soutien en matière d’enquête sur les crimes et les délits informatiques et économiques.

Présenté sous la forme d’un fichier auto-exécutable sur une clé USB, COFEE permet de disposer de quelque 150 commandes pour récupérer des données, attaquer le décryptage des mots de passe et explorer les données éventuellement effacées sur une machine. Selon Microsoft, le système permet de réduire le délai de collecte de données sur un ordinateur de quatre heures à moins de vingt minutes. COFEE a été mis au point par Anthony Fung, un ex-policier de Hongkong désormais employé par la Microsoft Internet Safety Enforcement Team.

L’outil est disséqué sur plusieurs forums informatiques, où s’échangent des évaluations du logiciel et des mesures de protection permettant de réduire la vulnérabilité des machines, en s’appuyant sur des outils de cryptographie et de partition des disques durs. Certains “clans” de hackers préconisent, pour les plus prudents, la mise en place d'un dispositif de “machines IED”, qui, en cas d’arrêt brutal, redémarre sur une partition piégée, ou l’usage d'un système hardware permettant un déclenchement d’urgence et silencieux de l’effacement du disque dur. Plusieurs spécialistes informatiques, plus critiques, soulignent que des fonctions similaires à COFEE étaient déjà réalisables par le biais de solutions Linux, qui permettent, en outre, de récupérer des données dans des environnements systèmes non-Windows.