Le social engineering
L'ingénierie sociale, ou social engineering en anglais, n’est pas à proprement parler une technique d’attaque. Il s’agit plutôt d’une méthode de persuasion permettant d’obtenir des informations auprès de personnes exerçant des postes clés. Aucune compétence technique n’est nécessaire. Le principe n’est pas de cibler des failles techniques, mais des failles humaines. L’imposture, le mensonge, la duperie sont les principaux leviers de l’ingénierie sociale. Un exemple : téléphoner à l’administrateur réseau, en se faisant pour une entreprise de sécurité, afin d’obtenir des informations précieuses sur le système mis en place. Tous le succès de l’opération réside dans le talent de persuasion du hacker. Kevin Mitnick, le plus célèbre des hackers, a réalisé plusieurs de ses exploits en exploitant simplement la crédulité d’employés des sociétés ciblées.
Le défaçage
Cette technique a pour but de modifier un site web en y insérant du contenu non consenti par son propriétaire. Le défaçage est utilisé principalement par des hackers militants qui souhaitent ainsi dénoncer les pratiques de certains gouvernements ou entreprises. Pour « défacer » le site, le hacker exploite le plus souvent une faille de sécurité du serveur web qui l’héberge. Elle peut par exemple être décelée au niveau du système d’exploitation du serveur. Ce type d’attaque est en général revendiquée, l’objectif étant de donner un maximum d’audience à ce détournement afin de décrédibiliser la cible. Parmi les récents défaçages, citons celui du site de Marine Le Pen, hacké en avril dernier. La page d’accueil affichait pendant quelques heures une photo d’une jeune femme coiffée d'un foulard accompagnée d’un message en arabe disant : « Le site a été hacké en réponse à la considération que vous avez pour la femme musulmane en France ». Après un retour à la normale, le site est une nouvelle fois défacé quelques heures après. La page d’accueil affichait cette fois avec une image promotionnelle des jeux « Mon Petit Poney ». En cliquant sur l’image, l’internaute était renvoyé vers la page « racisme » de Wikipedia.
Le déni de service distribué (DDoS)
Une attaque par déni de service distribué vise à saturer un service afin de le rendre inaccessible. Les cibles typiques de ce type d’attaque sont les serveurs web. Une fois saturés, ils vont rendre indisponible le ou les sites internet qu’ils hébergent. Initialement, le déni de service (DoS) était réalisé par un hacker isolé depuis une seule machine. Mais la technique a rapidement évoluée vers une attaque réalisée à partir d’un maximum de machines, d’ou l’appellation « distribué ». Ces machines « zombies » auront été préalablement infectées par du code malveillant transmis par exemple sous la forme d’un e-mail piégé. L’infection est le plus souvent effectuée en toute discrétion, sans effets visible sur le système. L’objectif du hacker est d’y installer, en toute discrétion, les outils nécessaires au lancement de la future attaque. Une fois son armée de machines zombies constituée, le hacker peut lancer une attaque simultanée depuis l’ensemble des ordinateurs corrompus. En face, le serveur va « tomber » sous le nombre de requêtes.
Le Buffer Overflow
Le principe d’une attaque par Buffer Overflow ou « dépassement de mémoire tampon », est de provoquer une défaillance dans un programme afin de le pousser à attaquer les protections d’un système. Un « buffer » est une zone de mémoire temporaire utilisée par un programme. Le dépassement de mémoire survient lorsque cet espace reçoit plus de données qu’il ne peut normalement en contenir. Résultat : le programme va bugger. Le hacker exploite alors ce bug pour faire exécuter du code malveillant au programme défaillant. Ce code aura par exemple pour mission de modifier la politique de sécurité du système et ainsi d’ouvrir des accès normalement protégés. Un des programmes typiquement ciblé par ce type d’attaque est le navigateur internet. La défaillance est provoquée en ouvrant un e-mail compromis ou en naviguant sur un site web piégé.
Louis Simon
En partenariat avec
Articles
