Le cloud : le meilleur logiciel de hackers ?

Posted on by

Plusieurs articles de journaux relatent l'histoire d'un journaliste ayant perdu toutes ses données suite à l'attaque d'un pirate... et de la complicité passive de Apple.

En effet, l'attaquant aurait réalisé une attaque d'ingénierie sociale avec le support d'Apple pour obtenir suffisamment de renseignements afin d'accéder au compte iCloud du journaliste.

Résultat : l'ensemble des données - sur l'ensemble des appareils Apple du journaliste - ont été effacées par le hacker, démontrant à la fois la vulnérabilité de ce type d'offre, mais surtout des processus interne d'Apple en matière de support informatique.

Le cloud : un logiciel de hackers ?

Copier vos données dans le cloud peut présenter un risque à de multiples égards. Les données sont systématiquement accessibles via un portail web, quelle que soit l'offre de cloud, et la sécurité de vos données reposent donc sur un unique mot de passe.

Ce mot de passe peut être récupéré via les techniques suivantes :

  • keylogger ou autre malware installé sur votre machine,
  • interception sur votre réseau wifi et/ou sur un réseau non-sécurisé,
  • reset du mot de passe via les mécanismes de sécurité,
  • Opération de fishing,
  • etc.
En bref, ce ne sont pas les occasions qui manquent.

N'oubliez pas vos sauvegardes...

Un utilisateur moyen d'une offre Cloud (dropbox, icloud et cie) pense généralement que ses données sont sauvegardées, et donc en sécurité. Cependant, si son compte est compromis, toutes ses sauvegardes sont détruites de façon définitive. Il importe donc de réaliser des copies locales : la bonne vieille sauvegarde sur disque dur !

Le cloud, meilleur logiciel de hackers ?

Les offres de cloud pourraient être particulièrement ciblées prochainement, avec des malware visant à intercepter les mots de passe de connexion. Pour les pirates, c'est une chance inouïe d'accéder à des milliers Gigas de données rien qu'en interceptant des mots de passe. Attendez-vous également à recevoir des emails de notification venant d'Apple, Dropbox, et autres dont l'identité a été usurpée, vous incitant à cliquer sur un lien pour intercepter votre mot de passe. Enfin, les tentatives d'ingénierie sociale pourraient permettre à un attaquant d'avoir des indices suffisamment solides pour remettre à 0 votre mot de passe, et ainsi à accéder à votre espace en ligne. Enfin, si votre boite de messagerie est piratée... changez tout de suite le mot de passe et le mail de votre compte Cloud !

Hacker un compte iCloud sans logiciel

Posted on by
Suite d'une piratage du compte iCloud d'un journaliste américain (Mathew Honan), on en sait plus sur le mode opératoire utilisé par le pirate pour hacker le compte ICloud.

Comment le compte Icloud a été hacké

Pour entrer dans un compte iCloud, trois éléments sont nécessaires :
  • Les 4 derniers chiffres du numéro de carte bleue
  • Son adresse mail
  • Son adresse de facturation
Ces éléments sont-ils difficiles à obtenir ? Oui s'il s'agit d'un parfait inconnu, notamment pour les 4 derniers chiffres du numéro de carte bleue. Cependant, si on est assez proche de quelqu'un, ces éléments sont très faciles à obtenir ! Sans logiciel, avec quelques éléments, il est possible de hacker un compte iCloud. Vous voulez accéder aux données de votre conjoint ? Facile. Vous voulez accéder aux données d'un bon ami ? Facile aussi, faites vous inviter à boire un verre et vous verrez aisément, moyennement quelques techniques d'ingénierie sociale, les 4 derniers numéros de sa carte bleue. L'adresse facturation étant simplement l'adresse postale (pages blanches, bonjour). On peut même se demander si un brute-force sur le numéro de carte bleue n'est pas faisable, via un générateur de numéro de cartes (il est possible qu'il y ait un algorithme sur les 4 derniers chiffres, à étudier).

Apple corrigera t-il cette faille ?

Vu la médiatisation de cette histoire, il est probable que Apple corrige cette faille. Le meilleur moyen semble malgré tout d'envoyer un mail sur une adresse mail secondaire et/ou un sms, à l'instar de Google qui gère cette problématique beaucoup mieux. En attendant, hacker un compte iCloud est un peu trop facile, et il est étonnant qu'aucun expert en sécurité n'ait levé l'alerte auparavant. Comme quoi, même les services des majors Internet peuvent avoir de grosses failles conceptuelles.

Un logiciel pour hacker Facebook ?

Posted on by
Répondre

Facebook est le média social le plus utilisé au monde, et de ce fait est la cible d’un certain nombre d’acte de piratage informatique. Dans les forums « blackhat », la question d’un éventuel logiciel permettant de pirater Facebook est souvent abordée. Qu’en est-il ? Est-il vraiment possible de pirater un compte avec un logiciel dédié ?

Un logiciel pour hacker Facebook : démystification

Mettons les pieds dans le plat : il n’existe pas de logiciel spécifique qui permettrait de pirater un compte Facebook. S’il existait, il serait tellement utilisé que Facebook corrigerait immédiatement la faille de sécurité.

Sur quoi repose la sécurité d’un compte ?

La sécurité d’un compte Facebook repose essentiellement sur un le login (l’adresse mail) et le mot de passe associé. Un compte avec un mot de passe solide sera difficile – voire impossible – à casser.

Mais la sécurité d’un compte Facebook repose également sur la sécurité de la boite email utilisée pour la connexion. En d’autres termes, si votre compte email est piraté, votre compte Facebook peut également être piraté.

Est-ce donc difficile de hacker un compte Facebook ?

Comme indiqué, tout dépend du compte et de la sécurité de la boite email associée. Mais en principe, oui, c’est difficile, voire infaisable ! Facebook n’est pas différent d’un autre site web : les mécanismes de sécurité sont les mêmes. Cependant, à la différence des autres sites web, Facebook est très populaire, et de par cette caractéristique, il est très ciblé, et donc sa sécurité peut être considérée comme éprouvée même si des failles peuvent apparaitre ici ou là.

L’ultime logiciel pour hacker Facebook : la naïveté des utilisateurs

Bien que les logiciels pour hacker Facebook n’existent pas (ou sont totalement inefficaces) , une méthode peut fonctionner : utiliser la naïveté des utilisateurs pour pirater leur compte email. Malheureusement, ça semble fonctionner.

La société Sophos a récemment avertit qu’un malware se diffusait via de fausses notifications envoyées par email aux utilisateurs, le mail imitant en tout point une notification de Facebook. Ce type d’attaque fonctionne et exploite la naïveté des inscrits.

De la même façon, les attaques par fishing peuvent permettre d’intercepter un mot de passe de connexion à Facebook.

Pour résumer :

  • le logiciel pour hacker Facebook n’existe pas,
  • Les attaques usuelles fonctionnent malheureusement encore, notamment l’usurpation du site légitime, via un email envoyé à un utilisateur.

HTExploit : un logiciel pour hacker des serveurs web

Posted on by
Lors de la conférence Blackhat 2012 à Las Vegas, un outil d'exploitation d'une faille sur les .htaccess des sites web a été présenté, pouvant permettre de hacker des serveurs web.

Cette faille - pas nouvelle au demeurant - consiste à tenter d'accéder à des fichiers protégés par un .htaccess en n'utilisant ni un GET ni un POST (en l'occurence, dans l'outil, il s'agit d'une requête..."POTATO" - sans commentaire). La faille est donc connue, seul le logiciel est nouveau. Il y a une quantité considérable de sites web qui expliquent comment ne pas être vulnérable à cette faille, mais en cherchant bien, il y a aussi une quantité de sites web qui donnent de mauvais conseils, ce qui induit des serveurs web pouvant être hackés s'ils sont protégés par un .htaccess :-)

L'outil HTExploit permet de "brute-forcer" des noms de fichier en bypassant les .htaccess mal configurés (et ils sont nombreux...), ce qui peut permettre dans certaines conditions de hacker des serveurs web, ou tout du moins, d'accéder à certains fichiers dont l'accès est protégé.

Commentaire critique : Ils auraient pu utiliser du code existant, tels que Nikto, un autre outil qui permet sous certaines conditions de hacker les serveurs web. C'eut été beaucoup plus simple... Mais l'outil est cependant bien réalisé. Et vu que la faille n'est pas nouvelle, il fallait bien qu'ils bossent un peu pour pouvoir faire la conférence de la blackhat :-)

Quelle est la proportion de sites web vulnérables ? Difficile à dire. Déjà, trouver des sites web protégés par un .htaccess ne semble pas évident de prime abord. Ensuite, il faudrait lancer l'outil sur un grand nombre de sites web pour estimer son efficacité.

On notera également que ce type d'attaque est relativement "bruyante", et doit polluer de façon considérable les logs du serveur web.

Télécharger le logiciel : http://www.mkit.com.ar/labs/htexploit/

AccessChk – version 5.1

Posted on by

AccessChk est un outil de Microsoft en ligne de commande pour Windows permettant de lister les paramètres de sécurité et les accès des objets Windows (fichiers et clés de registres). Cette nouvelle mise à jour prend en charge Windows 8.

Il peut potentiellement être utilisé comme outil à uploader sur un hôte compromis afin d'avoir des informations sur la cible.

Syntaxe et aide de l'outil :

Usage: accesschk [-s][-e][-u][-r][-w][-n][-v][[-a]|[-k]|[-p [-f] [-t]][-o [-t <object type>]][-c]|[-d]] [[-l [-i]]|[username]] <file, directory, registry key, process, service, object>
-a Name is a Windows account right. Specify "*" as the name to show all rights assigned to a user. Note that when you specify a specific right, only groups and accounts directly assigned to the right are displayed.
-c Name is a Windows Service, e.g. ssdpsrv. Specify "*" as the name to show all services and "scmanager" to check the security of the Service Control Manager.
-d Only process directories or top-level keys
-e Only show explicitly set-Integrity Levels (Windows Vista only)
-f Show full process token information including groups and privileges
-i Ignore objects with only inherited ACEs when dumping full access control lists.
-k Name is a Registry key, e.g. hklm\software
-l Show full access control list. Add -i to ignore inherited ACEs.
-n Show only objects that have no access
-o Name is an object in the Object Manager namespace (default is root). To view the contents of a directory, specify the name with a trailing backslash or add -s. Add -t and an object type (e.g. section) to see only objects of a specific type.
-p Name is a process name or PID, e.g. cmd.exe (specify "*" as the name to show all processes). Add -f to show full process token information, including groups and privileges. Add -t to show threads.
-q Omit Banner
-r Show only objects that have read access
-s Recurse
-t Object type filter, e.g. "section"
-u Suppress errors
-v Verbose (includes Windows Vista Integrity Level)
-w Show only objects that have write access