Hacking Windows Live - script kiddies en puissance ?

[Arjofocolovi]

Bonsoir à tous.

Je suis bien conscient que ma crédibilité sera moyenne après un tel post, mais je prends le risque, je vais tenter d'être le plus clair possible. Je précise que mon post n'est pas fait pour savoir hacker quoi que ce soit. Je ne cherche aucun nom de logiciel, technique, ou outil permettant un hack quelconque. Je cherche juste à prouver ou non son existence, point final.

Je vais être obligé de raconter des trucs inintéressants en soi, mais c'est nécessaire pour expliquer la chose et éviter qu'on me prenne pour un pauvre Kevin qui souhaite juste devenir un hacker de la mort qui tue sans se fatiguer.

J'ai reçu un appel d'une fille paniquée dont les comptes Facebook et Windows Live ont été compromis (eh oui, encore une victime de l'abus de confiance).

Étant donné que le rustre avait déjà modifié le mot de passe, la question secrète, et l'adresse de secours, c'était trop tard pour contrer la man½uvre.

Accessoirement, je lui ai demandé si elle avait donné son mot de passe à quelqu'un, et il s’avéra qu'une personne seulement était susceptible de le connaître.

Je l'ai donc gentiment redirigé vers les pages de support respectives à Facebook et Windows Live, où il faut remplir un formulaire et attendre que le support la recontacte, et qu'il puisse déterminer ensuite si elle est bien la propriétaire du compte.

Là où ça devient intéressant, c'est qu'elle me rappelle plus tard pour me dire que la même personne qui connaissait peut-être son mot de passe avait nié totalement être l'auteur du hack. Cependant, il avait accepté de l'aider, et a piraté son compte Windows Live compromis pour ensuite lui redonner le mot de passe...

Étrange quand même... Surtout que la question secrète et le mail de secours avaient été changés par le rustre à la base...

Je lui fais part de mes soupçons, mais elle m'affirme qu'il lui avait déjà montré auparavant qu'il pouvait pirater le compte Windows Live de qui il voulait, grâce à un outil spécial...

Même si je doute fort que ce soit possible, je souhaiterait savoir si l'un de vous a entendu parler où vu à l’½uvre une telle technique ? Je le précise pour les trolls précoces, mon but n'est absolument pas de savoir ce qu'est cet outil, ni comment l'obtenir. Cela ne me serait d'aucune utilité.

Je souhaite seulement savoir si une telle chose est faisable, car même si la compétence de Microsoft niveau sécurité est discutable, un outil de script kiddie qui permette de récupérer le mot de passe de n'importe quel compte Windows Live, ça aurait dû faire du bruit...

Remarquez que j'ignore si cela passe par un logiciel ou un site web ou quoi que ce soit d'autre, mais bon quand même, la chose m'intrigue fortement. La seule chose que je sais, c'est que c'est forcément une solution clef en main pas trop complexe à mettre en place, car la personne qui est supposé l'avoir utilisé n'est qu'un simple utilisateur de base, et a une machine tout ce qu'il y a de plus classique.

Si qui que ce soit a déjà entendu parler d'un tel fait, je le remercie de prendre le temps de me répondre. Encore une fois, les détails de cet outil ou comment le récupérer, je m'en cogne, la seule chose que je veux savoir, c'est si une telle chose est possible, rien de plus.

Merci à tous de votre compréhension, et du temps que vous prendrez pour me répondre.

Cordialement,

Anti

[Killator]

Salut Anti,

Pas de soucis sur ta démarche, les questions que tu poses sont claires et compréhensibles... (On va quand même garder un oeil sur le topic )

Perso, je ne suis plus vraiment à jour des "outillages" disponibles dans le domaine du Warez et du hack... Mais il y a très longtemps, j'ai moi même utilisé un plugin intrusif et non-officiel à installer sur le client MSN Messenger qui te permettait de réaliser certaines commandes sur les ordis des contacts présents dans ta liste... Bref, pour l'utilisateur lambda, ne pas accepter n'importe qui suffisait à t'en protéger (sauf qu'en tu avais un pote bidouilleur de l'internet 1.0 dans tes contacts)

Mais de là à pirater n'importe quel compte wLive ou Facebook d'un simple clic, ou presque... Moi je suis septique quand même... Ya forcément un petit malin qui s'en serait venté publiquement

Par contre, que la personne que tu soupçonnes se soit arrangé pour placer un keylogueur ou un trojan avec backdoor sur l'ordi de la demoiselle, ça j'y crois déjà bcp plus...

Dans tous les cas, pour ces pratiques:

[tsubasaleguedin]

Si la personne a un acces physique a la machine, c'est tres simple de voler un compte msn, il existe pleins d'outils ( attention au virus aussi ) qui sont capable de lire les clef de registre wlm et de sortir le compte/mdp en clair.

Par contre sans acces physique ( ou sans un trojan) a la machine, sans social hacking je vois pas ... pour moi impossible.

[Killator]

Si la personne a un acces physique a la machine[...]

Oui, c'est vrai, encore plus simple... Et pas besoin de poser des heures derrière le clavier, un échange quelconque par clef USB suffit

[RaphAstronome]

Pour le premier hack il est très possible que la question secrète est été trouvé ou le PC compromis.

Pour le second par contre (la récupération) ce n'est possible que si la personne qui vous à aidé peut avoir accès à la machine du hacker ou le connaisse suffisamment pour caser la question secrète.

Autre possibilité c'est tout simplement Microsoft/FaceBook qui aurait rétabli les anciens paramètres suite à la demande qui t'a été faite.

[Invité]

Oui mais dans le cas précis c'est un mensonge. a moins que le p mot de passe soit stocké dans l'ordi il avait répondu à la question secrete de la fille et avait pris le contrôle du compte ; a ensuite fait croire à je ne sais pas trop quoi pour le reprendre.

Le hack des comptes de messagerie MSN est une légende urbaine, sinon ça ne serait pas le premier fournisseur de messagerie au monde.

Concernant la compétence sécurité de Microsoft, il faut écouter un peut ce que raconte la scène (milieu des hackers) et tu auras une autre vision des choses sur la question : il faut également arreter de croire que Windows NT (donc XP Vista server 7 etc.) sont au niveau de l'âge de pierre comme windows 95 ou 98 lors de l'apparition d'internet : il s'agissait de système d'exploitation non prévu à cet effet donc vulnérables.

Après je ne dis pas qu'il y'a de faille mais il faut voir aussi le type de faille corrigé par rapport à la concurrence et en combie de temps .

Pour ce qui est des scripts kiddies c'est une arnaque connue de longue date où la personne paie pour avoir un virus.

C'est bien pour faire rêver les gosses de 6ème : tu lance un pti logiciel et pouf il te sors le mot de passe de n'importe quel compte.

Donc pour moi : question secrète (tu as cas aller à l'option récupération secrete d'un de ses compte tu verras ce qu'elle a mis ça ne doit pas être triste : date de naissance, lieu de naissance un truc du genre.

[fabien29200]

Je m'y connais plus en matière de sécurité que de hacking, mais je vérifierai plusieurs choses :

- le mot de passe en question (est-il dans des dictionnaires ??)

- les questions secrètes du compte

- scan du pc

Eventuellement, remettre tout ça d'aplomb (réinstallation, changement de mot de passe (réellement secret) et de questions secrètes) et on verra si il accède toujours au compte

[Invité]

Pour l'attaque dico c'est impossible, à la 10ème tentative ta un captcha

[Arjofocolovi]

Merci à tous pour votre réponse.

Non le mec que je soupçonne n'avait pas d'accès physique au moment des faits, mais il aurait pu l'avoir de nombreuses fois avant les faits, et assez facilement. Mais le logiciel dont il parlait était censé pouvoir agir à distance.

Personnellement je le soupçonne d'être la même personne qui a fait le premier hack, mais comme je ne peux pas le prouver j'aurais voulu savoir si son excuse tenait la route.

Mais bon apparemment comme je le pensais, personne n'a entendu parler d'un outil aussi puissant que ce qu'il décrivait, et pour cause, je doute fortement qu'il ait existé ou existe un jour...

Pour moi il est revenu sur sa décision quand il a vu que les soupçons pouvaient le cibler et s'est fait passer pour le sauveur de la situation...

Après pour faire son premier hack, soit il connaissait effectivement le mot de passe, facile, soit il connaissait la question secrète (Le nom du premier animal de compagnie), ce qui est aussi plausible vu la relation assez proche qu'il y a eu entre la victime et le suspect.

En tous les cas je remercie tous ceux qui ont pris le temps de répondre, si d'autres personnes tombent sur ce topic et ont entendu parler d'un outil similaire à ce que j'ai décrit, merci de laisser votre témoignage :).

@philosomatika

J'ai juste dit que leur compétence était discutable, pas que c'était des incompétents. Je sais qu'ils sont très actifs niveau sécurité, obligés qu'ils sont par leur monopole, mais cela ne veut pas dire qu'ils abordent ça correctement. Et lorsque tu dis Windows NT je crois que tu oublie un peu vite Win 2000, qui est un vrai trou à lui seul rien que dans sa conception, et Windows XP, dont le nombre de failles de sécurité qui ont dû être corrigées dépasse l'entendement, certes, c'est l'OS qui était le plus utilisé, donc le plus susceptible d'être la cible d'attaques, mais Microsoft savait déjà qu'ils avaient un monopole, ils auraient dû le concevoir autrement. Après pour 7, au moins niveau sécurité, de ce que j'ai vu jusque là c'est pas trop mal, mais ce n'est pas vraiment comparable vu le % d'utilisation par nombre d'années.

[Invité]

Je ne vais pas entrer dans ce débat quand bien même je suis un polémiste invétéré

Mais clairement il a eu le mot de passe où la question secrete et après a essayé de se faire mousser :)

[AHP_Nils]

Je souhaite seulement savoir si une telle chose est faisable, car même si la compétence de Microsoft niveau sécurité est discutable, un outil de script kiddie qui permette de récupérer le mot de passe de n'importe quel compte Windows Live, ça aurait dû faire du bruit...Remarquez que j'ignore si cela passe par un logiciel ou un site web ou quoi que ce soit d'autre, mais bon quand même, la chose m'intrigue fortement. La seule chose que je sais, c'est que c'est forcément une solution clef en main pas trop complexe à mettre en place, car la personne qui est supposé l'avoir utilisé n'est qu'un simple utilisateur de base, et a une machine tout ce qu'il y a de plus classique.

Si la personne a un acces physique a la machine[...]

Oui, c'est vrai, encore plus simple... Et pas besoin de poser des heures derrière le clavier, un échange quelconque par clef USB suffit

Hello,

j'ai eu l'occasion d'expérimenter quelque chose d'assez similaire il y a quelques années. Une techno venait de sortir, et se nommait U3. Le principe : une clé USB avec le logiciel U3 bénéficie d'un autorun windows comme celui d'un CD-ROM (et pas celui d'une clé USB classique), et permet donc dès l'insertion de la clé d'exécuter des programmes en arrière-plan. Même si la clé n'est pas U3, l'autorun peut fonctionner avec un petit bouton OK, donc il suffit d'insérer la clé quand la personne ne regarde pas et les programmes se lancent.

J'ai donc créé moi-même une de ces clés USB (à but totalement didactique, bien entendu). J'ai été en mesure, à l'insertion de celle-ci, d'obtenir beaucoup d'informations, comme : les numéros de série/licence de Windows, IE (oui il y en a un, mais probablement lié à Windows), Office, d'éventuels produits Adobe et autres outils commerciaux bien connus, des mots de passe MSN Messenger entre autres, probablement des cookies IE et Firefox aussi... La clé désactivait même l'antivirus et pouvait lancer un scan de port sur les machines du réseau local ! La seule obligation : l'utilisateur a les droits administrateur, mais c'est le cas de nombreuses machines, pour ne pas dire toutes. J'avais testé sous Windows XP à l'époque (2006/2007 si je me souviens bien).

Avec de plus en plus de systèmes de mémorisation de mots de passe, de conservation de session, récupérer les cookies de session et les mots de passe enregistrés dans le navigateur est facilement possible, c'est donc l'une des voies qu'a pu emprunter le "script kiddy" dont on parle. Si celui-ci est du genre à assister les gens, il a pu installer un keylogger ou voir le mot de passe lors de la création du compte, assis à côté de la demoiselle en détresse. On peut aussi tabler sur le manque de jugeotte de la demoiselle : question trop facile, réponse donnée à quelqu'un sans s'en rendre compte. Pour la petite histoire, une voisine m'a donné le mot de passe de son compte Gmail sans sourciller et en totale confiance, sans même que je lui demande

[Arjofocolovi]

@ AHP_Nils

Merci de ta réponse. En effet ce type de logiciel j'en avais déjà eu un aperçu avant, mais cela nécessite un accès à la machine de la victime, ou alors au moins à une machine du réseau de la victime.

Or au moment des faits le suspect en question n'avait rien de cela. Il était tranquillement chez lui, sur un PC probablement encore infecté (j'étais intervenu une fois chez lui, c'était la catastrophe sans nom, mais ils ne voulaient pas faire de backup et tout réinstaller donc bon...), et il aurait sois-disant "hacké" un compte Windows Live sans rien connaître d'autre que l'adresse mail...

Il y a cependant du nouveau. J'ai pu en savoir un peu plus sur ce que le suspect est censé pouvoir faire dans le domaine du hack. La victime m'a dis qu'il pouvait se connecter à son compte facebook depuis un certain temps (le suspect et la victime se connaissent depuis un moment), et que même si elle changeait le mot de passe sans lui dire, il réussissait quand même à se connecter à son compte facebook ensuite sans problème... Par contre, mis à part le fait qu'il connaisse potentiellement le mot de passe du compte, elle n'a jamais constaté son intrusion sur Windows Live.

Le fait est qu'elle utilise le même mot de passe pour Facebook et Windows Live.

Ma supposition était donc qu'il utilise son compte mail pour retrouver le mot de passe Facebook que la victime avait changé, mais ça ne colle pas, car Facebook ne renvoie pas le mot de passe changé par mail, il est saisi par la personne en direct sur le site et c'est tout.

J'ai aussi pensé à une redirection des messages vers une autre adresse mais l'option n'est pas activée dans le compte de la victime... Et même dans ce cas, je ne pense pas que Windows Live donne le nouveau mot de passe en clair par mail non plus

Je n'arrive pas à comprendre comment ce qu'elle me décrit peut être possible. A moins d'un programme qui établit une connexion avec sa machine, qui va ensuite choper les mots de passe enregistrés par le navigateur, et qui les rapatrie vers la machine du suspect, mais un machin comme ça, ya qu'un hacker costaud qui pourrait le pondre et l'utiliser... Et puis ça ferait du bruit une telle vulnérabilité dans Facebook ou Windows Live, ça ne serait pas passé inaperçu...

J'ai donc tenté un truc à deux francs. J'ai demandé à la victime de faire croire au suspect qui s'est fait passer pour son sauveur qu'un pervers la harcèle depuis une adresse bidon que j'ai créé et dont moi seul connaît le mot de passe. Ça ne permettra pas forcément de savoir comment il fait, mais au moins de savoir si il dit la vérité, et si il peut réellement "hacker" n'importe quel compte Windows Live ou Facebook...

On verra bien ce que ça donne...

[refuznik]

Mouais avant toute chose, j'aurais commencé à déviruser la machine de la victime avec un petit Malwarebytes mis à jour.

J'ai eu deux comptes windows live d'amis corrompus cette année à cause de bétises récupérés.

Secundo, ce que j'ai surtout constaté c'est que les comptes piratés ne le sont pas pour rien, ils envoient généralement du spams à leurs contacts et de sliens corrompus.

Donc si la il n'y a rien eu et que le compte à été corrompus pour rien ou juste faire peur à la victime, je porterais mes soupçons comme toi sur cette personne tiers. Et sur la mauvaie blague du 1er de l'an.

Surtout qu'il n'existe pas de soft tout près pour corrompre de compte en ligne facebook ou window, ça se saurait et il n'y aurait pas grand monde dessus.

[AHP_Nils]

@ AHP_Nils

Merci de ta réponse. En effet ce type de logiciel j'en avais déjà eu un aperçu avant, mais cela nécessite un accès à la machine de la victime, ou alors au moins à une machine du réseau de la victime.

Il suffit d'avoir un accès physique une fois. On peut via la clé installer un keylogger bien configuré.

Il y a cependant du nouveau. J'ai pu en savoir un peu plus sur ce que le suspect est censé pouvoir faire dans le domaine du hack. La victime m'a dis qu'il pouvait se connecter à son compte facebook depuis un certain temps (le suspect et la victime se connaissent depuis un moment), et que même si elle changeait le mot de passe sans lui dire, il réussissait quand même à se connecter à son compte facebook ensuite sans problème...

Ca me fait penser à l'option "Keep me logged in" au login de Facebook.

Le fait est qu'elle utilise le même mot de passe pour Facebook et Windows Live.

Euh, comment dire ?

Ma supposition était donc qu'il utilise son compte mail pour retrouver le mot de passe Facebook que la victime avait changé, mais ça ne colle pas, car Facebook ne renvoie pas le mot de passe changé par mail, il est saisi par la personne en direct sur le site et c'est tout.

Ca peut coller si Facebook renvoie par mail un lien pour changer son mot de passe, il suffit d'intercepter le mail et de l'effacer avant que la victime l'ait vu. Je viens aussi de jeter un oeil, on peut spécifier plusieurs adresses mail dans son Facebook.

Je n'arrive pas à comprendre comment ce qu'elle me décrit peut être possible. A moins d'un programme qui établit une connexion avec sa machine, qui va ensuite choper les mots de passe enregistrés par le navigateur, et qui les rapatrie vers la machine du suspect, mais un machin comme ça, ya qu'un hacker costaud qui pourrait le pondre et l'utiliser... Et puis ça ferait du bruit une telle vulnérabilité dans Facebook ou Windows Live, ça ne serait pas passé inaperçu...

Je crois que certains keyloggers sont capables d'envoyer leur contenu sur un serveur FTP ou par mail...

J'ai donc tenté un truc à deux francs. J'ai demandé à la victime de faire croire au suspect qui s'est fait passer pour son sauveur qu'un pervers la harcèle depuis une adresse bidon que j'ai créé et dont moi seul connaît le mot de passe. Ça ne permettra pas forcément de savoir comment il fait, mais au moins de savoir si il dit la vérité, et si il peut réellement "hacker" n'importe quel compte Windows Live ou Facebook...

On verra bien ce que ça donne...

Je ne sais pas si cela est une excellente idée, mais bon, pourquoi pas. Je ne sais pas pour Windows Live, mais dans le cas de Facebook il y a des options de sécurité intéressantes, comme la notification des logins par mail, l'approbation des logins depuis des endroits "inconnus", la reconnaissance des machines qui se connectent et il est même possible depuis la page des options de sécurité de voir les sessions actives (je ne connais pas les intitulés en VF, j'utilise Facebook en Leet Speak). D'expérience, j'apprécie les notifications et la reconnaissance des machines qui se connectent. Je n'ai par contre pas mis en place l'approbation des logins, car elle réclame d'entrer son numéro de téléphone pour un code par SMS.

[Arjofocolovi]

Mouais avant toute chose, j'aurais commencé à déviruser la machine de la victime avec un petit Malwarebytes mis à jour.

J'aurais fait pareil si j'avais pu xD. Tout le n½ud du problème vient du fait que je ne peux pas accéder à la machine de la victime pour faire un chti nettoyage, et ce pendant un bon moment je pense.

Je suis tenté de lui donner mes instructions à distance, mais il y a trop d'inconnues quand ce sont les utilisateurs qui se dépannent, et ça va la souler rapidement. Je vais peut-être lui proposer une PMAD, on verra si elle est d'accord, ça fait toujours un peu peur aux gens ça.

Secundo, ce que j'ai surtout constaté c'est que les comptes piratés ne le sont pas pour rien, ils envoient généralement du spams à leurs contacts et de sliens corrompus.

Donc si la il n'y a rien eu et que le compte à été corrompus pour rien ou juste faire peur à la victime, je porterais mes soupçons comme toi sur cette personne tiers. Et sur la mauvaie blague du 1er de l'an.

Vi, j'ai eu le même raisonnement que toi, et c'est bien pour ça que je le soupçonne, le compte n'a servi à rien. Aucune donnée supprimée ou publiée, le compte facebook a été désactivé, point barre. Idem pour le compte mail, sans désactivation ^^.

Il suffit d'avoir un accès physique une fois. On peut via la clé installer un keylogger bien configuré.

Vi, la possibilité d'un keylogger a été envisagé, mais encore une fois, il faudrait que je puisse mettre mes mimines sur la machine pour pouvoir faire un état des lieux au moins.

Ca me fait penser à l'option "Keep me logged in" au login de Facebook.

Oui mais non, car la session Facebook fini forcément par expirer. D'ici là il faut qu'il ait trouvé un moyen de récupérer le mot de passe.

Euh, comment dire ?

Eh vi, tel est le règne de la facilité.

Ca peut coller si Facebook renvoie par mail un lien pour changer son mot de passe, il suffit d'intercepter le mail et de l'effacer avant que la victime l'ait vu. Je viens aussi de jeter un oeil, on peut spécifier plusieurs adresses mail dans son Facebook.

Oui, ça c'est facile à faire quand tu veux garder le compte pour toi. Mais quand tu veux connaître le mot de passe que la personne vient de changer, ça ne fonctionne pas, car il faut bien qu'elle puisse accéder au lien pour pouvoir le changer, et si elle y accède, tu ne peux plus savoir ce qu'elle a mis, sauf keylogger.

Je ne sais pas si cela est une excellente idée, mais bon, pourquoi pas.

Pourquoi donc ? Ça ne peut pas faire de mal je pense, et ça m'éviteras de chercher des keyloggers où il n'y en a pas, en admettant que je puisse un jour vérifier...

Je ne sais pas pour Windows Live, mais dans le cas de Facebook il y a des options de sécurité intéressantes, comme la notification des logins par mail, l'approbation des logins depuis des endroits "inconnus", la reconnaissance des machines qui se connectent et il est même possible depuis la page des options de sécurité de voir les sessions actives (je ne connais pas les intitulés en VF, j'utilise Facebook en Leet Speak). D'expérience, j'apprécie les notifications et la reconnaissance des machines qui se connectent. Je n'ai par contre pas mis en place l'approbation des logins, car elle réclame d'entrer son numéro de téléphone pour un code par SMS.

Vi, je connais pas tout ce qui est possible de faire avec, mais je meurs d'envie de voir les paramètres de sécurité de son compte facebook (ne serait-ce que pour voir si le mec n'a pas utilisé des paramètres à son avantage), mais ça risque d'être difficile de convaincre la demoiselle. On verra bien.

Pour info je ne suis pas son dépanneur attitré (heureusement ^^), elle me connais à peine.

[beankylla]

Un accès physique à la machine est tout à fait superflu. Si les deux personnes se connaissent l'une peut faire installer à l'autre le logiciel nécessaire. Un simple "-tiens installe ça" suffit la plupart du temps. Je dis ça parce que j'utilise souvent des logiciels pour faire du soutien informatique à distance... je fais installer un logiciel de contrôle à distance... et ensuite j'ai accès au pc quand je veux, du moment qu'il est allumé...

[Arjofocolovi]

Oui, et comme il a eu accès à la machine au moins une fois, c'est à supposer, mais je ne peux pas encore me pencher sur la question.

Merci d'avoir répondu.

Prochaine étape, aller sur la machine victime ^^.

[Killator]

Vivement l'autopsie !

[AHP_Nils]

Je suis tout aussi impatient que toi !