Aujourd’hui, nous vous présentons et vous expliquons le fonctionnement d’un outil d’attaque de plus en plus répandu chez nos clients : l’Account Checker.
Cet outil de credential stuffing n’est pas nouveau, mais son utilisation connaît une forte hausse pour les raisons que nous aborderons ci-dessous. Bien que très simples dans leur conception et faciles à utiliser, les vérificateurs de comptes sont extrêmement puissants.
Description des vérificateurs de comptes
Un vérificateur de comptes est un outil d’attaque qui utilise des listes de paires nom d’utilisateur/mot de passe divulguées (c’est-à-dire des « identifiants ») et les teste sur un site web cible.
Les solutions performantes de vérification de comptes sont disponibles à partir de 100 $, et les acteurs malveillants peuvent également créer leurs propres outils à l’aide de kits d’automatisation web prêts à l’emploi tels que Mechanize, PhantomJS, IEC.py, Sikuli, Selenium ou iMacros. Ces kits réduisent les compétences techniques nécessaires pour développer des outils de vérification de comptes et mener des attaques par bourrage d’identifiants.
Anatomie de l’utilisation des vérificateurs de comptes
- L’attaquant récupère des mots de passe divulgués à la suite du piratage d’un site web ou sur un site répertoriant des mots de passe compromis.
- L’attaquant utilise un outil de vérification de comptes pour tester les identifiants volés sur de nombreux sites web
- Les connexions réussies (généralement 0,1 à 2 % du total) entraînent la prise de contrôle du compte
- L’attaquant vide les comptes volés de leur valeur stockée, des numéros de carte bancaire et d’autres données à caractère personnel
- L’attaquant peut également utiliser ce compte à d’autres fins malveillantes (spam, transactions supplémentaires, etc.)
Exemple de vérificateur de compte légitime
Vous trouverez ci-dessous un outil « inoffensif » de vérification de comptes appelé namechk.com qui illustre le fonctionnement de ce type d’outil. Il vérifie si un nom d’utilisateur donné est disponible sur différents réseaux sociaux. Nous avons testé le nom d’utilisateur « shapesecurity », et l’outil a correctement identifié tous les sites sur lesquels ce nom était déjà utilisé.
Ce service utilise un script qui teste automatiquement un nom d’utilisateur donné sur tous les sites web visibles dans l’image (par exemple, Blogger, Facebook, YouTube, Twitter, etc.).
Un outil criminel de vérification de comptes fonctionne de la même manière que l’outil ci-dessus et offre des fonctionnalités supplémentaires, comme la vérification de différents mots de passe (fondés sur des algorithmes de devinette ou choisis parmi les 25 mots de passe les plus courants) sur ce site. Le processus complet de vérification des noms d’utilisateur et des mots de passe, lorsqu’il est mené à des fins malveillantes, conduit à une attaque généralisée par bourrage d’identifiants.
Une étude de Microsoft a révélé que l’utilisateur moyen possède un peu plus de six mots de passe, que chacun d’eux est utilisé sur quatre sites différents et que chaque utilisateur dispose d’environ 25 comptes nécessitant un mot de passe. Ainsi, une fuite de données sur un seul site entraîne la divulgation des mots de passe utilisés sur 3,9 sites majeurs.
Exemple d’un outil de vérification des comptes prêts à être attaqués
Brian Krebs a écrit au sujet de l’outil de vérification de comptes prêt à l’emploi présenté ci-dessous. C’est le même type d’outil que celui utilisé pour pirater Hilton.
Cet outil de vérification est capable de déterminer si les identifiants sont valides et d’extraire le solde de points, les quatre derniers chiffres du numéro de carte bancaire ainsi que l’adresse de facturation associée à la carte.
Vous trouverez ci-dessous un extrait du code sous-jacent d’un vérificateur de comptes. Celui-ci teste un grand nombre d’identifiants. Lorsqu’il trouve une paire d’identifiants valide, il extrait des données à caractère personnel et dérobe les fonds ainsi que les informations de carte bancaire enregistrés sur le compte.
Où les attaquants se procurent-ils des listes d’identifiants ?
Tout outil de vérification de comptes repose sur une liste d’identifiants. Malheureusement, un très grand nombre d’identifiants sont accessibles au public, ce qui fait le bonheur des attaquants.
- 38 000 000 de comptes Adobe
- 318 000 comptes Facebook
- 70 000 comptes Google
- 60 000 comptes Yahoo
- 22 000 comptes Twitter
- 8 000 comptes ADP
- 8 000 comptes LinkedIn
Des centaines d’autres identifiants sont divulgués chaque jour sur ce compte Twitter : twitter.com/dumpmon. De nombreux professionnels de la sécurité utilisent cette liste pour déterminer quels comptes utilisateur ont été compromis sur leurs sites respectifs et pour les bloquer. Bien entendu, les attaquants utilisent également cette liste, conjointement avec des outils de vérification de comptes, afin de repérer les comptes vulnérables qu’ils exploitent ensuite pour diverses activités frauduleuses.
Que peuvent faire les professionnels de la sécurité pour limiter l’utilisation des outils de vérification de comptes et empêcher les attaquants de détourner les comptes utilisateurs ?
Pour répondre à cette question, il faut comprendre le mécanisme de fonctionnement des vérificateurs de comptes.
Les outils de vérification de comptes utilisent les éléments de formulaire statiques de la page de connexion comme une API implicite. Dans l’exemple de code ci-dessus, l’attaquant fait référence aux noms de différents éléments de formulaire afin d’interagir avec la page web ciblée. La plupart des sites web ne peuvent pas distinguer ces interactions de celles d’un utilisateur humain.
et acceptent donc volontiers le trafic malveillant. Cela permet à l’attaquant d’automatiser ses interactions avec le site web à l’aide de vérificateurs de comptes et d’effectuer facilement des millions de tests en quelques jours ou semaines (souvent en utilisant un vaste réseau distribué de botnets et un très grand nombre d’adresses IP afin de contourner les limites de fréquence et de volume). Ainsi, même des attaquants très peu expérimentés peuvent aisément lancer de puissantes attaques contre bon nombre des plus grands sites web au monde.
Pour protéger les sites web contre ce type d’activité, que nous appelons « automatisation indésirable », nous employons une méthode bien connue des attaquants : nous modifions le code sous-jacent du site à chaque affichage de page. Tout comme les auteurs de logiciels malveillants utilisent depuis longtemps du code polymorphe pour échapper aux antivirus en présentant constamment des signatures différentes, la solution de Shape crée une cible mouvante qui met en échec les scripts cherchant à automatiser un site web. Les administrateurs système peuvent ainsi contraindre un attaquant à fournir davantage d’efforts pour parvenir à scripter ou à automatiser un site web donné.
Bien entendu, les lecteurs avertis ne manqueront pas de souligner qu’il existe de nombreuses autres façons de mener des attaques. L’étude de telles attaques (DOM, interface graphique et autres) dépasse le cadre de cet article, mais pourrait faire l’objet de futurs articles. Shape s’attache bien sûr tout particulièrement à contrer de manière exhaustive toutes ces attaques et dispose de solutions à chacun de ces niveaux.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.