La violation des données des archives Internet compromet les informations d’identification, un groupe de hacktivistes pro-palestiniens revendique le crédit de la campagne DDoS de suivi

Internet Archive a subi de lourdes attaques au cours de la semaine dernière, subissant à la fois une violation de données majeure et une série d’attaques DDoS puissantes qui l’ont mise hors ligne.

Un groupe de hackers connu s’est mobilisé pour revendiquer ce dernier comme un acte de « hacktivisme » en faveur de la Palestine, bien que ce groupe semble être nouveau dans son association avec la politique du Moyen-Orient. Des questions ont également été soulevées quant à savoir si la violation de données et les attaques DDoS impliquent plusieurs parties agissant de manière indépendante.

Internet Archive subit une chaîne d’attaques et les informations d’identification de Wayback Machine sont compromises

La violation de données concerne la « Wayback Machine » gérée par Internet Archive, un service gratuit qui archive des pages Web et qui a été plus utilisé que jamais ces dernières semaines lorsque Google a mis fin au service de mise en cache des pages de son moteur de recherche. Les pirates ont volé un fichier SQL utilisé pour l’authentification des utilisateurs, contenant quelque 31 millions d’entrées. Les noms d’utilisateur connectés aux adresses e-mail et aux mots de passe hachés ont été exposés, vraisemblablement pour tous les membres actuels et passés enregistrés du site.

La violation de données semble avoir eu lieu le 28 septembre, sur la base de l’horodatage des enregistrements volés. L’attaquant a partagé le fichier sur un forum clandestin et il a depuis été ajouté à la base de données « Have I Been Pwned » (HIBP). Ils ont également pris sur eux d’informer Internet Archive et ses utilisateurs de la compromission, en publiant une alerte JavaScript affirmant que le site « fonctionne sur des clés USB » et que les 31 millions d’enregistrements seraient bientôt ajoutés à HIBP.

Cette violation de données a été suivie d’une série d’attaques DDoS, dont le groupe « BlackMeta » n’a pas tardé à s’attribuer le mérite. Ce groupe a déjà attaqué un certain nombre de cibles différentes de la même manière : NSO Group (le créateur israélien du logiciel espion commercial Pegasus), Europol et la Banque nationale arabe, parmi elles. Les attaques qu’il associe à la politique pro-palestinienne ont eu lieu depuis août de cette année, et le groupe semble utiliser des services DDoS payants pour les lancer plutôt que sa propre infrastructure.

Internet Archive a confirmé la violation de données le 10 octobre et a déclaré qu’une première tentative DDoS avait été repoussée. Mais d’autres attaques DDoS ont eu lieu le lendemain, suffisamment graves pour maintenir les domaines archive.org et openlibrary.org hors ligne pendant une période de temps prolongée. L’attaque précédente de BlackMeta contre l’Arab National Bank a duré six jours, établissant un record de durée d’attaque DDoS.

Une violation de données laisse des questions sans réponse

Au moment d’écrire ces lignes, Internet Archive est de nouveau en ligne dans un format « provisoire » en lecture seule. Les utilisateurs ne peuvent pas télécharger de nouveau matériel ou utiliser la fonction « Enregistrer la page maintenant » pour archiver des instantanés des pages actuelles, et le fondateur Brewster Kahle a averti (via les mises à jour X) que le site nécessite encore une maintenance supplémentaire et pourrait connaître des suspensions temporaires en relation avec cela. .

Il n’est toujours pas clair s’il existe un lien direct entre la violation massive de données et les attaques DDoS qui ont suivi. BlackMeta, qui est connu uniquement pour ses singeries DDoS similaires dans l’histoire récente, n’a pas indiqué qu’il était à l’origine ou affilié aux enregistrements volés. L’affirmation du groupe selon laquelle il l’aurait fait en soutien à la Palestine fait écho à ses autres actions hacktivistes présumées au cours des deux derniers mois, mais sur X, il a spécifiquement déclaré que les archives Internet avaient été attaquées parce qu’elles « appartenaient aux États-Unis ». Si BlackMeta n’est pas le groupe qui a volé les informations d’identification de l’utilisateur, il semble que ce soit quelqu’un qui n’était pas non plus intéressé à profiter de l’attaque, car les données complètes ont été rendues publiques très peu de temps après l’incident.

C’est peu dire que le moment choisi pour une attaque aussi dommageable est inopportun pour Internet Archive. Lancé par Kahle dans le cadre d’un projet personnel il y a des années, il s’est développé pour englober quelque 866 milliards de pages Web, dont des dizaines de millions de livres et de vidéos. Dans certains cas, il s’agit de la seule source de documents Internet devenus indisponibles ailleurs, et il est particulièrement utile pour rechercher des articles qui ont été supprimés des sites médiatiques ou qui ont pu être modifiés sans notification.

Il est très peu probable que la violation de données et les attaques DDoS mettent fin à Internet Archive, mais le site a récemment été confronté à des menaces juridiques potentiellement existentielles. Il a récemment perdu un appel dans une affaire qui pourrait éliminer sa capacité à servir de bibliothèque virtuelle de prêt pour des livres encore protégés par le droit d’auteur, et un groupe de labels de musique l’a poursuivi en justice pour lui demander des centaines de millions de dollars sous des allégations selon lesquelles il aurait sciemment hébergeant leurs œuvres protégées.

Adam Brown, consultant en gestion chez Black Duck Software, note que même si Internet Archive est la source centrale mondiale de l’histoire d’Internet, elle ressemble néanmoins beaucoup plus à une petite entreprise en termes de posture et de capacité de sécurité : « La machine Wayback pourrait très bien fonctionner sur des bases métaphoriques. « bâtons » et en tant que petite entreprise, elle n’a peut-être pas le même niveau de sécurité que les grandes organisations, mais il existe ici certaines pratiques de sécurité qui ont contribué à limiter le rayon d’explosion. L’utilisation de Bcrypt par exemple, si elle est correctement mise en œuvre, empêchera l’extraction des mots de passe. Bcrypt est un mécanisme de hachage et bien que les hachages puissent être recherchés si des mots de passe courants sont utilisés, si le hachage est salé comme c’est le cas avec Bcrypt, cela empêche en grande partie l’utilisation de tables de recherche de hachage. Cependant, l’article ne précise pas comment la base de données SQL a été volée, nous pouvons donc supposer qu’il y a probablement des contrôles de sécurité manquants ou mal configurés autour de l’accès à celle-ci.