vignette|TSB tools, des outils de hacking créés par le groupe.
(littéralement « les courtiers de l'ombre ») est un groupe de hackers connu pour avoir dévoilé en 2016 des outils d'espionnages, entre autres, de l', une unité de hackers liée à la (NSA).
Chronologie Le , , inconnu jusqu'alors, met en libre téléchargement une série de programmes d’espionnage et de piratage informatique, qu’il prétend avoir dérobé à l'Equation Group, une unité de hacker d'élite qui agirait depuis au moins les années 2000 pour le compte de la NSA, l'agence de renseignement américaine chargée de la surveillance et l'espionnage sur Internet, entre autres. Le collectif publie ces données sur Tumblr, GitHub et Pastebin (trois réseaux sociaux et forums très populaires) et médiatise l'ensemble via son compte Twitter (@shadowbrokerss) avec une série de Tweets s'adressant à de grands journaux et chaines de télévision américains(@theshadowbrokerss) - Twitter. Dans le message accompagnant les cyberarmes, le groupe déclare qu'il s'agit seulement d'une partie des programmes qu'elle possède et que « les meilleures armes informatiques » sont mises aux enchères pour un million de Bitcoins, soit de dollars.
Le , le compte GitHub de The Shadow Brokers est fermé. Le jour suivant, c'est le compte Tumblr qui se voit supprimé. La même chose arrive peu de temps après au compte Pastebin.
Le , la société de sécurité informatique russe Kaspersky Lab, qui a déjà travaillé sur l', annonce avoir comparé les fichiers fournis par The Shadow Brokers avec les programmes des hackers présumés de la NSA qu'elle possède et en conclut qu'ils « partagent des caractéristiques précises et rares », dont la falsification est « hautement improbable ».
Le , le site The Intercept, spécialisé dans la publication d’enquêtes sur la surveillance globale par les États-Unis et les révélations d'Edward Snowden, confirme l'authenticité des fichiers : des mentions des outils publiés par The Shadow Brokers figurent dans les documents que l'ancien employé de la NSA et lanceur d'alerte Edward Snowden avait dévoilés en 2013, et dont le site détient une copie.
Le , le compte Twitter de The Shadow Brokers, qui n'avait pas donné signe d'activité depuis le , se remet à tweeter avec un lien menant à un nouveau message publié sur les forums Reddit et la plate-forme de blog Medium dans lequel le collectif répond à des questions, notamment sur le fonctionnement des enchères de cyberarmes. Cependant, aucune allusion n'est faite à , un employé d'un sous-traitant de la NSA accusé d'avoir volé un nombre considérable de données, ni aux hypothèses qui en font la source de The Shadow Brokers.
Le , toujours par le biais de Twitter, le groupe annonce un nouveau message, publié sur Pastebin, Reddit et Medium, dans lequel il informe que les enchères sont terminées mais que si le montant de était atteint (soit de dollars), il mettrait en libre téléchargement les cyberarmes. Le message est accompagné d'un dialogue parodique entre l'ancien président des États-Unis Bill Clinton et la secrétaire à la Justice et procureure générale américaine de l'administration Obama Loretta Lynch, nommé « Bill Clinton and Lorreta Lynch Arizona Airplane Conversation ». La conversation fait référence à la rencontre, imprévue selon les protagonistes, de l'époux de la candidate démocrate à la présidence des États-Unis, Hillary Clinton, et de la ministre de la Justice le à l'aéroport de Phoenix, en Arizona.
Le , The Shadow Brokers prévient par Twitter la publication, sur Medium et Reddit, de nouvelles informations sur la NSA dans un message intitulé « Trick or Treat? » (formule utilisée pour obtenir des friandises lors d'Halloween signifiant « Des friandises ou un sort ? »). Après avoir fait un discours portant sur les élections présidentielles de 2016 aux États-Unis, le pouvoir d’achat, la guerre numérique et la lutte des classes, The Shadow Brokers a donné accès à une archive. La série de données publiées renferme plusieurs centaines de nom de domaines et adresses IP, localisés partout dans le monde, qui auraient été piratés par la NSA.
Le , The Shadow Brokers publie sous l'alias Boceffus Cleetus un article sur Médium intitulé . Cet alias, qui possède un compte Twitter (@cleetusbocefus)(@cleetusbocefus) - Twitter, donne un lien menant à un site de la plateforme en ligne décentralisée ZeroNet et laisse entendre que les fuites de données sont liées à des querelles inter-agences entre la CIA et la NSA. Le site en question propose une liste de cyberarmes à vendre, avec la possibilité d'acheter le paquet entier pour (). Le site offre aux visiteurs de télécharger des fichiers liés à chaque service en vente, ces derniers étant signé avec la clé PGP correspondant à l’empreinte des Shadow Brokers..
Le , The Shadow Brokers répond à la demande d'interview que le site Motherboard lui avait envoyé depuis août par un court message :
Le , The Shadow Brokers annonce sur leur site ZeroNet l'arrêt de leur activité, expliquant qu'elle devient trop risquée et qu’elle n’est pas assez lucrative tout en précisant que son offre reste valable. Selon les données de l'explorateur de blocs Bitcoin, Blockchain Info, le groupe de hackers n'a reçu qu’un peu plus de 10 Bitcoins, répartis dans 72 transactions. Cependant, le groupe a mis en ligne une archive de 61 fichiers renfermant non pas des outils de hacking mais des implants. Selon l'analyse du chercheur en cybersécurité , l'archive est ancienne et présente peu d'intérêt car déjà détectés par l'antivirus de Kaspersky Lab.
Le , les Shadow Brokers, se disant déçus de la politique du président des États-Unis récemment élu Donald Trump (notamment de la frappe américaine contre la Syrie à la suite du massacre de Khan Cheikhoun du 4 avril 2017), réapparaissent en publiant un billet de blog sur Medium, dans lequel ils clarifient notamment leur position vis-à-vis de la Russie, disant ne pas avoir de sympathie particulière pour le président Vladimir Poutine mais que le nationalisme du dirigeant russe leur apparaît comme un atout contre le socialisme et le mondialisme, qu'ils considèrent comme leurs ennemis. Leur tribune s'achève sur un accès à une archive contenant, entre autres, une liste de 900 serveurs appartenant à des entreprises et des universités, que la NSA aurait piraté pour s'en servir de leurre lorsqu'ils lancent des cyberattaques, ainsi que des documents indiquant que le service de messagerie CaraMail a été détourné par l'agence américaine dès 2001.
Le , le groupe de pirates dévoile une nouvelle série d'outils dérobés à la NSA. La première partie de l'archive renferme des outils dédiés à l'espionnage du réseau interbancaire SWIFT. Cette révélation intervient quelques mois après le cyber-braquage de la banque centrale du Bangladesh via le réseau SWIFT, réalisé par le groupe de hackers nord-coréen Groupe Lazarus d'après les chercheurs en cybersécurité de Symantec. La seconde partie de l'archive contient des exploits relatifs à Windows et Windows Server. Le même jour, Microsoft déclare avoir corrigé les failles utilisées par ces exploits, pour certains depuis plusieurs années et pour d'autres plus récemment, comme la faille EternalBlue, patchée un mois avant la révélation de l'archive.
Identité de L'origine, les motivations floues et le contexte particulier dans lequel The Shadow Brokers a fait ses révélations (piratage du Parti Démocrate lors de l'élection présidentielle et publications de WikiLeaks sur les services secrets) tendent à montrer que le groupe recèle un pouvoir de déstabilisation majeur, comme l'attestent les crises liées aux cyberattaques NotPetya et WannaCry.
Le nom du collectif est une référence à un personnage de la série de jeux vidéo Mass Effect. Il s'agit, dans cet univers de science fiction, d'un être extraterrestre à la tête d’une vaste organisation qui négocie des informations, en vendant toujours au plus offrant. Début 2017, l'identité du hacker ou des membres du groupe de hackers est toujours inconnue même si des hypothèses circulent. Ainsi, le lanceur d'alerte et ancien employé de la NSA, Edward Snowden défend et explique dans une série de tweets l'hypothèse que la Russie serait derrière The Shadow Brokers.
Témoignant anonymement auprès du site Motherboard, d'anciens agents de la NSA ont déclaré que, selon eux, l'hypothèse la plus probable serait celle d' car ce serait bien plus simple pour un employé de voler ces données (à la manière de Snowden en 2013) que pour une personne extérieure de les obtenir, principalement parce que certains fichiers contenus dans la première publication de The Shadow Brokers , parce que stockés sur une machine physiquement isolée du réseau (mesure de sécurité dite de l'air gap). Ils réfutent à l'idée que la Russie serait derrière cette fuite de données.
L'anglais approximatif à la grammaire souvent erronée qui caractérise les messages de The Shadow Brokers a suscité l'intérêt du directeur du programme de master en sciences de données à l'Illinois Institute of Technology, Shlomo Argamon, qui, d'après ses analyses linguistiques, a conclu que l'auteur de ces messages (à supposer qu'il n'y en ait qu'un seul) serait probablement un anglophone cherchant à se faire passer pour quelqu'un qui n’a pas l’anglais pour langue maternelle, logiquement pour essayer de brouiller les pistes en attirant l'attention des enquêteurs vers la Russie.
Le , le ministère américain de la justice annonce l’arrestation de , soupçonné d’avoir volé des données classées « top secret » alors qu’il travaillait pour un sous-traitant de la NSA, Booz Allen Hamilton. Plusieurs experts émettent l'hypothèse d'un lien entre Harold Martin et The Shadow Brokers.
Le , les procureurs chargés de l’affaire expliquent dans un document officiel que ce sont l’équivalent de de données et des milliers de pages de documents, dont certains marqués « Secret » ou « Top Secret », qui ont été saisis au domicile de Harold T. Martin.
Le , le groupe répond à la demande d'interview du site Motherboard par un court message démentant les accusations faisant de Hal Martin la source des hackers.
L'analyse des fichiers téléchargeables liés à chaque service en vente sur le site ZeroNet de The Shadow Brokers par les chercheurs en cybersécurité de la société Flashpoint les a menés à la conclusion que ces derniers provenaient très certainement d'un entrepôt de données interne à la NSA et que c'est probablement un employé ou un sous-traitant qui y a eu accès. De plus, ils réfutent l'hypothèse selon laquelle The Shadow Brokers aurait détourné un des serveurs de la NSA, arguant qu'il ne serait pas logique que l'agence américaine laisse son arsenal sur un appareil vulnérable.
Analyse des outils publiés Un exploit est une vulnérabilité qui permet à l'attaquant de compromettre un système informatique, d'extraire des données, ou de déployer un implant/outil. Pour sa part, un implant désigne un logiciel malveillant qui est installé sur un dispositif compromis. Enfin, un outil représente un logiciel qui peut déployer plusieurs implants ainsi que des exploits.
Publication du 13 août Les outils publiés par The Shadow Brokers renferment des ensembles d'implants, exploits et outils pour le piratage des pare-feu, notamment ceux des constructeurs Cisco Systems et Fortinet. Ces derniers ont rapidement mis à disposition des correctifs après avoir annoncé que les fichiers publiés contenaient des vulnérabilités Zero day, c'est-à-dire des failles encore jamais découvertes.. Au total, les premiers fichiers mis en ligne par The Shadow Brokers, et dont les plus récents datent de 2013, renferment quinze codes d’exploitation.