Hackito Ergo Sum ou la Hacker Croll Way of Life : Quid du hack de Twitter?

Photo d’illustration : Stian Eikeland

.

Ca y est, Hacker Croll refait parler de lui. Korben, l’excellent blogueur français qui aborde énormément de points intéressants sur le sujet de l’informatique nous a sorti un beau scoop sur Hacker Croll et ce que ce dernier avait réussi à récupérer grâce à ses exploits.

Si vous n’êtes pas très potins de sécurité du web ou que vous vous étiez retiré en Arctique pour chanter O Sole Mio avec les pingouins, vous n’avez pas dû entendre parler d’Hacker Croll et ses aventures twiteriennes. Non? …

.

Petit rappel pour ceux qui jouent avec leur copain Alzeihmer : tout commence en fait par une intrusion par “brute force” réussie pas un ptit gars de 18 ans en avril dernier. La victime était l’un des administrateurs du réseau social/microblog Twitter. Vu que ce ket n’était qu’un “script kiddie“, il a fait joujou avec des comptes de stars, jusqu’à ce que l’alerte soit donnée et la sécurité rétablie.

Cette nouvelle n’est pas tombée dans l’oeil d’un aveugle, ni même dans celui d’un borgne : un étudiant allemand répondant au pseudonyme de Hacker Croll voulu réitérer l’exploit en utilisant la méthode plus subtile et nettement plus jouissive (à mon goût) du social engineering, c’est-à-dire l’exploitation de la plus grosse faiblesse du système informatique : le facteur humain. En bref, il s’agit d’user de ses connaissances générales, de son bagout et de l’ignorance ou la désinvolture de la cible pour récolter bon nombre d’informations pour, in fine, atteindre un objectif plus important.

.

C’est ainsi que pour pénétrer dans le Quartier Général de Twitter, Hacker Croll a procédé comme suit en mai dernier :

* Choisir une cible parmi les employés de Twitter. Les principaux cadres sont connus et la liste est publiée par Twitter même. Hacker Croll choisira finalement Jason Goldman ;

* Déterminer les adresses webs de sites tiers dont la cible est le maître ;

* Déterminer l’adresse mail de la cible en utilisant l’adresse web sur le site whois.net (on met une URL et toutes les informations utiles sur celui qui gère ce site apparaissent). Il faut néanmoins que l’adresse mail soit un service ouvert au public comme hotmail.com ou gmail.com pour qu’il y ait un dispositif de récupération de mot de passe perdu ; en effet, les adresses genre @dexia.be ont leur service interne pour récupérer les mots de passe oubliés. Dans le cas d’espèce, l’hébergeur était yahoo.com ;

* Rentrer dans l’adresse mail de la cible à partir de sa “Question Secrète” prévue en cas d’oubli de mot de passe. Ici, c’est la partie délicate ; en effet, s’il n’y a pas de question secrète en bonne et due forme, vous êtes dans une impasse avec la méthode du social engineering. Mais Hacker Croll a eu du bol : la question secrète était la date de naissance précise et le lieu de naissance de Jason Goldman. Aucune de ces informations n’était servie sur un plateau et le compte facebook de la cible était inaccessible ; mais la cible avait tenu un blog bien des années auparavant et en retrouvant celui-ci, Hacker Croll put récolter suffisamment d’informations pour déterminer sa ville natale et sa date de naissance en recoupant les infos. Seul hic, c’est qu’en répondant à la question secrète Yahoo a envoyé une notification de cette autorisation d’entrée par la petite porte à toutes les adresses mails de secours fournies au moment de l’inscription à Yahoo. Donc peu de temps d’action en perspective puisqu’une première trace a été laissée ;

* Chercher dans la correspondance d’éventuels mots de passe grâce à l’option “rechercher” et au mot clé “password”. Hacker Kroll découvrit ainsi plusieurs mots de passe et surtout la logique de Jason Goldman : un même mot de passe avec des initiales qui varient selon le service utilisé. Exemple : si le mot de passe était ptitcul, on aurait GMptitcul pour Gmail, TWptitcul pour Twitter, etc. Pas très porté sur la sécurité le petit Jason.

* Et voilà, une fois le mot de passe déterminé, il n’y a plus qu’à aller se servir. Hacker Croll s’est alors introduit dans le système et a fait du printscreen à tire-larigot jusqu’à ce que l’alarme soit donnée par Jason qui s’est rendu compte rapidement que son compte Yahoo avait été hacké. 15 minutes seulement se sont écoulées entre l’intrusion dans Twitter et la désactivation du poste de contrôle administrateur et de mettre fin au raid de Hacker Croll.

.

Il est à souligner que Hacker Croll est soucieux de son éthique d’Hacker. En effet, le but du Hacker est, idéalement, de sensibiliser les gens sur la question de la sécurité informatique et souligner les failles du système pour les rendre plus performants. Ni destruction, ni vente de données aux plus offrants. Ceux qui pratiquent ces activités que je viens de citer font partie du “côté obscur” du monde des hackers et nous rentrons alors vraiment dans le domaine de la criminalité informatique.

.

Pour voir le genre d’informations récoltées, je vous recommande le blog de Korben, c’est parfois surprenant.

.

Alors au regard de tout ceci et pour que la leçon de Croll soit retenue, n’utilisez pas cette stupide option “Question Secrète”, ou alors cherchez une réponse bien tordue ; utilisez des mots de passe suffisamment étendus et comportant des lettres comme des chiffres. Par exemple, pendant très longtemps j’ai utilisé un mot de passe de ce genre : 60RILL4Z752 [lire gorillaz 752, le 7 étant un chiffre qui me parle et 5+2 faisant 7 itou ^^]. C’est facile à retenir et difficile à percer (sans non plus être totalement impossible loin de là).

Egalement, je ne cesserai jamais de le répéter : ne balancez pas vos informations n’importe où, n’importe comment.

.

A bientôt et que la Force soit avec vous!