On a assisté à une démo de cyberattaque en temps réel, et c’était terrifiant

Sur se fait tous un peu des ides sur le dé-déralement d’unité cyberattaque. Les bercées par les films et les series hollywoodiennes, sur Imagine Toujours Un pirate cache Derrière une capuche noire, en train de Taper des Lignes de Codes Compliètement, sur unité noire Teinté de Vert, le tout éventé plongé de l’obscure. AU-Delà du Fantasme, il n’y a pas forcé besoin de coder à tote vitresse sur un terminal coulaire vers le bien à bien un piratage. En Fait, il suffit de se servirant d’unité Panoplie d’Outils… qui Sont Tous Disponbles sur Internet.

Dans le cadre de Notre-Visite dans les locaux du vpn surfshark à vilnius, nous avons eu la hasard d’assister à une demonstration de piratage en temps RÉEL. Cette «Technique de purement de la déconstration»Diligentée par les Chercheurs en cybersécuté Miguel Fornes et Bartosz Moskwik, un couloir mais d’illuner «Point de Vue d’Attaquant»afin de comprendre «Commentaire du concrènement une attaque peut Survenir»nous explique le duo. Les Gens «Ne comprennent Pas VraMent à Quel Point Cela peut Être simple»Sourinene Miguel Fornes.

Des ouvrages accessoires et abordables

Verser le réaliseur les simulations d’Attaques, Les Chercheurs se Sont Une inscriminant Servis D ‘OUTILS À LA PORTEE DE TOT LE MONDEà Savoir Un Raspberry Pi, un Petit Ornideur «De 70 euros» De la Taulle d’UNE CARTE DE CRÉDIT, Que L’UR PEUT BRANCHER À UN UN ÉCRAN, UN CLAVIER ET UNE SOURIS. C’est «Un Petit Ornideur qui n’a pas les Tiers de la Puisse de Mon iPhone»Sourinene le Chercheur. Ils se Sont en passure servis d’Un Poignee de Logiciels Accessbles Libration et rédaction sur la toïle, par exemple sur github. Pas Sesoin de Se Rendre dans les obscurs recins du sombre web ou d’oriter des logiciels complexes Avec des cryptos.

À lire Aussi: Des Milliers d’identifiants Microsoft Onté

Commode le Profil de la Cible

Dans les pas de premier ordre, le duo bonh Le Craquage d’Un Mot de Passe. En uni dizaine de procès-verbaux, les experts aT Montré commentaire il était possible de Deviner le Mot de Passe d’Un Compte. Verser debuter l’attaque, les «Pirates» habillé le profil nummérique de sa cible en scannant le web. Citte operation partie d’Un Addition simple courrier et Doit Permettre de debusquer «Quels Services J’Utilise, Mes Centers d’Itérêt, Mes Adress Mail, Voire des Mots de Passe Exposés».

En d’autres termes, les outils vont chercher tous les mots de passe qui sont liés à un nom d’utilisateur, vote addresse mail ou vore nom. Sur des forums criminels, sur Trouve Énormé de bases de Donnés. Ces Dernières Années, Les Futes de Donnés se Sont Multipliés, à Tel Point Que Les Informations d’Un parties Partie des Internutes Ont été compromis.

«En 10 minutes, un avant-part de savoir de Peut énormé de choisit sur un et sur son entreprise. Si en plus l’entreprise un déc du subi un bui, jackpot: il n’y a plus au aurécupérer les identifiants circulant Sur Internet »raconter Miguel Fornes.

Des MOTS DE PASSE HACHÉS

Dans certains cas, les attaquants vont tomber Sur Des MOTS DE PASSE QUI ONT ÉTÉ HACHÉS. En Clair, ces modes de pass sur été transformations en une suite de caractés ilLisible par un un algorithme de Chiffrant. Les sites ne sont des pas le Mot de pas de Clair de leurs Usagers, ils Gardent Seulement la Suite de Caractères, à Savoir Le Hash, pour des Raisons de Sécuré. De Cette Manière, un Pirate ne Peut pas Direction se servir du MOT DE PASSE Qu’il A Compromis pour Pénétrère sur Votre Compte.

«AUJOURD’HUI, IL est rare que le mot de passe accessible en clair; il est plus fréquent qu’il soit haché »Précis le responsable de la Gouvernance et de la sécuré de surfshark.

Verser Casser Le Mot de Passe, l’attaquant Doit d’Abord Déterminer Quel Algorithme a été utilité Versez Hacher le Mot de Passe. Le Pirate Peut Avoir de la Chance et Tomber sur un algorithme de hachage qui a été compromis par le passé. Si c’est le Cas, une carte simple Permet de de-débusquer le mot de pas. AVEC La Puissen de Calcul du gpu, il est possible de testeur Massiver des combinaisons jusqu’à Trouver la Bonne à Partir du Hash. «Certains anciens hachages se cassent en quelques secondes avec ine simple carte graphique»Sourinene le Chercheur. Ou, de nombreus intérises continues de misère sur des algorithmes obsolètes.

Deviner Le Mot de Passe

Concrètation, Les Attaquants Doivent Trouver Une Solution Verser Retrouver un Mot de PasSe à Partir de Son Empreinte Cryptographique. Les cybercriminels déchaînés de plus les plus les sorties vers l’arrivée à les ailerons, à supposer que le mot de pas choisi par un et humainet non par un Générature de Mot de PasS. Prenant Le Reais de Son Collègue, Bartosz Moskwik Expliquez Qu’on «Étudie comment les gens créent des mods de pass» Versez Casser un Mot de Passe. Sur SE Rend Vite Compte que la Plupart des Gens Prensent des Noms de Hobbys, D’Animaux de Compagnie, ou des Dates. C’est en sachant celala que les pirates vont tenter de Deviner Le Mot de Passe en Clair à Partir de Son Empreinte Cryptographique.

Tout d’Abord, ils vont hacher un mot aU Hasard Avec L’Algorithme. CE MOT VA SE TRANSFORME EN EMPREITE. Il compare Cette Empreinte à Celle Vollee. Si les deux empreintes Sont identiques, alors les deux mots à propos de la réaffection à la cameme empreinte, ce qui signifie que le pirate a deviné le mot de pas. Ce n’est évidémment jamais auussi simple. Le Procédé est l’automatisé et le répété des Milliers de Fois Jusqu’à Tomber sur la Bonne combinaison. Les Pirates Testent d’Abord La Liste des Mots de Passe Les Plus Répanduset enchaînent les noms les noms plus les palais choisis par les utilisateurs.

Il s’agit d’une attaque par dictionnaire. La tactique cohérie Simplement à testeur Rapidation un liste Prédéfinie de MOTS, phrases et variantes Courantes Jusqu’à Trouver La Combinaison Qui correspond, Plutôt Que D’Sayer Toutes Les Combinaisons possibles, comme c’est le cas Durant une Attaques Par Force Brute. Si «Vous aiz un mot de passe peu complexe et que l’entreprise le stocke de façon obsolète»Vous Risquez de Voir Votre Compte Compromis. C’est pourquoi le chercheur recommande de passeur par un générateur de mot de passe, qui rend difficile, voix impossible, de craquer un mot de passe haché. Les Gestionnaires de Mots de PasSE, AVEC UN GÉNÉRATEUR INTÉGÉ, SONT «Miracle de la solution unie».

À lire auussi: les 7 trucs des pirates verser le piéger

10 secondes verser le tout savoir de

En passoire, Les deux Chercheurs Ont Simulé une Attaque Phishing de A à Z. Là Encore, le point commence AVEC des outils en accès libre Qui vont Parcourir Internet à la Recherche d’Informations sur le compte de la Cible. Cette phase VA Permettre de Dresher le Portrait Robot de Leur Victime, Toujours en partant des informations Limités, comme un jet de messagerie ou un nom. Comme l’Expliquent Fornes, Les Pirates utilisent par exemple un peu logiciel «Qui Vérifiie Si un adrede a été utiliséée sur une liste prédéfinie de sites».

De «Services TRÈS COURANTS (Strava, Spotify, Snapchat) jusqu’à des sites Beaucop Moins Recchandables (xvideos)»L’Outil Remonte «Toutes les occurrences liés à cet e-mail». L’Opération Expose L’Attegralité de Vote Vie Numérique… en Moins de Dix Secondes. Cette Recherche Va Aider Les Pirates à Déterminer de Quel Service Ils Devront Usurper L’identité. Une victime est évidemment plus sensible de Répondre et d’Interagir Avec le Mail d’Un Service Qu’ELLE UTILISE.

En Poussant Les Investigations Plus Loin, Les Attaquants Peuvent Obtenir la Liste Complete des Plateformes sur les lesquelles VOTRE NOM OU VOTRE Pseudo Apparement. Cela ne préfère pas les minutes de du deux. Sesuite en Ansuré, des logiciels permettent Même d’Extraire des Informations Professelles, Comme des Adresses des internes de courrier. Toute la céla n’excède pas les 10 minutes.

Commentaire se déroge une attaque phishing?

Dans le Cadre de la Démo, Les Chercheurs Ont CHOISI Linkedin. AVEC DES OUTILS GRATUITS, ILS ONT RAPIDE cloné la page de connexion du RÉSEAU SOCIAL. Bartosz Moskwik Sourinene Avoir Utilisé Un «Cloneur de Site». L’Opération N’a pas Pris plus de Quelques Secondes. APRÈS AVOIR ACHETÉ UN NOM DE DOMAINE, Volontaire Proche de Celui de Linkedin, ILS ONT MIS LA FAUSSE Page de Connexion en Ligne. Cette page est bien sûr pensee pour subtiliser les identifiants de Connexion d’Un internaute.

Il Faut Désormais Attrait La Cible sur la Page Malveillante. En prévenant la forme d’Un invitation Linkedin, l’attaquant va pousser sa cible à cliqueter sur la page qu’il vient de concepoir. La «Page Semble Légitime» alors l’internaute Va Être tendre d’identifier les identifications pour décovervrir l’identité de la personne qui lui a envoyé un invitation. C’est Là que L’Attaquant Aspire Les Identifiants. Lors de la Démo, le Phishing a AboutI Au vol de l’adresshe Mail de Connexion et, Surtout, AU «MOT DE PASSE EN Texte Clair».

«La Sécurit n’st pas une question de technologie. C’est Même L’Inverse. Si l’on Prend L’Exemple de la Maison: sur Verrouille la Porte et sur Se envoyé des protégés grâce à la serrure. Pourtant, peu importe sa sophistication, la deterure N’A Aunun Effet si vous Donnez Simplement Votre Clé à Quelqu’un. En cybersécurit, il en va de la même », RÉSUME MIGUEL FORNES.

Le Chercheur Rappelle que ce type d’attaque de phishing est de l’employé à très Grande Échelle et vise des millions d’Internautes en simultané. Il suffit à cele Seule victime tombbe dans le piège, Parce Qu’ELLE est un peu fatiguée ou distraite, couler que l’opération soi-même un succés.

Le Piratage, C’est Devenu TRÈS accessible

Ce qui nous a un essentiel frappes danans les les démontrations réalises chez Surfshark, c’est L’ACCESSIBILÉ DE TOUS LES OUTILS utilisés dans le cadres d’Un Piratage. Les Chercheurs N’ont pas Pas été obligés de ticker de longues et complexes lignes de code. TOT CE QUI ÉTAIT NÉCESSAIRE À L’ATTAQUE SE TRUPVAIT EN LIGNE, NOTAMMENT SUR DES PLACEFORMES COMME GITHUB OU GITLAB. Sur un d’Ailleurs Fait L’Exercice de Rechercher tous Les Outils mentionne Durant la Simulation à Notre Retour de Vilnius.

«Le Cybercriminel N’a Pas Écrit de Scripts. Il convient à la déroulement du programme »Sourinene Bartosz Moskwik.

Tout au plus, les Chercheurs Ont Tapé deux ou Trois Commandes Basiques dans le terminal de l’ordininaur pour lancer un programme ou définir une action. Rien de Bien Sorcier. AVEC UN TURIEL EXCELL, N’IMPORTE QUEL INDIVU, QUI est un minimum à l’aise Avec l’Ordonnance, PEUT TENTER DE VOUS PIRATER. Comme le soulgne Miguel Fornes, «Vous N’avez pas dans le côté d’être un hacker ou un developpeur». En fait, «Il suffit de savoir utiliser Les Outils».

Dans ce Contexte, Les Chercheurs de Surfshark Estiment Qu’il est importante que les tous les internautes fassent prénuve d ‘Critique d’Esprit et apprennent à reconnaissance les Pièges. Plus concrètation, le duo recommandée d’Activer l’authentification à deux facteurs Surtous vos comptes. Enfin, ils conseillent de protéger vos mots de pass en passant par un geste de mots de mots de passe de muni d’Un Générature. CES PRÉCUTIONS DEVRAISION VOUR PRÉMUNIR CONTRE LA PLUPART DES ATTAQUES.

🔴 Pour ne manquer aucune actuali de 01net, Suivez-nous sur google actualis et whatsapp.