Des hackers créent un botnet avec des comptes Cloud gratuits

Jacques Cheminat,

Des spécialistes de la sécurité ont élaboré un botnet à partir de comptes Clouds gratuits. Avec ce réseau de VM zombies, ils ont pu générer pour 1750 dollars de Litecoin, une monnaie virtuelle.

Rob Ragan et Oscar Salazar sont deux chercheurs en sécurité et sont des habitués des grandes conférences de hacking. Pour le site Wired, ils ont un peu dévoilé leur prochaine intervention à la Black Hat qui se déroulera le mois prochain à Las Vegas. Ils ont réussi à créer un botnet d’une manière un peu particulière.

Il est constitué d’ordinateurs ou plus exactement de puissances de calcul souscrites auprès de fournisseurs de cloud. Mais les deux chercheurs n’ont rien déboursé du tout en utilisant systématiquement des comptes freemium ou en essayant de glaner des promotions. Oscar Salazar indique que « beaucoup de ces entreprises sont des startups qui tentent de recruter  un maximum d’utilisateurs le plus rapidement possible et elles ne pensent pas à se défendre contre ce type d’attaques ».  Au final, il résume son entreprise : « Nous avons simplement créé un supercaculateur gratuit. »

Une expérience pour la réflexion

Le botnet a été construit à l’aide d’outils gratuits comme Mandrill et FreeDNS.afraid.org pour le renseignement d’adresses e-mail valides, un programme personnalisé sur Google App Engine et Python Fabric pour gérer les scripts contrôlant des centaines d’instances clouds. Les comptes ont été créés auprès de près de 150 services clouds, mais aucun nom n’a été donné.

Cette création avait un objectif qui est la génération ou le mining de Litecoin, une monnaie virtuelle petite sœur du fameux Bitcoin. Avec leur réseau d’instances gratuites, les deux chercheurs expliquent qu’ils ont réussi à récupérer 1750 dollars en une semaine. Avec cette expérimentation, Rob Ragan et Oscar Salazar entendent montrer les risques de sécurité et les faiblesses juridiques des offres gratuites et promotionnelles des fournisseurs de cloud.

D’autres chercheurs, il y a quelques années, avaient utilisé les ressources du cloud pour casser des mots de passe ou des contenus chiffrés en utilisant la technique dite de force brute. Avec la puissance de calcul du cloud, ils étaient arrivés à de bons résultats pour un prix très bas.

A lire aussi :