12.02 — LulzSec, le Lulzboat, AntiSec#
Trois sujets distincts : (1) LulzSec en tant que groupe, (2) le Lulzboat en tant que métaphore identitaire, (3) AntiSec en tant que mouvement (deux versions : 1999 et 2011). Le Holy Book les invoque d’un même souffle ; ils ont chacun leur histoire.
1. AntiSec (1999) — le mouvement originel#
Origine#
À la fin des années 1990, l’industrie de la sécurité informatique se professionnalise : des entreprises naissent autour de la vente de firewalls, d’antivirus, d’audits. Une norme émerge : la full disclosure, publier publiquement les vulnérabilités, leurs PoC, leurs exploits, avec comme argument que cela force les éditeurs à patcher rapidement.
Une partie de la communauté underground voit dans cette pratique un business modèle déguisé en éthique. L’argument ici : la full disclosure ne sert pas la sécurité, elle alimente une économie où l’on vend la peur qu’on a soi-même contribué à créer. Les mêmes acteurs qui publient les exploits sont ceux qui vendent les solutions.
Le mouvement Anti Security (antisec) naît contre.
Son principe :
Pas de full disclosure. Pas d’exploits publics. Les bugs restent dans l’underground. Les outils restent privés. Les mailing lists « Bugtraq », « full-disclosure », « vuln-dev », « vendor-sec » sont considérées comme des ennemis.
Cibles déclarées de l’AntiSec movement originel :
- Sites : SecurityFocus, SecuriTeam, Packet Storm, milw0rm.
- Mailing lists :
full-disclosure,vuln-dev,vendor-sec,Bugtraq. - Forums IRC publics où les exploits circulent ouvertement.
Source : Antisec Movement — Wikipedia
Pourquoi ça compte pour Ocarina#
L’AntiSec originel n’a pas gagné. La full disclosure est devenue la norme. CVE, CVSS, NVD, bug bounty programs : tout le marché s’est aligné sur la position opposée.
Mais l’argument structurel, « cette industrie crée le problème qu’elle vend », n’a jamais été réfuté. Il est revenu sous d’autres formes (mouvement anti-vendor lock, anti-SaaS, anti-No-Code). Ocarina hérite de cette ligne : refus des vendors de test (BrowserStack, Sauce Labs, etc.), refus des « solutions plateforme », auditabilité du code en boîte blanche.
Le Holy Book le formalise (chapitre « Anti slipologues ») :
Pendant trop longtemps, l’informatique a été prise en otage par une minorité, un « 1% », qui a cru bon de la transformer en terrain de jeux pour initiés.
Cette « minorité » est, grosso modo, le complexe industriel anti-AntiSec. La full disclosure moderne est son outil. Ocarina est né contre.
2. LulzSec (mai – juin 2011) — 50 jours de chaos#
Origine#
Lulz Security (LulzSec) naît en mai 2011, splinter group d’Anonymous. Six membres principaux :
| Pseudo | Identité | Rôle |
|---|---|---|
| Sabu | Hector Monsegur | Leader, devenu informateur FBI dès juin 2011 (révélé en 2012) |
| Topiary | Jake Davis | Spokesperson, écriture des communiqués |
| Kayla | Ryan Ackroyd | Exploits techniques |
| Tflow | Mustafa Al-Bassam | Exploits, dev |
| AVUnit | jamais identifié | — |
| pwnsauce | Darren Martyn | — |
50 jours d’attaques touchant les secteurs publics, médiatiques, et de l’entertaining :
- PBS (mai 2011), fake news « Tupac alive in New Zealand » sur le site Newshour, en représailles d’un documentaire WikiLeaks défavorable de Frontline.
- Sony Pictures, dump massif de la base utilisateurs, après la débâcle PSN.
- CIA.gov, DDoS.
- Fox, leak du X Factor contestant DB.
- US Senate, site infiltré.
- InfraGard Atlanta (partenaire FBI), dump des credentials.
- HBGary Federal (partenaire FBI), dump des credentials, attaque menée sous bannière Anonymous, avant la formation de LulzSec.
Sources : LulzSec — Wikipedia, Operation AntiSec — Wikipedia
Le Manifeste LulzSec (juin 2011)#
À leur 1000ème tweet, LulzSec publie un manifeste :
« We’re not, only because we don’t have to be. (…) We release personal data so that equally evil people can entertain us with what they do with it. »
Nihiliste assumé, esthétisé. Le hack pour le « lulz », pas pour la conviction politique, pas pour la richesse, pour l’amusement et pour exhiber la fragilité du système.
LulzSec a fait ressusciter le terme AntiSec sous une nouvelle bannière : Operation AntiSec (juin 2011), en collaboration avec Anonymous. Cibles : gouvernements, organismes de sécurité, mailing lists vuln-dev.
3. Le Lulzboat#
Le Lulzboat est le bateau pirate stylisé de LulzSec, repris partout :
- Bannières Twitter.
- Headers Pastebin :
▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ TheLulzBoat ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄. - Communiqués signés « The Lulz Boat / Lulz Security ».
ASCII art de bateau, Stuart Little / Captain Hook / Nyan Cat.
« If you’re sittin’ below deck / In the Lulzboat, salute, bitch, and show some respect »
— YTCracker,
#antisec(22 juin 2011), devenu l’hymne officiel de l’Operation AntiSec.
La phrase est citée telle quelle dans le Holy Book d’Ocarina :
« In the Lulzboat, salute, bitch, and show some respect. »
C’est un mot de passe générationnel.
YTCracker et LulzSec#
YTCracker (Bryce Case Jr.) est extérieur à LulzSec stricto sensu, il n’était pas dans les 6 membres, mais il était associé :
- Il connaissait personnellement plusieurs membres.
- Il a écrit
#antisecpendant l’opération. - Sa chanson a été utilisée par Anonymous / LulzSec dans leurs vidéos de communiqués.
Cf. 03-ytcracker-nerdcore-digital-gangster.md pour le détail concernant YTCracker.
4. La fin (juin 2011 → mars 2012)#
La nuit du 25 au 26 juin 2011, LulzSec publie « 50 days of lulz », leur communiqué de dissolution :
« For the past 50 days we’ve been disrupting and exposing corporations, governments, often the general population itself, and quite possibly everything in between, just because we could. »
Six mois plus tard, en mars 2012, le DoJ américain inculpe cinq des six membres.
Sabu collaborait avec le FBI depuis juin 2011, il a balancé.
Source : LulzSec finally calls it quits — GeekBurn
5. Rhétorique « Don't fuck with us. » → « YOU FUCKED WITH US! »#
Le mantra Don't fuck with us vient de la scène carding/defacement originelle (cf. 05-indonesian-hackers.md, où l’on documente sa présence systématique sur les pages de deface de YogyaCarderLink). LulzSec et Anonymous en héritent : c’est ce qui a structuré l’ensemble de la scène grey hat des années 2000s avant d’être repris par les opérations en 2010-2012.
| Temps grammatical | Effet |
|---|---|
Don't fuck with us. (futur conditionnel, avertissement) | Posture défensive. On ne fait rien tant que vous ne nous attaquez pas. |
YOU FUCKED WITH US! (déclaration de représailles) | On vous avait prévenu, vous l’avez fait quand même, maintenant assumez. |
Le Holy Book d’Ocarina le formule mot pour mot dans la même langue, toute traduction confondue :
YOU FUCKED WITH US!
Tout le passage d’invective (cf. 06-yung-innanet-vxug.md) n’est pas une agression gratuite, c’est une réponse tardive et explosive à des années de pressions. C’est l’adaptation au contexte d’un auteur de frameworks qui s’est fait dicter pendant des années comment il devrait écrire son code.
Ces codes des « deux temps » sont universels dans cette scène. On les retrouve dans :
- Les defaces de YogyaCarderLink (signature
Don't fuck with us.en bas de page). - Les pastebins post-HBGary (Anonymous, février 2011).
- Les communiqués de LulzSec de représailles (Operation Payback — RIAA, MPAA, puis défense de WikiLeaks).
- Les communiqués Lulz Boat de réponse aux arrestations.
6. Filiation avec Ocarina#
Ocarina ne se présente évidemment pas comme un projet hacker au sens 2011. Il est en MIT, hébergé sur GitHub, ne casse rien. Mais il hérite :
| Trait LulzSec / AntiSec | Trait Ocarina |
|---|---|
| Refus de la professionalisation comme valeur | Refus du « plugin pytest » et des écosystèmes |
| Refus de la full disclosure comme business | Une seule dep d’exécution, code auditable |
| Identité de groupe revendiquée | « C’est ma voiture » |
| Rhétorique directe, sans politesse | « Fuck You. Pas compliqué. » (DHH) |
| Esthétique underground | Illustrations IA, ton pamphlétaire |
| Lulz comme tonalité | Humour permanent dans le Holy Book |
Ocarina est ce que ces gens font 20 ans plus tard, quand ils écrivent un framework de test pendant la journée. C’est la même éthique, dans un autre médium.