Pourquoi est-il difficile d'attraper "Anonymous" ou "Lulzsec" (groupes)?

Question

view on stackexchange narkive permalink

Je ne connais pas la sécurité, et si je l'étais, je ne poserais probablement pas cette question. En tant que fidèle adepte de l'actualité technologique, je suis vraiment surpris par l ' indignation de Anonymous (groupe de hackers), mais en tant que penseur critique, je suis incapable de contrôler ma curiosité pour découvrir comment exactement ils font cela? Franchement, ce groupe me fait vraiment peur.

Une chose que je ne comprends pas, c'est comment ils n'ont pas encore été attrapés. Leurs adresses IP devraient être traçables lorsqu'ils DDOS, même s'ils les usurpent ou passent par un proxy.

• Le serveur avec lequel ils usurpent devrait avoir enregistré les adresses IP de ces gars dans ses journaux. Si le gouv. demandez à la société (à qui appartient le serveur) de ne pas donner les journaux?
• Même s'il s'agit d'un serveur privé appartenant à ces gars-là, l'IANA (ou quelle que soit l'organisation) n'a-t-elle pas l'adresse de la carte de crédit & du type qui a acheté & a enregistré le serveur?
• Même s'ils ne l'ont pas, les FAI ne peuvent-ils pas remonter à l'origine de ces paquets?

Je sais, si c'était aussi simple que je l'ai dit, le gouvernement les aurait déjà attrapés. Alors, comment peuvent-ils exactement s'échapper?

PS: Si vous pensez qu'il y a des ressources qui pourraient m'éclairer, je serai heureux de les lire.

[Mise à jour - cela est également approprié lorsque vous vous référez à la Groupe Lulzsec, nous avons donc ajouté un lien rapide vers la page Wikipédia à leur sujet]

Answer 1

view on stackexchange narkive permalink

Ma réponse renvoie à la question initiale. Qu'est-ce qui vous fait penser qu'ils ne se font pas prendre?

La CIA et le DoD ont trouvé Oussama Ben Laden.

Les moyens typiques incluent OSINT, TECHINT et HUMINT. La criminalistique peut être effectuée sur Tor. Les outils de suppression sécurisée tels que sdelete, BCWipe et DBAN ne sont pas parfaits. Les outils de chiffrement tels que GPG et Truecrypt ne sont pas parfaits.

Les communications en ligne étaient peut-être la plus grande force d'Oussama ben Laden (il avait des courriers qui se rendaient dans des cyber-cafés éloignés en utilisant des e-mails sur des clés USB) et Anonymous / LulzSec's la plus grande faiblesse. Ils utilisent généralement IRC non chiffré. Vous pensez qu'ils utiliseraient au moins OTR via Tor avec un proxy SSL vers le (s) serveur (s) de communication IM au lieu d'un trafic en texte clair via un nœud de sortie.

Leur utilisation commune d'utilitaires tels que Havij et sqlmap pourrait certainement se retourner contre vous. Il existe peut-être une vulnérabilité côté client dans la machine virtuelle Python. Il y a peut-être un débordement de tampon côté client dans Havij. Peut-être y a-t-il des portes dérobées dans l'un ou l'autre.

En raison de la nature politique de ces groupes, il y aura des problèmes internes. J'ai vu récemment des informations selon lesquelles 1 pirate informatique sur 4 est des informateurs pour le FBI.

Il n'est pas "difficile" d '"attraper" qui que ce soit. Une autre personne sur ces forums m'a suggéré de regarder une vidéo d'une présentation Defcon où le présentateur traque un escroc nigérian en utilisant les capacités de transformation avancées de Maltego. Les capacités OSINT de Maltego et du i2 Group Analyst's Notebook sont assez illimitées. Un petit indice; une petite erreur OPSEC - et un renversement se produit: le chasseur est maintenant chassé.

Answer 2

view on stackexchange narkive permalink

D'après une certaine expérience des forces de l'ordre et de la criminalistique, je peux dire que l'un des plus gros problèmes est que les FAI ne veulent vraiment pas avoir à suivre les utilisateurs. Une fois qu'ils ont dépassé un certain niveau de gestion, ils perdent le statut de «transporteur public» et deviennent responsables d'une grande partie de ce que leurs clients peuvent faire.

De plus, de nombreux pays ne souhaitent pas transmettre d'informations à un autre pays - en particulier les pays qui peuvent être opposés à la culture occidentale ou à l'ingérence occidentale.

Et il est extrêmement facile de cacher presque tout sur Internet.

Concernant vos trois points:

• Le serveur doit avoir des adresses IP - Non - c'est simple à usurper ou à effacer
• Serveur privé - Peu probable, bien que possible - mais ce ne serait pas leur carte de crédit utilisée
• Trace du FAI - Cela n'arrivera pas - cela n'affecte pas négativement le FAI, et c'est beaucoup trop difficile

mise à jour Cela peut arriver après tout - http://blogs.forbes.com/andygreenberg/2011/03/18/ex-anonymous-hackers-plan- à-des-groupes-membres /

Answer 3

view on stackexchange narkive permalink

L'un des aspects les plus importants d'une attaque comme celle-ci est de couvrir vos traces. Il existe de nombreuses façons de procéder, car cela dépend de la technologie. Pour répondre à vos questions spécifiques:

Lorsqu'ils DDoS: Si le déluge provenait de leurs propres machines, alors il serait assez facile de les suivre. Le problème réside dans le fait qu'ils n'utilisent pas leurs propres machines. Il s'agit soit a) de prendre le contrôle de quelqu'un d'autre sans permission, soit b) de demander à quelqu'un de le faire en son nom. C'est ce qui s'est passé avec les attaques de Wikileaks. Les gens se sont inscrits pour le faire.

Les choses commencent à devenir bizarres lorsque les serveurs se trouvent dans des pays qui ne répondent généralement pas aux demandes de journaux. Si l'entreprise attaquée se trouve aux États-Unis, il est assez facile d'obtenir une ordonnance du tribunal s'il est prouvé que l'attaque est originaire des États-Unis. Que se passe-t-il s'il s'agit d'une cible américaine, mais que l'attaque est originaire de Russie ou de Chine? La même chose vaut pour l'achat de disques.

Pour ce qui est de la peur ... il y a pas mal de groupes de ce genre là-bas. La plupart d'entre eux sont (je ne veux pas dire inoffensifs, mais ...) inoffensifs. Dans ce cas particulier, quelqu'un a poussé l'ours et l'ours s'est énervé.

EDIT: Non pas que je pardonne leurs actions, bla bla bla.

Answer 4

view on stackexchange narkive permalink

En plus des réponses qui ont déjà été données, une autre raison pour laquelle il est si difficile d'attraper anonyme est que anonyme peut être n'importe qui, littéralement. Je veux dire cela de deux manières. Premièrement, les pirates peuvent utiliser une combinaison de logiciels malveillants, de logiciels espions et de bots pour accéder et utiliser / boucler les ordinateurs d'autres personnes partout dans le monde; ainsi, faire de n'importe quel ordinateur, en théorie, un point à partir duquel anonyme peut travailler. Deuxièmement, fidèle au nom anonyme , tout pirate informatique, où qu'il soit, utilisant n'importe quelle méthode ou style, utilisant n'importe quel modèle d'activité aléatoire, peut lancer son attaque et se qualifier de anonyme . Ainsi, il est extrêmement difficile pour un gouvernement / une autorité de suivre l'activité par modèle, style ou signature, car elle change toujours en raison de la nature variée des attaques puisqu'elle peut, comme je l'ai déjà dit, provenir littéralement de n'importe qui.

Essentiellement,

Anonymous n'est pas une personne ... Anonymous n'est pas un groupe ...

Anonymous est n'importe où et partout ... Anonymous peut être tout le monde ou personne ...

Malheureusement, c'est la nature, le caractère unique, et le génie du nom.

Answer 5

view on stackexchange narkive permalink

Il existe de NOMBREUSES façons pour un hacker de couvrir ses traces.

Voici un exemple très général:

Un hacker peut compromettre une machine tierce et l'utiliser pour le faire attaques contre les pirates informatiques. Comme le système est compromis, le pirate peut supprimer / modifier les journaux. Un pirate peut également se connecter à des machines, telles que, se connecter à la machine A, de la machine A se connecter à la machine B, de la machine B se connecter à la machine C, de la machine C attaquer la machine D, puis nettoyer les journaux pour les machines C, B, puis A rendant le suivi du pirate plus difficile.

Cela ne prend même pas en compte les comptes Internet piratés (donc même s'ils sont tracés, ils pointent vers une personne différente), les proxies ouverts, etc. etc. etc.

Je sais que ce qui précède n'est pas parfait, mais comme je l'ai dit, c'est juste un exemple TRÈS TRÈS général. Il existe de nombreuses façons de couvrir vos pistes.

Cela dit, ce qui vous rend si sûr que certaines agences de 3 lettres ne savent pas déjà qui sont bon nombre d'entre elles, mais ne faites rien pour elles. que ces individus peuvent les conduire vers d'autres?

Je suis sûr que d'autres interviendront qui pourront vous expliquer plus en détail, mais je pense que l'ultime leçon à tirer est de moins vous préoccuper de pirates et de groupes de hackers spécifiques , et plus encore avec votre propre sécurité. Le fait que leur dernière prétention à la renommée provienne de quelque chose comme TRIVIAL à corriger comme une vulnérabilité d'injection SQL (ce qui n'est pas nouveau, très bien documenté et compris) est un énorme discrédit pour la «firme de sécurité» anonyme qui a été piratée. coup de gueule

Answer 6

view on stackexchange narkive permalink

Eh bien, j'ai répondu à certains messages ci-dessus qui contenaient des informations incorrectes, mais j'ai pensé que je devrais simplement poster ma propre réponse pour mieux expliquer.

Anonymous est composé de deux sous-groupes:

Skiddies (script kiddies) et débutants qui n'ont que les connaissances les plus élémentaires en matière de sécurité, et s'assoient simplement dans leur IRC et sont essentiellement les pwns de l'attaque. Ce sont les gens que le FBI faisait tomber à leurs portes.

Un leadership de base anonyme, un groupe avec des connaissances en matière de piratage et qui appartenait à hbgary, mais qui a également appartenu récemment à une équipe de hack ninja. Vous ne pourrez pas suivre ce sous-groupe à moins que vous ne soyez un gourou de la sécurité.

Comment cachent-ils leurs traces?

Comme un précédent répondant mentionné,

1. Via des serveurs proxy comme Tor
2. en compromettant des boîtes et en lançant des attaques à partir de ces boîtes (se faisant essentiellement passer pour l'adresse IP de cette personne), ou
3. en utilisant un VPN situé dans un pays étranger et ne conservant aucun journal. Avec le VPN, tout votre trafic est relayé à travers lui, donc partout où vous vous connectez, il ne peut que retracer l'addé IP vers le VPN lui-même et pas plus loin (à moins que le VPN garde des journaux, auquel cas vous ne devriez pas l'utiliser de toute façon).

J'espère que cela aidera à clarifier un peu.

Answer 7

view on stackexchange narkive permalink

Le problème avec un DDoS est que vous utilisez les adresses IP d'autres , pas les vôtres. Il est relativement simple de devenir introuvable sur Internet - acheminez simplement votre trafic via un hôte qui ne conserve pas les journaux de trafic. En tant que personne qui doit souvent essayer de retrouver ces personnes, je peux vous dire à quel point c'est un cauchemar impossible. Voici le modèle que je vois fréquemment:

1. Sélectionnez un exploit relativement récent dans un progiciel Web (par exemple, l'extension joomla).
2. Utilisez Google pour trouver une cible d'attaque suffisamment vulnérable
3. Depuis un endroit qui ne peut pas être retracé jusqu'à vous (par exemple un café), exécutez l'attaque pour prendre le contrôle du serveur vulnérable, mais ne faites rien d'autre qui attirerait l'attention sur vous. (points bonus, corrigez la vulnérabilité pour que personne ne vienne derrière vous). Supprimez tous les journaux susceptibles de remonter à votre emplacement présumé.
4. Répétez ce qui précède en relayant votre trafic via le serveur précédemment compromis. Répétez plusieurs fois jusqu'à ce que vous supprimiez plusieurs étapes de la machine qui se comportera comme votre proxy. Idéalement, ces serveurs devraient être situés dans des pays comme la Chine, l’Inde, le Brésil, le Mexique, etc., où les techniciens des centres de données ont tendance à être peu coopératifs en matière d’enquête, et devraient tous être situés dans différents pays pour créer une juridiction et cauchemars de communication pour les personnes qui essaient de vous suivre.

Félicitations, vous êtes désormais anonyme sur Internet. C'est un peu comme Tor, sauf qu'aucun des nœuds ne sait qu'il participe. Habituellement, ces attaquants installent et utilisent des portes dérobées sur des serveurs pour lesquels aucun journal ou enregistrement n'est conservé (car la porte dérobée n'existe probablement pas). Une fois que l'attaquant se déconnecte, ce lien devient définitivement introuvable.

Un saut diminue considérablement vos chances de détection. Deux sauts rendent la détection presque impossible. Trois sauts et ça n'en vaut même pas la peine.

Answer 8

view on stackexchange narkive permalink

Vous devriez peut-être lire ce PDF. Ils ne sont pas si anonymes. L'outil LOIC utilisé pour DDOS, fuit l'adresse IP d'origine de la personne qui l'utilise. Vous pouvez utiliser la version navigateur (JavaScript) du même outil, peut-être en vous cachant derrière Tor.

HBGary Federal a exposé leurs noms et adresses dans ce PDF. C'est pourquoi ils ont attaqué son site, ses e-mails, essuyé son iPad, repris son twitter etc .... Cherchez le hashtag #hbgary sur Twitter pour plus d'informations à ce sujet.

Answer 9

view on stackexchange narkive permalink

Plusieurs articles traitent des difficultés techniques à trouver les personnes derrière ces groupes. Il n'est pas du tout facile de revenir sur leur activité en utilisant de nombreuses machines pour créer un sentiment d'anonymat.

Un autre aspect très important est que la police, les communautés de renseignement du monde entier et la législation des différents comtés ne le sont pas. vraiment construit pour gérer ces situations. Donc, si vous trouvez un serveur dans un pays qui a été utilisé pour accéder à un serveur dans un autre pays, il faut trop de temps pour passer par les canaux appropriés pour amener la police locale à obtenir les informations. Même si vous le faites, les informations telles que les journaux ne sont pas toujours conservées pendant de plus longues périodes.

Il est facile de naviguer illégalement sur Internet, mais beaucoup plus lent de naviguer sur Internet de manière légale. C'est un facteur très prohibitif lorsque vous essayez de trouver ces groupes.

Answer 10

view on stackexchange narkive permalink

Voici un article posant (et répondant) précisément à cette question du site Scientific American publié ce mois-ci. La réponse courte à la question est l'usurpation d'adresses sources et l'utilisation de proxies.

Answer 11

view on stackexchange narkive permalink

Il y a une chose qui n'a pas encore été mentionnée: le facteur humain.

Ces groupes n'ont pas de hiérarchie en tant que telle, mais se forment autour d'un ensemble d'idées. La plupart du temps, la seule idée en commun est "les gouvernements ont tort, nous devons rendre justice en piratant", ce qui est probablement un sentiment qui ne fait que se renforcer, avec la pression actuelle exercée par le gouvernement américain (lui-même sous la pression des entreprises). dans d'autres pays en dessous des couvertures pour adopter des lois draconiennes contre la liberté d'expression qui pourraient nuire aux entreprises susmentionnées.

Donc, le grand appel ici, en particulier par Anonymous, est que si vous avez les connaissances et détestez le gouvernement (qui pas?), vous pouvez les rejoindre par vous-même et à vos risques et périls.

Afin de voir d'où vient cette réflexion, je recommande le roman de film / bande dessinée "V pour Vendetta", dont ils ont pris ce masque que vous voyez si souvent.

Certains groupes , bien sûr, ont des intentions beaucoup moins héroïques. LulzSec était "tout pour le lulz".

L'essentiel est que oui, ils pourraient avoir quelques membres de chaque groupe, mais d'autres apparaîtront.

Answer 12

view on stackexchange narkive permalink

Les pirates peuvent être attrapés, les anonymes ne le peuvent pas. Anonymous est un collectif tellement perdant qu'il n'est pas matériellement blessé par les forces de l'ordre qui frappent ses pirates individuels. Cependant, il réagit violemment contre toute organisation qui tente de le faire. Cela signifie

• Il est très difficile de frapper Anonymous simplement en attrapant ses membres.
• Anonymous rendra la vie difficile à quiconque essaie.

Tout ce que Anonymous a à faire est de continuer à ne «pas valoir la peine» de s'en prendre à ses membres en masse et il continuera à être gratuit. Cependant, ils jouent un jeu dangereux. Si le public décide jamais qu'ils sont une nuisance suffisante, alors il vaudra tout à coup le coût de traquer et d'attraper ses membres, endurant les contre-hacks d'Anonyme au fur et à mesure.