Introduction à la méthodologie de l’Open Source Intelligence (OSINT)
Vos données sont-elles compromises ? HaveIBeenPwned ouvre son code source et promet une nouvelle ère de transparence et de collaboration dans la lutte contre les violations de données.
Suite à un projet de mise en vente en juin 2019 et un abandon de ce projet après 10 mois de recherche infructueuse en mars 2020, Troy Hunt, créateur de la plateforme HaveIBeenPwned a décidé de rendre le code source libre, permettant ainsi à la communauté de pouvoir collaborer à ce projet qui semble être devenu trop gros pour être administré par un seul homme. Mais reprenons au commencement.
Qu’est-ce que HaveIBeenPwned ?
HaveIBeenPwned est un site bien connu dans la sphère IT. C’est à la fin de l’année 2013, que l’expert en sécurité informatique Troy Hunt, lance la plateforme, qui depuis, recense les fuites de données personnelles et permet aux utilisateurs de déterminer s’ils sont concernés.
Un simple champ à remplir avec son adresse email, et l’on sait directement si des données personnelles ont fuités (notamment les mot de passe associés à ces adresses mails) et via quelle fuite de données.
A l’époque, cette plateforme avait le statut de pionnière dans la discipline. Depuis, plein d’autres organismes offre un service similaire : Firefox Monitor, Avast, F-Secure, etc.
Il est désormais de plus en plus facile de nos jours, de trouver des informations sur une personne. Que ce soit via les réseaux sociaux (professionnels ou personnels), les sites d’informations, les bases de données publiques ou celles commerciales. Trouver des informations telles qu’une adresse, des liens familiaux, des idées politiques sont choses aisés. Et c’est tout l’enjeux de l’OSINT.
Qu’est-ce que l’OSINT ?
L’OSINT (OpenSource INTelligence) est une technique de renseignement se basant sur la récupération d’informations librement accessibles. Il s’agit donc d’utiliser comme sources, toutes celles citées précédemment et bien d’autres encore, afin d’obtenir un maximum d’informations sur une personne ou sur une société.
Pour beaucoup d’attaques informatiques, il s’agit d’une première étape. En effet, lorsqu’une personne souhaite s’en prendre à une société spécifique, elle commence d’abord par se renseigner dessus afin de connaître les technologies en place ou les utilisateurs sensibles qui pourront être visés par une campagne de phishing, par exemple.
Est-ce que l'OSINT est légal ?
Il existe une multitude d’attaques dont la criticité et la discrétion augmentent proportionnellement au volume d’informations récupérées.
La fraude au président est une arnaque courante où un cybercriminel se fait passer pour un dirigeant d’entreprise afin d’inciter un employé à effectuer un virement bancaire urgent. L’escroc renforce la crédibilité de sa démarche en utilisant des informations internes à l’entreprise, comme le nom d’un client important ou le nom de l’employé ciblé. Ces détails rendent la demande plus réaliste et diminuent la vigilance de la victime, qui est alors plus susceptible de se conformer aux instructions frauduleuses.
Le même exemple peut être fait avec du « spear phishing ». Cousin du bien connu « phishing », il se démarque de ce dernier par l’unicité de sa cible.
Ainsi, plus l’attaquant connaîtra d’informations sur l’entreprise, plus cette attaque sera réaliste et dangereuse. Nul n’est besoin de préciser à quel point la sensibilisation sur ces sujets auprès des collaborateurs est importante.
C’est pour cela que dans cet article seront présentés quelques outils d’OSINT qui vous permettront d’initier vos collaborateurs aux dangers de laisser des informations librement accessibles.
Quels sont les outils d'OSINT gratuits les plus utilisés ?
Nous avons déjà vu en introduction HaveIBeenPwned, qui se base donc sur les fuites de bases de données librement accessibles pour qui sait chercher. D’ailleurs, on peut noter que la plateforme ne communique pas le mot de passe associé à l’adresse, mais certaines plateformes, notamment sur le Dark Web, elles, le font. Cette technique d’analyse où l’OSINT est utilisée permet d’obtenir des informations sensibles. Il est important de souligner que cette technique n’est pas sans risque.
Shodan
Shodan, créé en 2009, est un moteur de recherche spécialisé. Contrairement à Google qui indexe les sites web, Shodan recherche les objets connectés à internet : serveurs, routeurs, caméras, imprimantes, etc.
Un exemple de recherche effectuée par Shodan :
Shodan révèle que certaines des caméras IP de petites boutiques sont accessibles en ligne. Ces caméras, souvent mal configurées, utilisent des mots de passe par défaut ou faibles. Cela permet un accès facile, exposant ces dispositifs à des utilisations malveillantes. Avec des IP disponibles publiquement, tous ces objets connectés représentent une porte d’entrée vers les entreprises.
Google Dorks
L’idée de pirater des caméras avec un compte Google peut sembler tirée par les cheveux, mais la réalité est plus nuancée. Google, le moteur de recherche le plus utilisé au monde, indexe plusieurs centaines de milliards de pages web par an (130 000 milliards en 2016) et fonctionne avec une syntaxe qui lui est propre. Ce sont les utilisations de cette syntaxe comme outils de hacking, une méthode qui exige une analyse poussée de son fonctionnement, que l’on appelle Google Dorks.
En les utilisant, il est possible d’obtenir des informations sensibles et des sources indexées qui ne devraient pas l’être, que ce soit pour une entreprise ou un particulier. On y trouve par exemple des accès à des fichiers de configurations serveurs, des documents divers et variés, ou encore une page d’authentification à des équipements réseaux, voire même, des parties sensibles d’un site web. Cette méthode souligne les vulnérabilités potentielles lorsqu’un site est mal configuré.
Une liste d’exemple de Google Dorks :
filetype:txt “License Key” : recherche de fichiers de clé de licence pour des logiciels
“‘username’ =>” + “‘password’ =>” ext:log : recherche de fichiers de logs contenant le couple login/mot de passe des utilisateurs.
intitle:”LaserJet” “Device status” “Supplies summary” : recherche d’imprimantes accessibles depuis internet
inurl:/login.rsp : recherche de caméras accessibles depuis internet
Il existe des centaines et des centaines de Google Dorks dont l’utilisation, bien que simple, peut se montrer très dangereuse pour les sociétés ciblées.
Maltego
Impossible de parler d’OSINT sans évoquer Maltego. Véritable mastodonte en ce qui concerne la collecte d’informations, enrichie par des renseignements de sources diversifiés, il s’agit d’un logiciel développé par la société Paterva. Cet outil, disponible en plusieurs versions, est devenu une pratique courante pour les analystes en cybersécurité.
Son objectif est d’optimiser au maximum la collecte d’informations. En effet, en quelques clics, le logiciel se met à effectuer les recherches à votre place, que ce soit sur les personnes, les entreprises, les services Web …
Une fois l’analyse terminée, l’outil génère un rapport détaillé, présentant les éléments détectés sous forme de graphique
Est-ce la solution miracle ? Pas entièrement. Si obtenir des résultats initiaux est simple, leur optimisation demande plus d’expérience. De plus, l’outil peut remonter des faux positifs, qu’il faudra traiter manuellement. Maltego est donc un logiciel puissant (surtout dans sa version payante) mais dont l’utilisation ne saurait se priver d’un minimum d’expérience et de prise en main.
Autre outils
Il existe une multitude d’outils pour l’OSINT et il est impossible de tous les évoqués dans cet article et encore moins d’en détailler le fonctionnement. Retrouvez ci-dessous, une liste non-exhaustive d’outils qu’il vous faudra découvrir par vous-même :
Eagle Eye : https://github.com/ThoughtfulDev/EagleEye
Harpoon : https://github.com/Te-k/harpoon
Lusha Metabigor : https://github.com/j3ssie/metabigor
TheHarvester : https://github.com/laramies/theHarvester
Tinfoleak : https://github.com/vaguileradiaz/tinfoleak
Toutatis : https://github.com/megadose/toutatis
Wyd : https://www.darknet.org.uk/2006/11/wyd-automated-password-profiling-tool/
Références
https://www.maltego.com/tags/maltego-ce/
https://www.exploit-db.com/google-hacking-database
https://www.shodan.io/
https://connect.ed-diamond.com/MISC/MISC-104/Methodologie-d-OSINT-orientee-reseaux-sociaux
https://www.troyhunt.com/project-svalbard-the-future-of-have-i-been-pwned/
Retrouvez la practice Sécurité Opérationnelle : https://www.synetis.com/expertises/securite-operationnelle/
![Lire la suite à propos de l’article [Contribution] Multiples vulnérabilités XSS chez Cisco](https://www.synetis.com/wp-content/uploads/2015/11/logo_cisco.png){kind=logo}
