µTorrent

Septembre 2005. Un développeur suédois, Ludvig Strigeus, publie la version 1.0 de µTorrent. Le nom se lit « micro-torrent » : le binaire Windows pèse 265 kilo-octets, soit la taille d'une seule photo JPEG. À l'époque, le client officiel du protocole (BitTorrent Mainline) pèse lui plusieurs mégaoctets, Vuze (alors nommé Azureus) en réclame plus de cinquante à cause de sa base Java, et les machines courantes ont 512 Mo de RAM.

Le succès est foudroyant. Pas de dépendance à installer, pas de moteur Java à lancer, pas de toolbar parasite : µTorrent démarre en une seconde et gère des centaines de torrents sans broncher. En 2007, il est déjà le client le plus installé dans le monde. En 2010, il franchit la barre des cent millions d'utilisateurs actifs mensuels, une statistique validée par BitTorrent Inc. dans son propre communiqué de presse.

Cette réputation est cruciale : elle transforme µTorrent en standard de facto. Les trackers privés whiteliste son user-agent, les tutoriels torrent commencent tous par « installez µTorrent », les forums recommandent µTorrent, les podcasts tech parlent de µTorrent. Racheter µTorrent, c'est racheter le marché.

Décembre 2006. BitTorrent Inc., la société fondée par Bram Cohen (l'inventeur du protocole BitTorrent lui-même), annonce le rachat de µTorrent. Le montant n'est pas rendu public. Strigeus rejoint l'entreprise comme développeur principal ; il la quittera discrètement en 2009 pour fonder Spotify.

En apparence, rien ne change. µTorrent reste gratuit, open à tous, et les mises à jour continuent d'améliorer les performances. La version 1.7, sortie en 2007, introduit le DHT et le PEX, deux protocoles qui permettent de se passer partiellement du tracker central. C'est techniquement brillant.

Mais en coulisses, BitTorrent Inc. cherche à monétiser sa nouvelle base utilisateurs. Le premier essai, maladroit, arrive en 2008 : un bundle avec la toolbar Ask Jeeves. Retrait rapide face au tollé. Le message est clair : la communauté ne laissera pas passer facilement une monétisation intrusive. Mais la question n'est pas si, c'est comment.

Septembre 2012, µTorrent 3.2.2. Les publicités ne sont plus cantonnées à une toolbar ou un écran d'accueil qu'on peut fermer : elles s'affichent en permanence, dans la fenêtre principale de l'application, au-dessus de la liste des torrents. Sur les écrans 1024×768 courants à l'époque, elles occupent près de 10% de la surface utile.

La réaction est immédiate. Reddit, les forums Something Awful, les sites spécialisés comme TorrentFreak publient des guides pour désactiver les publicités en modifiant le fichier settings.dat. BitTorrent Inc. ferme ces brèches dans les versions suivantes. On entre dans une guerre d'usure entre l'éditeur et sa base utilisateurs.

C'est dans ce contexte, fin 2012, que qBittorrent (lancé discrètement en 2006 par le développeur français Christophe Dumez) commence à gagner du terrain. Il est libre, open-source, sans publicité, et reproduit l'interface µTorrent classique. L'exode commence.

Début mars 2015, des utilisateurs remarquent qu'après la mise à jour vers µTorrent 3.4.2, leur processeur monte à 100% d'utilisation en permanence, même torrent à l'arrêt. L'investigation révèle la présence d'un programme tiers nommé EpicScale, installé automatiquement, qui mine de la crypto-monnaie (Litecoin à l'époque) en arrière-plan.

BitTorrent Inc. tente un premier pilote défense : « c'est pour une bonne cause » (EpicScale reverse une partie des gains à des œuvres caritatives). La communauté ne l'entend pas. Le problème n'est pas la destination des fonds : c'est que le logiciel a été installé sans consentement informé, consommant électricité et matériel de l'utilisateur à son insu.

BitTorrent Inc. finit par présenter des excuses publiques, intégrer un opt-out explicite dans les versions suivantes, et retirer EpicScale de µTorrent fin 2015. Mais le mal est fait : les antivirus mainstream (Malwarebytes, ESET, Norton) ajoutent µTorrent à leurs listes de « Potentially Unwanted Programs ». Une étiquette que le logiciel ne perdra plus jamais tout à fait.

La faille exploite l'interface web intégrée à µTorrent. Bien que cette interface soit censée tourner sur l'interface réseau locale (localhost), un site web visité par le navigateur de la victime peut lui envoyer des commandes via DNS rebinding. Conséquence : un simple clic sur un lien piégé suffit à télécharger n'importe quel fichier dans n'importe quel dossier système, ou à installer un malware déguisé en torrent.

Ormandy avait prévenu BitTorrent Inc. en novembre 2017. Deux mois plus tard, aucune correction n'avait été déployée. Ormandy applique alors la politique publique de Project Zero : divulgation après 90 jours d'inaction. La nouvelle fait la une de la presse spécialisée et force BitTorrent Inc. à publier un patch dans la semaine.

L'affaire pose une question plus large que la faille elle-même : qui audite le code de µTorrent ? Le logiciel est propriétaire, fermé, aucune équipe de sécurité externe ne peut en vérifier la qualité. Par contraste, qBittorrent est open-source (licence GPL-2) : n'importe qui peut lire son code, et les failles sont détectées par la communauté elle-même, souvent corrigées en jours.

En 2026, µTorrent n'est pas « mauvais ». Il télécharge. Il seed. Pour un usage occasionnel et non exigeant, il fait techniquement le job. Le problème n'est pas technique : il est économique, éthique, et sécuritaire. Voici le résumé des quatre raisons qui font qu'aucune communauté torrent sérieuse ne le recommande plus.