Qu'est-ce que le logiciel espion Predator ?
Predator est un logiciel espion mobile commercial développé par Cytrox et commercialisé sous la bannière Intellexa, utilisé pour surveiller clandestinement des appareils iOS et Android. Vendu presque exclusivement à des clients gouvernementaux et de renseignement, Predator a été utilisé pour cibler des journalistes, des politiciens, des universitaires et des militants, et il est largement considéré comme l'un des outils de spyware mercenaire les plus sophistiqués, aux côtés de Pegasus du groupe NSO. Une fois installé, il peut enregistrer les appels et l'audio, lire les messages d'applications chiffrées et exfiltrer une large gamme de données personnelles. Il est parfois appelé "Predator malware" : les deux termes désignent le même produit Intellexa. Predator a été documenté de façon approfondie par les chercheurs du Threat Analysis Group de Google, de Citizen Lab, de Cisco Talos et d'Amnesty International, et il a fait l'objet de sanctions du gouvernement américain. Cette page explique ce qu'est Predator, qui le développe, comment il infecte les appareils, qui il a ciblé, la réponse réglementaire, et comment les utilisateurs et organisations à risque peuvent réduire leur exposition. Elle clarifie également un point de nomenclature important : le spyware Predator n'est pas la même chose que "Predator the Thief," un infostealer Windows sans lien.
Ce qu'il faut retenir
- Logiciel espion commercial. Predator est développé par Cytrox et vendu par l'alliance Intellexa à des gouvernements pour la surveillance mobile.
- Infection en un clic ou sans clic. Il infecte iOS et Android via des chaînes d'exploitation qui reposent souvent sur des vulnérabilités zero-day, et peut persister après un redémarrage.
- Cibles de haute importance uniquement. Les cibles documentées incluent des journalistes, des politiciens, des universitaires et des militants, et non le grand public.
- Sanctionné par le gouvernement américain. Cytrox et Intellexa ont été ajoutés à la liste des entités du gouvernement américain en 2023, et l'OFAC a imposé des sanctions supplémentaires au consortium et à des personnes clés en 2024.
- « Predator spyware » et « Predator malware » désignent la même chose. « Predator the Thief » est un logiciel voleur d'informations pour Windows distinct et sans rapport.
Qui développe Predator : Cytrox et l'alliance Intellexa
Predator trouve son origine chez Cytrox, une société fondée en Macédoine du Nord en 2017 qui développait initialement des malwares Android. Cytrox a été rachetée en 2018 et intégrée dans un groupement de surveillance commerciale plus large assemblé par Tal Dilian, un ancien officier du renseignement militaire israélien. En 2019, ce groupement est devenu l'alliance Intellexa, un label commercial fédérant plusieurs éditeurs de solutions de surveillance, et Predator en est devenu le produit phare.
Intellexa se positionne comme une société basée dans l'UE et réglementée, en concurrence directe avec NSO Group sur le marché du spyware mercenaire. Des propositions commerciales divulguées et rapportées par des journalistes situent le prix d'un déploiement de Predator à plusieurs millions d'euros, ce qui souligne qu'il s'agit d'un outil conçu pour des clients étatiques disposant de ressources importantes plutôt que pour des criminels ordinaires. Des enquêtes comme les "Predator Files" de 2023, menées par le réseau European Investigative Collaborations, ont cartographié la structure du consortium et signalé des ventes à plus d'une vingtaine de pays.
Comment fonctionne le spyware Predator
Predator est une suite de logiciel espion mobile modulaire plutôt qu'un fichier unique. Les chercheurs en sécurité, notamment Cisco Talos, ont décrit deux composants principaux qui fonctionnent ensemble : un loader connu sous le nom d'ALIEN et l'implant principal, PREDATOR. ALIEN établit l'accès de bas niveau dont PREDATOR a besoin, tandis que PREDATOR déploie des modules Python permettant l'ajout de nouvelles capacités sans avoir à réexploiter l'appareil.
Infection et diffusion
Predator a été délivré via des méthodes en un clic et sans clic. Dans les campagnes en un clic, la cible reçoit un lien par email, SMS ou une application de messagerie comme WhatsApp ; en cliquant dessus, elle est brièvement redirigée vers une page d'exploitation avant d'atterrir sur un site légitime, rendant l'infection invisible. Des méthodes plus avancées ont eu recours à des exploits sans clic et à l'injection réseau, où une position privilégiée sur le réseau mobile insère du code d'exploitation directement dans le trafic web de la cible sans aucune interaction. Le Google Threat Analysis Group a documenté des campagnes Predator exploitant plusieurs vulnérabilités zero-day dans Chrome et Android. Sur iOS, Predator a détourné la fonctionnalité Shortcuts pour se réinstaller automatiquement, lui conférant une persistance après les redémarrages selon les options de licence du client.
Capacités
Une fois actif, Predator offre une surveillance complète. Les capacités documentées comprennent l'enregistrement des appels téléphoniques et de l'audio provenant d'applications VoIP, la lecture des messages d'applications chiffrées telles que Signal, WhatsApp et Telegram, la collecte de contacts et de données stockées, et l'activation du microphone. Il est conçu pour être difficile à détecter : il a usurpé des noms de processus légitimes, contourné les antivirus et, selon des recherches de Jamf de 2026, inclut une logique anti-analyse granulaire qui détecte lorsqu'un appareil est dans un état favorable à la recherche, comme le mode développeur iOS.
Predator vs Pegasus
Predator est fréquemment comparé à Pegasus, et les deux sont les produits les plus connus sur le marché du spyware mercenaire. Ils partagent un modèle économique et un objectif, la surveillance mobile ciblée par des gouvernements, mais proviennent d'éditeurs différents.
Ce qu'il faut retenir : Predator et Pegasus sont des produits pairs, pas des variantes l'un de l'autre. Pour les défenseurs et les personnes à risque, les mesures d'atténuation se recoupent largement, car les deux reposent sur des chaînes d'exploitation mobile et servent le même type de surveillance ciblée.
Qui Predator a ciblé
Predator n'est pas un malware de masse ; son utilisation s'est systématiquement concentrée sur des individus à haute valeur présentant un intérêt pour des clients étatiques. Citizen Lab a documenté son utilisation contre le politicien égyptien en exil Ayman Nour en 2021, et les reportages sur un cas majeur en Grèce ont décrit des dizaines d'appareils ciblés appartenant à des journalistes, des politiciens et des personnalités du monde des affaires. L'enquête plus large des "Predator Files" a rapporté que l'outil avait été vendu à une longue liste de pays. Meta a agi contre les opérateurs, supprimant des centaines de comptes liés à Cytrox qui étaient utilisés pour la reconnaissance et la diffusion de liens malveillants. Ce schéma de ciblage, journalistes, politiciens d'opposition et militants, est ce qui place les logiciels espions commerciaux comme Predator au centre des préoccupations relatives aux droits numériques et aux droits de l'homme.
Sanctions et réponse réglementaire
Predator et ses développeurs ont fait face à des mesures gouvernementales croissantes. En 2023, le Département du Commerce américain a ajouté des entités Cytrox et Intellexa à son Entity List, restreignant leur accès aux technologies américaines. En mars 2024, l'OFAC (Office of Foreign Assets Control) du Département du Trésor américain a imposé des sanctions sur le consortium Intellexa et nommé des individus, dont le fondateur Tal Dilian, décrivant le consortium comme un label commercial facilitant la surveillance ciblée et de masse. Des conséquences juridiques ont également touché des individus liés à l'écosystème en Europe. Ces mesures reflètent un changement de politique plus large qui consiste à traiter la prolifération des logiciels espions commerciaux comme un problème de sécurité nationale et de droits de l'homme, bien que les chercheurs notent que la seule exposition publique n'a guère suffi à enrayer le marché.
Comment se défendre contre le spyware Predator
Se défendre contre un logiciel espion mobile de haut niveau est difficile, mais l'exposition peut être réduite de façon significative, en particulier pour les personnes à haut risque les plus susceptibles d'être ciblées.
- Maintenir les appareils entièrement à jour. Parce que Predator s'appuie sur des chaînes d'exploitation, l'installation rapide des mises à jour de sécurité du système d'exploitation et du navigateur ferme les vulnérabilités dont il dépend.
- Redémarrer régulièrement et utiliser les modes durcis. Un redémarrage peut perturber certains implants, et des fonctionnalités comme le mode Lockdown d'Apple sont conçues spécifiquement pour réduire la surface d'attaque des logiciels espions ciblés.
- Traiter les liens non sollicités avec méfiance. Puisque la diffusion en un clic dépend du fait que la cible clique sur un lien par email, SMS ou messagerie, les utilisateurs à haut risque devraient éviter les liens inattendus et vérifier les messages inhabituels via un autre canal.
- Déployer une défense contre les menaces mobiles pour les organisations. Les entreprises employant des personnels à risque devraient utiliser des outils de gestion des appareils mobiles (MDM) et de défense contre les menaces mobiles (MTD), et surveiller les indicateurs de compromission (IoC) publiés par les chercheurs, qui sont souvent des domaines malveillants.
- Soutenir les utilisateurs à risque. Les journalistes, les militants et les responsables devraient avoir accès à une aide spécialisée, comme des vérifications d'appareils proposées par des organisations de défense des droits numériques, puisqu'ils constituent la population réellement ciblée par Predator.
Spyware Predator vs "Predator the Thief"
Un point de confusion fréquent mérite d'être clarifié directement. Le spyware Predator, objet de cette page, est le produit de surveillance mobile Intellexa/Cytrox, et les termes "Predator spyware" et "Predator malware" sont utilisés de façon interchangeable pour le désigner. Il est entièrement distinct de "Predator the Thief", un infostealer Windows vendu sur des forums de cybercriminalité russophones depuis environ 2018 pour voler des identifiants de navigateur, des données de cryptomonnaies et des informations similaires. Les deux ne partagent qu'un nom : développeurs différents, plateformes différentes, objectifs différents. Si vous recherchez du vol d'identifiants sur Windows, c'est Predator the Thief. Si vous recherchez de la surveillance mobile gouvernementale, c'est Predator d'Intellexa.
Avis d'expert : les logiciels espions commerciaux sont un problème de renseignement sur les menaces
Les spywares mercenaires comme Predator occupent une position inconfortable pour la plupart des programmes de sécurité. Ils sont conçus pour contourner les antivirus, exploitent souvent des zero-days, et ciblent un petit nombre d'individus spécifiques plutôt que de se propager largement, de sorte que les outils de sécurité des endpoints conventionnels les détectent rarement, et la plupart des indicateurs de compromission publics sont des domaines malveillants plutôt que des signatures de fichiers. Cela fait des logiciels espions commerciaux avant tout un problème de renseignement sur les cybermenaces : connaître l'infrastructure, les domaines et les schémas de diffusion qu'utilise un éditeur donné est souvent la base de détection la plus pratique.
C'est là qu'un éditeur européen piloté par la CTI est pertinent. L'équipe interne Threat Detection & Research de Sekoia traque l'activité des logiciels espions commerciaux et mercenaires dans le cadre du paysage des menaces au sens large, et ce renseignement alimente la plateforme de sorte que l'infrastructure et les indicateurs liés à Predator peuvent être signalés en contexte plutôt que manqués comme du trafic isolé. Pour les organisations qui emploient ou protègent des personnes à haut risque, la combinaison de cette intelligence avec une défense contre les menaces mobiles et une hygiène rigoureuse des mises à jour est une stratégie plus réaliste que d'attendre qu'une signature se déclenche. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia s'aligne également avec les préoccupations de gouvernance et de droits de l'homme qui entourent le marché des logiciels espions commerciaux.