Les sites Web piratés ne sont plus seulement utilisés pour héberger des logiciels malveillants. De plus en plus, ils sont équipés d’outils qui permettent aux malfaiteurs d’exploiter la puissance brute du serveur du site compromis pour des attaques visant à mettre d’autres sites hors ligne.
Il est depuis longtemps courant pour les pirates de sites Web de laisser derrière eux un « shell » basé sur le Web, un minuscule programme de « porte dérobée » qui leur permet d’ajouter, de supprimer et d’exécuter des fichiers sur un serveur compromis. Mais dans un nombre croissant de cambriolages de sites Web, les intrus laissent également derrière eux des outils simples appelés «booter shells», qui permettent aux malfaiteurs de lancer de futures attaques par déni de service sans avoir besoin de vastes réseaux d’ordinateurs zombies infectés.
La page de configuration d’absoboot.com
Selon prolexique, une société anti-DDoS avec laquelle je travaille depuis quelques semaines pour parer aux attaques sur mon site, avec des booter shells, les attaques DDoS peuvent être lancées plus facilement et peuvent causer plus de dégâts, avec beaucoup moins de machines. « Les serveurs Web ont généralement plus de 1 000 fois la capacité d’un poste de travail, offrant aux pirates un rendement beaucoup plus élevé de trafic malveillant avec l’ajout de chaque serveur Web infecté », a déclaré la société dans un récent consultatif.
La prolifération des coques d’amorçage a inévitablement conduit à des services en ligne qui permettent aux clients payants d’exploiter ces sites dérobés par des coques d’amorçage. Un de ces services est absoboot.comégalement joignable au www.twbooter.com. Tout le monde peut s’inscrire, approvisionner le compte avec Pay Pal ou l’une de plusieurs autres monnaies virtuelles, et commencez à attaquer. L’achat minimum via PayPal est de 15 $, ce qui vous permet d’acheter environ 5 heures pour maintenir un site en panne ou au moins attaqué.
Si vous préférez mettre hors ligne un internaute individuel plutôt qu’un site Web, absoBoot inclut un outil gratuit pratique qui permet aux utilisateurs de découvrir l’adresse IP de quelqu’un. Il vous suffit de sélectionner une image de votre choix (ou d’utiliser l’image présélectionnée) et d’envoyer à la cible un lien personnalisé spécifique à votre compte absoBoot. Le lien vers l’image est mappé sur un domaine conçu pour donner l’impression qu’il vous amène à imageshack.us ; une inspection plus approfondie du lien montre qu’il se termine en fait par « img501.ws » et enregistre l’adresse IP du destinataire s’il visualise l’image.
Lorsque j’ai examiné ce service, la case « statistiques du booter » indiquait qu’il avait plus de 450 utilisateurs enregistrés qui avaient utilisé le site pour lancer quelque 5 816 attaques DDoS. Je voulais en savoir plus sur le cerveau derrière cette offre, alors j’ai envoyé un message au propriétaire du site en cliquant sur le formulaire « contact » sur la page d’accueil. Je me suis identifié comme journaliste, mais j’ai reçu une courte réponse « pas intéressé ». La réponse est venue via l’adresse e-mail [email protected]qui portait le pseudonyme Robert Danielson qui lui est attribué.
Le profil d’Orgy sur les hackforums. Notez la référence bigkesh.com.
Les choses sont devenues un peu plus intéressantes lorsque j’ai cherché sur Google absoboot.com et découvert qu’il était promu sur hackforums.net par un utilisateur de 23 ans nommé « Orgy », qui prétendait être le propriétaire du service DDoS, et la personne responsable d’une société de conception de logiciels appelée BigKesh.
On ne sait pas quel type de logiciel BigKesh est impliqué dans la conception, mais les enregistrements WHOIS historiques de DomainTools me disent que le compte [email protected] est le titulaire du dossier pour Bigkesh.com et un autre domaine — bigke.sh. Les dossiers d’enregistrement du site Web pour ce dernier domaine indiquent qu’il a été enregistré il y a un an par un certain Robert Danielson, du 30 Tumbleweed Ct., Sumter, Caroline du Sud.
En outre, Google-fu m’a conduit à cet article dans Johnson City Press de juin 2011, qui disait qu’un homme (alors âgé de 22 ans) nommé Robert George Danielson à ce Tumbleweed Ct. address avait été arrêté et accusé d’une série de cambriolages d’automobiles et de maisons, y compris l’effraction au domicile d’un chef de la police locale au cours de laquelle des armes à feu avaient été volées. Danielson serait entré un plaidoyer d’Alford dans ce cas (un plaidoyer de culpabilité contenant une protestation d’innocence); l’état actuel de cette affaire n’est pas clair. Le 29 juin 2012, Danielson, 23 ans, a été arrêté encore une fois, cette fois près de Myrtle Beach et pour avoir conduit avec un permis suspendu.