Une interview de NeonSurge, de l'équipe (lien mort) Rhino9
A titre indicatif, j'ai choisi de ne pas mettre de titre a cette interview.
<Kitetoa> Bon essayons de comprendre de quoi nous allons parler. Vous vous êtes connecté par Telnet sur un serveur du réseau interne de l'une des plus grosses sociétés éditrices de logiciels du monde. C'est cela?
<NeonSurge> Oui. C'était un projet Rhino9. Je n'ai pas fait ça tout seul.
<Kitetoa> A part grâce à votre "talent pur", comment avez-vous fait pour entrer sur ces serveur? C'est un bug ou un trou dans la politique de sécurité de cette société?
<NeonSurge> C'est un problème lié à l'administrateur qui n'a pas fait "tout" son travail.
<Kitetoa> Pourriez-vous être un peu plus précis sur le type de serveurs parce qu'il semble difficile d'entrer sur le réseau interne d'une entreprise en raison des firewall, proxys, etc.
<NeonSurge> Oui.... un grand nombre
de visiteurs inopportuns ne pourraient pas entrer sur ce réseau... Ils ne pensent pas
comme ils devraient.
<NeonSurge> Bon... Ce qui s'est passé, c'est que... cette
société avait des serveurs FTP accessibles en mode anonyme
<NeonSurge> Ces serveurs étaient en mode lecture seulement, c'est
à dire que l'on pouvait consulter leur contenu.
<NeonSurge> Il y avait également un programme shareware,
AbsolutFTP présent dessus.
<NeonSurge> Donc, nous avons copié (read) le fichier de config du
programme AbsolutFTP et downloadé et installé la version shareware de Absolut...
<NeonSurge> Ensuite nous avons copié les fichiers que nous avons
obtenu du site Web de la société dans l'installation du shareware que nous avions
faite....
<NeonSurge> Ensuite, nous avons lancé le programme et sniffé la
carte réseau du du réseau local ... notre propre NIC...afin de pouvoir lire les paquets
I.P. Jusqu'ici..., facile.
<NeonSurge> A partir de là, nous avions non seulement le login et
password de l'administrateur, mais également accès en mode lecture à l'ensemble du
serveur.
<NeonSurge> Donc nous avons uploadé NetBus...
<NeonSurge> Et NetCat...
<NeonSurge> Puis nous avons exécuté NetBUs via URL (dans le
directory scripts) au travers de IIS... (http://blah.com/scripts/patch.exe)
<NeonSurge> Une fois que NetBus tournait... Nous avons exécuté
NetCat au travers de NetBus...
<NeonSurge> Nous avons lié NetCat à cmd.exe sur le serveur
distant, et nous lui avons fait écouter sur un port pour qu'il réponde à des
connexions.
<NeonSurge> Nous nous sommes alors connectés via Telnet au
programme NetCat et nous avons copié leur sam._... la copie de sauvegarde... et nous
l'avons passée au travers de LophtCrack.
<NeonSurge> (De grands bravos pour LophtCrack et ses
fonctionnalités)
<NeonSurge> Et voilà
<NeonSurge> Si l'administrateur n'avait pas autorisé le mode
lecture seule, nous n'aurions pas pu entrer aussi FACILEMENT
<NeonSurge> Mais nous aurions de toutes façons pu rentrer. C'est
juste que cela aurait été un peu plus dur.
<NeonSurge>
D'autres questions?
<Kitetoa> A quoi sert (normalement) AbsolutFTP
<NeonSurge> AbsolutFTP est un
shareware FTP... Comme CuteFTP
<NeonSurge> (Je
suis sur que les Français utilisent des trucs comme CuteFTP)
<Kitetoa> Oui
<NeonSurge> Ok...
<Kitetoa> Avez-vous prévenu la société du trou de sécurité que vous avez trouvé?
<NeonSurge> Oui, nous l'avons fait
<Kitetoa> Qu'ont-ils dit ou fait?
<NeonSurge> Nous avons de bonnes
relations de travail avec cette société...
<NeonSurge> Quand
nous trouvons un problème sur leur réseau, nous le leur disons, en échange, ils nous
envoient des trucs gratuitement...
<Kitetoa> Ok
<NeonSurge> Quand nous trouvons un
problème dans leurs produits, nous le leur disons avant de les rendre publics...
<NeonSurge> Pas
mal de monde nous critiquerait de faire ça... Nous souhaitons toujours mettre au courant
les entreprises avant de publier des informations sur nos découvertes concernant des
problèmes de sécurité. C'est une forme de savoir-vivre...
<Kitetoa> Je comprends ça. C'est normal il me semble.
<Kitetoa> Quelle est la l'étendue du problème pour cette société ? Jusqu'où pouvez-vous aller sur leur réseau à partir des serveurs en question?
<NeonSurge> Le trou que nous avons
trouvé nous a permis d'installer un sniffer de paquets I.P. et de collecter plus de 70
noms d'utilisateurs et de mots de passe en deux jours.
<NeonSurge> Nous avons collecté toutes ces données sur le réseau
interne.
<NeonSurge> Ce qui met cette grande entreprise à notre merci.
<NeonSurge> Littéralement...
<NeonSurge> Nous aurions pu aller à peu près n'importe où sur
leur réseau.
<NeonSurge> Mais
nous ne l'avons pas fait.
<Kitetoa> Vous dites que vous auriez pu aller à peu près n'importe où sur leur réseau. Mais j'imagine que cette grande entreprise ne lie pas ses données sensibles à Internet, comme les serveurs où l'on peut voir les ventes ou la paye...?
<NeonSurge> Le serveur sur lequel
nous nous sommes connectés était lié à Internet...
<NeonSurge> Nous
avons procédé depuis ce serveur pour atteindre leurs autres serveurs, plus sensibles.
<Kitetoa> Vous voulez donc dire que c'est possible?
<NeonSurge> Absolument
<Kitetoa> C'est difficile à croire
<NeonSurge> Tout dépend de la
configuration finale du réseau.
<NeonSurge>
Exemple: Si quelqu'un a 20 ordinateurs sur un subnet, mais un seul connecté à
Internet... Je peux arriver à cette machine, puis, peut-être aux autres sur le subnet.
<Kitetoa> Oui, je sais, mais j'imagine qu'ils ont plein de firewalls, de proxys et toutes sortes de choses comme ça, non? Ils pourraient même avoir toutes leurs données sensibles sur des ordinateurs physiquement déconnectés d'Internet...
<NeonSurge> Disons que leurs
Firewalls sont configurés pour permettre certaines connexions.
<NeonSurge> Nous avons joué avec leurs firewalls, trouvé les
connexions qu'ils autorisent et nous avons regardé les faiblesses.
<NeonSurge> C'est en fait une technique standard...
<NeonSurge> Mais vous devez garder à l'esprit... Que cette
société VOULAIT que nous entrions... Et ils ne savaient pas que nous étions là...
<NeonSurge> En
raison de la façon dont nous avons procédé.
<Kitetoa> Ils vous avaient demandé un test d'intrusion?
<NeonSurge> Oui
<NeonSurge> Ils
l'avaient demandé
<Kitetoa> ok
<NeonSurge> Ils avaient utilisé les
services d'autres entreprises avant nous, mais elles n'avaient rien trouvé.
<NeonSurge> Nous avons trouvé beaucoup de choses...
<NeonSurge> Ce qui conforte ma théorie sur les autres
entreprises...
<NeonSurge> De nombreuses sociétés spécialisées dans la
sécurité ont des "hackers" professionnels... Le problème est que leurs
hackers sont pas assez bons ou qu'elles n'en ont pas assez...
<NeonSurge> Quand
je dis pas assez, je parle de la possibilité de faire des rotations... On met des hackers
sur un sujet pendant 2 ou 3 mois, parfait... Puis on les sort de là pour les mettre sur
autre chose pendant 2 ou 3 semaines de façon à les laisser se former et apprendre les
dernières techniques.
<Kitetoa> Je comprends
<NeonSurge> Ca, c'est une chose que les GROSSES entreprises ne font pas... Et les hackers entrent sur les réseaux qui ont pourtant été "sécurisés" par ces entreprises parce qu'elles ne donnent pas à leurs salariés la possibilité ou la chance de rester au top des techniques.
<Kitetoa> Vous pensez que des entreprises françaises courent des risques? Je veux dire que si l'une des plus grosses entreprises éditrices de logiciels peut être piratée, de nombreuses entreprises dans notre pays courent sans doute un risque.
<NeonSurge> Les réseaux français???
<NeonSurge> Quel
est le nom de cette école d'informatique française???
<Kitetoa> L'Epita?
<NeonSurge> Oui
<NeonSurge> Cela m'a pris 3 heures pour être maître de l'Epita
<NeonSurge> Vous pouvez écrire ça dans l'interview.
<NeonSurge> Ils
sont ouverts, il y a un bon trou de sécurité. Je ne veux pas parler de ce trou de
sécurité parce qu'il ne l'ont pas encore "bouché".
<Kitetoa> Pourriez-vous être un peu plus précis quand vous dites "Cela m'a pris 3 heures pour être maître de l'Epita". Qu'est-ce que "être maître" veut dire?
<NeonSurge> Que j'étais dans leur
réseau
<NeonSurge> Cela n'a pas impliqué d'autres membres de Rhino9... Au
cas où l'Epita prendrait cela mal.
<NeonSurge> Mais
j'ai pu entrer là sans trop de difficultés
<Kitetoa> ok
<Kitetoa> Les administrateurs des sites Web de presse devraient considérer la sécurité de leurs données comme une chose essentielle, comme le font les banques. Leurs données sont aussi sensibles que celles des banques si elles devaient être modifiées.
<NeonSurge> Les gens dans le domaine de la presse abordent le problème de la sécurité comme un "sujet d'articles", il ne s'y intéressent pas sérieusement.
<Kitetoa> Mais c'est ça le coeur de l'InfoWar dont on parle tant.
<NeonSurge> L'InfoWar existe aux US a
un faible niveau. Ce que je veux dire, c'est que la menace est là, mais notre
réponse/protection contre ça est minime.
<NeonSurge> L0pht
ne mentait pas quand ils disaient qu'ils pouvaient faire tomber Internet
<Kitetoa> Vous croyez L0pht quand ils disent qu'ils peuvent faire tomber le Net?
<NeonSurge> Absolument
<Kitetoa> Vous avez besoin d'une forte puissance informatique pour faire ça...
<NeonSurge> Ce n'est pas très
difficile à faire... Ce qui est triste d'ailleurs...
<NeonSurge> C'est bien plus facile à faire que ce que l'on peut
croire...
<NeonSurge> Mais
ce que les gens ne réalisent pas à propos d'Internet, c'est qu'il y a quelques backbones
qui supportent le Net... Ca, pas mal de monde le sait, ce que les gens ne savent pas,
c'est combien il est facile de faire tomber ces backbones...
<Kitetoa> Quoi qu'il en soit, je reste persuadé qu'il est plus intéressant de rentrer sur le serveur du New York Times et de changer quelques données de façon à ce que personne ne s'en rende compte que de faire tomber le Net.
<NeonSurge> Rentrer dans le site du
New York Times n'est rien comparé à ce qui ferait tomber le Net
<NeonSurge> Sans le Net, le site du New York Times n'existe plus...
<NeonSurge> Ni
aucun business en ligne aux Etats-Unis.... Ce qui représente quelques milliards de
dollars en commerce électronique...
<Kitetoa> Hum
<NeonSurge> Et je ne parle même pas
du Département de la Défense (DoD) et des ordinateurs du gouvernement (GOV) qui sont
toujours connectés au Net.
<NeonSurge> Si
vous faites tomber ne serait-ce qu'un seul des principaux INet Backbones, vous mettez à
mal le système.
La traduction est aussi fiable que possible... Merci a Bodhidarm pour son aide initiale ainsi qu'à Muzik pour sa relecture.