Autopsie d’une attaque informatique des Anonymous

Sécurité - Des chercheurs en sécurité d’Imperva ont décortiqué une attaque échelonnée sur 25 jours lancée en 2011 par les Anonymous. Il ressort que les Anonymous se composent de hackers confirmés, en petit nombre, utilisant des outils conventionnels et de membres techniquement novices pour la phase de DDoS.
La société de sécurité Imperva s’est penchée sur le mode opératoire des Anonymous pour préparer et réaliser une attaque informatique. Pour procéder à cette autopsie, l’éditeur précise avoir analysé les logs d’une des cibles en 2011 des cyber-activistes.
De cette attaque qui s’est échelonnée sur 25 jours, les experts en sécurité d’Imperva tirent plusieurs enseignements et hypothèses. D’abord, les profils des Anonymous impliqués dans l’attaque. Deux grands profils sont ainsi identifiés : les hackers compétents, entre 10 et 15, et les participants novices, voire même sans compétences techniques.
Des attaques qui demandent de la préparation
Concernant ces hackers confirmés, l’étude relève qu’ils recourent à des méthodes de piratage dans l’ensemble conventionnelles. A noter néanmoins une particularité : la création d’outils spécifiques comme LOIC ou de sites servant à lancer des attaques en déni de services.
Ces outils sont destinés à l’autre catégorie d’Anonymous, qui sans maîtrise technique peuvent ainsi participer aux attaques en DDoS. Ces mêmes Anonymous sont recrutés par les premiers par l’intermédiaire de campagne, notamment sur les réseaux sociaux.
Quant aux 25 jours de l’attaque disséquée par Imperva, ils se décomposent en trois phases majeures. Du 1er au 18ème jour, les Anonymous se consacrent à la communication sur une attaque et au recrutement de membres/participants.
Du 19e au 22eme jour, les activistes entrent en phase de reconnaissance, analysant la cible, un site Web ici, avec comme finalité la découverte de vulnérabilités et leur exploitation. Pour cela, des logiciels conventionnels comme Acunetix sont mis à contribution. Des techniques et outils d’extraction de données sont également exploités.
Car, c’est ensuite, à défaut d’avoir pu dérober des données, que l’attaque passerait en phase trois selon les chercheurs en sécurité. Les 24 et 25e jours sont ainsi consacrés à une attaque en déni de service consistant à noyer la cible sous un afflux de trafic.

 

 

 

REF.: