Ce mardi, TechTribune France a reçu plus de conseils anonymes à tir rapide que nous n’en avons fait dans la mémoire récente.

Exiger la confidentialité n’est rien de nouveau, mais les informateurs et les sources utilisant des mailers anonymes, des adresses IP obscurcies, ainsi que des demandes répétées que les identités ne sont pas révélées, indiquent généralement quelque chose de particulièrement inhabituel.

Et en effet, quelque chose d’inhabituel était définitivement en cours. Tard mardi, des documents déposés sous scellés aux États-Unis dès janvier 2020 ont été soudainement descellés, révélant l’un des cas les plus importants de piratage de la dernière décennie.

Comme détaillé dans notre rapport d’hier, une affaire portée par le gouvernement américain a conduit un grand jury à inculper au moins trois membres de plusieurs groupes de libération de «  Scene  » de premier plan – SPARKS, GECKOS, DRONES, ROVERS et SPLiNTERS – pour complot visant à commettre une violation criminelle du droit d’auteur et d’autres crimes.

L’affaire américaine est en cours depuis de nombreux mois et l’enquête certainement plus longue. Combien de temps exactement était inconnu jusqu’à hier, quand un procureur suédois a révélé qu’il était en cours «depuis des années». Cependant, ce qui nous a surpris, c’est le volume de rapports de mardi, les affirmations de panique et de peur dans «  The Scene  » dans le monde, et ce qui semble maintenant être une réduction significative des sorties de toutes sortes par rapport à ce qui est généralement prolifique et en cascade. Système «Piracy Pyramid».

Informations initiales prouvées correctes

Les personnes étroitement impliquées dans The Scene sont naturellement secrètes, ou du moins c’est le mandat. La vérité est que certains sont prêts à parler, mais tout le monde a tellement peur d’être arrêté par les autorités ou étiqueté par d’autres membres comme insécure, qu’il est extrêmement difficile de trouver des sources véritablement vérifiables. En conséquence, rendre compte des détails les plus fins devient le produit de sources indépendantes qui se chevauchent, dont aucune ne veut être identifiée, ce qui n’est pas idéal.

Néanmoins, mardi, plusieurs sources nous ont dit que les topsites et les membres et ressources affiliés à Warez étaient ciblés par les forces de l’ordre, des groupes anti-piratage ou une combinaison des deux dans de nombreuses régions. Ce qu’ils avaient tous en commun était que les entités étaient affiliées à SPARKS et à divers topsites.

Un autre thème récurrent était l’accent mis sur les pays nordiques comme étant au cœur de l’action. De nombreux pays ont été mentionnés, dont les Pays-Bas, l’Allemagne, la Suisse et la Pologne, mais, à maintes reprises, les rapports citaient à la fois la Norvège et la Suède comme étant potentiellement les principaux «problèmes».

Le ministère américain de la Justice a commencé à parler hier

Dans une annonce officielle mercredi, à la suite des rapports initiaux mais non officiels de raids 24 heures plus tôt et après le dévoilement des actes d’accusation, l’USDOJ a révélé l’ampleur mondiale de l’opération contre SPARKS et ses affiliés.

«Grâce aux efforts de HSI, du service d’inspection postale, d’Eurojust, d’Europol et de nos partenaires répressifs dans 18 pays sur trois continents, des membres clés de ce groupe sont en garde à vue, et les serveurs qui ont servi de pipeline pour le vol en gros de les biens sont désormais hors service », indique l’annonce.

Les États-Unis ont révélé que les autorités répressives de nombreux pays avaient aidé à l’enquête contre SPARKS, notamment celles du Canada, de Chypre, de la République tchèque, du Danemark, de la France, de l’Allemagne, de l’Italie, de la République de Corée, de la Lettonie, des Pays-Bas, de la Norvège, de la Pologne, du Portugal, de la Roumanie, Espagne, Suède, Suisse et Royaume-Uni.

George Bridi, 50 ans, membre de SPARKS, aurait été arrêté dimanche à Chypre sur une notice rouge d’INTERPOL. Correa (alias ‘Raid’), 36 ans, a été arrêté mardi à Olathe, Kansas, où il comparaîtra devant un tribunal fédéral. Umar Ahmad (alias «artiste»), 39 ans, n’a pas été arrêté et, mercredi, il serait toujours en liberté, selon le gouvernement américain.

La connexion nordique

Plusieurs informations reçues par TF mardi ont en effet placé une personne connue sous le nom d ‘«artiste» comme une figure centrale et importante de l’action en cours.

Umar Ahmad est désormais officiellement désigné comme cette personne clé, mais selon son acte d’accusation, le gouvernement américain ne cherche pas à le poursuivre pour des infractions liées à SPARKS au-delà de janvier 2020. C’est également le cas de George Bridi, un co-accusé inculpé dont le pseudonyme est actuellement inconnu. Le seul accusé de SPARKS accusé d’infractions jusqu’en août 2020 est Jonatan Correa, alias «  Raid  ».

Bien qu’il y ait place pour des spéculations sur ce qui a pu se passer ici, il semble quelque peu raisonnable de conclure (du moins compte tenu des accusations) qu’Ahmad et Bridi ont mis fin à leur infraction présumée il y a des mois. Cependant, selon les registres tenus par les sites d’observation de scènes (appelés pré-bases de données), les groupes liés à SPARKS ont continué à publier du contenu en ligne jusqu’à assez récemment.

Cela mis à part, ce que nous pouvons confirmer aujourd’hui, c’est que le Service national des enquêtes criminelles de Norvège, communément connu sous le nom de Kripos, a effectué cette semaine des descentes dans plusieurs locaux et saisi du matériel informatique à une «grande échelle».

En outre, trois hommes – qui n’ont pas encore été nommés mais qui ont entre 30 et 40 ans – ont été arrêtés et accusés d’infractions à la loi norvégienne sur le droit d’auteur. On ne sait pas actuellement si Umar Ahmad, 39 ans, résident d’Oslo, en fait partie.

Les autorités danoises ont également confirmé que quatre hommes, âgés de 35 à 48 ans, ont fait perquisitionner leur domicile et ont ensuite été inculpés d’infractions de violation du droit d’auteur. Des serveurs et autres équipements informatiques ont été saisis.

Source: Certains panneaux d’avertissement ont été repérés il y a quelque temps

Il est certainement possible que les membres de SPARKS aient été absolument inconscients de l’enquête du gouvernement américain, mais selon une source difficile à vérifier, qui a insisté sur l’anonymat mais s’est entretenue avec nous longuement et de manière très détaillée, cette année et «avant COVID», une certaine scène les membres se demandaient pourquoi un membre SPARKS en particulier avait soudainement «pris sa retraite».

Nous ne publions pas le nom de ce membre ici (qui, selon nous, nous a été fourni avant le dévoilement de l’acte d’accusation américain), mais selon la même source, un autre mystère peut-être lié persistait.

La source allègue que quelques mois plus tôt, une personne connectée à un groupe de diffusion distinct mais important a également «fui» et a soudainement cessé de fournir du contenu. Encore une fois, nous ne publions pas le nom de ce groupe ou le surnom de la personne impliquée mais nous pouvons confirmer que le groupe présumé a cessé de sortir plusieurs mois avant la fin de 2019.

Cela a conduit à des rumeurs selon lesquelles l’un ou les deux auraient pu être compromis et n’avaient pas simplement pris une pause. La pertinence est que, selon le même initié, le couple (par hasard ou non) aurait partagé les mêmes sources de contenu. Encore une fois, ce ne sont pas des informations confirmées, mais le premier groupe n’est jamais revenu à l’action et le second a le gouvernement américain sur l’attaque après avoir découvert d’où il obtenait ses disques DVD et Blu-Ray.

Action juridique importante en Suède

Après avoir reçu des informations initiales, confirmées par la suite par l’USDOJ, une action importante avait eu lieu en Suède. Mardi, nous nous sommes entretenus avec Jon Karlung, le propriétaire du FAI Bahnhof, dont nous avons été informés que les autorités enquêtant sur SPARKS nous ont rendu visite. Cela n’a pas été le cas.

Karlung nous a dit que personne n’avait visité l’entreprise ni demandé d’informations. Cependant, il a déclaré qu’avec 400000 ménages et 10000 entreprises comme clients, plus la vente de la capacité de bande passante de la société à d’autres FAI, il ne pouvait pas exclure que quelqu’un en bas de la chaîne, même un client de quelqu’un d’autre, ait pu être visité.

Qu’ils soient connectés ou non à ce FAI spécifique, plusieurs sources nous ont informés qu’au moins un topsite affilié à plusieurs groupes utilisait une liaison domestique à haut débit en Suède, avec un autre topsite connecté à plusieurs groupes également saisi dans le pays.

Ce que nous savons de sources officielles, c’est que 14 perquisitions ont été effectuées mardi en Suède, notamment à Umeå, Malmö, Göteborg et Stockholm. Personne n’a été arrêté lors des raids mais selon le procureur Johanna Kolga, plus de serveurs ont été saisis en Suède que partout ailleurs.

Action des Pays-Bas et existence des MLAT

Trouver des informations sur ce qui s’est passé aux Pays-Bas nous a conduit à Tim Kuik du groupe anti-piratage BREIN. Nous lui disons que si quelqu’un dans le pays est au courant de l’affaire, ce doit être lui. Comme la plupart des autres personnes, Kuik ne bougeait pas sur les détails. Mais il a offert une explication plausible au silence.

«C’est vraiment un cas intéressant. Il est tout à fait possible pour les soi-disant MLAT à effectuer à la demande des forces de l’ordre américaines et des autorités néerlandaises qui l’exécutent sans en informer les parties prenantes privées », nous a dit Kuik.

«Dans de tels cas, il se peut que les parties prenantes à l’étranger, qui peuvent avoir déposé une plainte pénale par exemple, en aient été informées et ne soient pas libres d’en dire quoi que ce soit. Personne n’est donc susceptible de commenter, je pense. Mais vous pouvez toujours essayer. Je n’ai rien à dire. »

Plus tard, cependant, Eurojust – l’Agence de l’Union européenne pour la coopération en matière de justice pénale – a confirmé qu’elle «avait aidé à transmettre et à faciliter l’exécution de plus de 30 demandes d’entraide judiciaire et lettres de demande nécessaires pour démonter les serveurs et exécuter des recherches.»

Au total, plus de 60 serveurs ont été démontés en Amérique du Nord, en Europe et en Asie et «plusieurs principaux suspects» ont été arrêtés, a ajouté l’agence.

Allégations intéressantes, quelques nouvelles versions et Kevin Bacon

Au cours des 48 dernières heures, TF a reçu une liste de sites et d’infrastructures connexes qui ont été attaqués ou démontés par mesure de précaution. La douzaine de plates-formes restera donc sans nom, car nous ne pouvons tout simplement pas déterminer lesquelles des plates-formes sont hors ligne volontairement, ou en panne parce qu’elles ont été saisies.

Cela nous amène à expliquer pourquoi tant de sites et d’autres éléments clés de l’infrastructure ont disparu, apparemment simplement parce qu’un groupe a été ciblé. Les raisons, nous dit-on, sont complexes mais peuvent se résumer au nombre de connexions que SPARKS avait dans The Scene.

Un thème récurrent est que l’un des membres de SPARKS est prétendu être devenu assez influent et par conséquent peut avoir «étendu ses tentacules trop loin», comme l’a indiqué une source. Ces liens, avec de nombreux autres groupes et activités, peuvent expliquer en partie pourquoi The Scene s’est pratiquement arrêté mardi. Si nous prenons Loi de Bacon et appliquez-le ici, la réponse prend tout son sens.

Néanmoins, l’ampleur de l’arrêt est inhabituelle, c’est le moins qu’on puisse dire, et seul le temps nous dira si The Scene se rétablira complètement. Pour l’utilisateur moyen du site de torrent ou de streaming, une période de disponibilité réduite du nouveau contenu pourrait être à l’horizon, mais l’histoire nous montre que cela dure rarement longtemps et que le cycle recommencera probablement, une fois que les gens auront compris à qui ils peuvent faire confiance.