How to Dox
Auteur : Intrusio
Zine : Rafale #19

Définition de Dox (Urban Dictionary) :
Informations personnelles sur une personne sur Internet, comprenant souvent le 
nom réel, les alias connus, l'adresse, le numéro de téléphone, le numéro de 
carte de crédit, etc.
"Quelqu'un à lâché le dox de Bob et le jour d'après dix pizzas et 3 dépanneuses 
se sont présentées chez lui."


Il vous est certainement déjà arrivé dans vos activités internet ou IRL d'avoir 
affaire à un pseudonyme ou une personne pour lequels vous auriez aimé avoir 
davantage d'informations. D'un autre point de vue, vous pouvez également avoir 
besoin, parfois, d'être anonyme. L'anonymat absolu n'est qu'une illusion et il 
est donc possible à partir d'un petit nombre d'informations, d'en retrouver 
davantage sur une personne et inversement, si vous souhaitez prétendre à 
l'anonymat, il y a des erreurs à ne pas commettre.

Dans cet article, nous allons voir un certain nombre d'outils, de méthodes et 
d'exemples de dox qui une fois combinés devraient vous permettre de vous 
protéger ou de les utiliser à votre avantage.


A quoi ça ressemble ? 
******************

Pour illustrer cette partie, nous allons utiliser le cas de Sabu aussi connu 
sous le nom d'AnonymouSabu. Pour remettre dans le contexte, Sabu était un 
membre influent d'Anonymous et de LulzSec, il a été dox par d'autres Anonymous 
qui n'appréciaient pas sa manière de faire puis secrétement arrêté par le FBI 
qui en a fait une taupe pendant plusieurs mois.

Alors pour voir à quoi ressemble une dox, voici ce qui avait été publié à son 
sujet plusieurs mois avant son arrestation et nous allons voir ensemble quelles 
sont les erreurs qu'il a commises :

http://ceaxx.wordpress.com/uncovered/

On peut donc voir que cette dox, trés complète contient énormément 
d'informations qui ont été mises au grand jour en partant uniquement d'un 
pseudo : - Nom complet - Autres pseudos utilisés - Origines - Adresses présente 
et passées - Liens familiaux - Comptes internet - Son CV officiel et son CV de 
Hacker - Adresses mail - Sites internet - Photos - Captures d'écran de ses 
anciens sites internet ou messages sur des forums



Les erreurs 
*********

1) Selon moi, sa première erreur est de n'avoir eu qu'une seule identité 
principale sur Internet. Lorsque l'on souhaite débuter une nouvelle activité 
anonymement (pour lui ça aurait été le moment où il a décidé de rejoindre 
Anonymous) il est indispensable de se créer une nouvelle identité : nouveau 
pseudo, nouvelle adresse mail ... En cherchant son pseudo sur Google, il a donc 
été possible aux doxers de trouver pas mal d'infos à son sujet.

2) Sa deuxième erreur fut d'utiliser les mêmes ressources pour ses activités 
perso et ses activités de hacking. Pendant le hack de l'entreprise HBGary (qui 
avait menacé de publier une liste d'Anonymous), Sabu avait à priori associé son 
compte Google Apps for Business personnel au nom de domaine de l'entreprise 
ciblée. Et lorsqu'il a souhaité copier/coller sur IRC les informations 
d'authentification du site hacké, il s'est trompé de ligne et a copier/coller 
un de ses domaines perso comme on peut le voir sur le log IRC suivant :

15:24 <&Sabu> url: https://www.google.com/a/prvt.org 
15:24 <&Sabu> user: reseller 
15:24 <&Sabu> pass: random 
15:24 <&Sabu> if you do get to login 
15:24 <&Sabu> click on "manage domain" 
15:24 <&Sabu> reset their passwords 
15:24 <&Sabu> and leak new emails 
15:24 <&Sabu> ROFLOLFROLOFLORLFRL 
15:25 <&Sabu> oops 
15:25 <&Sabu> wrong domain 
15:25 <&Sabu> https://www.google.com/a/hbgary.com 
15:25 <&Sabu> there you go 
15:26 <@Nessuno834> no deal 
15:26 <@Topiary> Does not work, sadface

Malheureusement pour lui, des doxers étaient présent sur le chan, ils ont 
analysé l'historique de ce nom de domaine (prvt.org) et bien qu'il était 
anonymisé, ils ont trouvé une période de quelques heures (entre 2 
renouvellements) où le nom réel de Sabu apparaissait sur le Whois.

Il aurait pû éviter celà en prenant la précaution de mieux séparer ses 
activités persos et illicites.

3) Finalement, sa dernière erreur, la plus bête selon moi et qui reprend un peu 
la leçon du point précédent fut d'associer son adresse mail personnelle en 
adresse de secours sur GMail. Son adresse de Hacker était Compromise@gmail.com. 
Un des doxers a eu la brillante idée de lancer une récupération de mot de passe 
sur Gmail et a été gratifié par un message du style : Votre nouveau mot de 
passe a été envoyé sur votre adresse de secours : X*************R@gmail.com En 
effet, Gmail ne donne que le premier, le dernier et le nombre de caractères  de 
l'adresse de secours mais quand vous avez une idée de l'identité de la 
personne, si vous n'êtes pas trop mauvais en mots flêchés, vous pouvez avoir 
confirmation d'une identité.

Encore une fois, il aurait pû éviter ça en cloisonnant mieux ses mails persos 
et ceux liés à son activité de pirate.



Les outils 
********

Dans la dox d'illustration, on peut voir différents outils ou services 
utilisés. Nous allons ici essayer de les lister.

- Google Avant tout autre utilisation d'outils ou de services, dès que vous 
avez une nouvelle information sur votre cible, il faut la croiser ou la 
chercher à l'aide de Google ! Aussi utile pour ses recherches que pour son 
cache, Google est le meilleur ami du doxer.

- Services mail Ils peuvent permettre via la récupération de mot de passe de 
connaitre l'adresse de secours d'une personne. Si vous parvenez à correspondre 
avec la personne (à vous de trouver le motif succeptible de la faire répondre), 
vous pouvez également obtenir des informations dans l'entête du mail (nom saisi 
dans le client de messagerie, adresse IP)

- Whois Si votre cible possède un nom de domaine, le whois pourrait vous donner 
un bon nombre d'informations à son sujet (Nom, adresse, Tél ...). De plus en 
plus de registars proposent toutefois d'anonymiser ces informations. Il peut 
alors être utile d'avoir recours à des services de "Whois History" pour voir si 
ces informations ont toujours été cachées.

- Wayback Machine Ce service permet de retrouver l'état d'un site web comme il 
était dans le passé. Ainsi, si un site a disparu, si des pages ont été 
supprimées ou modifiées, il est toujours possible de les consulter ! 
Contrairement au cache de Google, il est également possible de choisir la date 
pour laquelle on souhaite consulter le site.

Il existe d'autres méthodes et d'autres outils qui n'ont pas été utilisés dans 
la dox d'illustration :

- La recherche d'images Le principe est le même que pour une recherche Google 
classique mais au lieu de saisir des mots clés, vous soumettez une photo et le 
moteur de recherche vous donne soit tous les endroits où elle est utilisée, 
soit des photos similaires. Ca peut donc être extremement utile pour mettre un 
nom sur une photo. Mais ça marche également pour les images. Je me souviens 
d'une personne qui avait été dox car elle avait mis une image en papier peint 
sur son compte Twitter et la recherche d'image sur ce fichier retournait 
uniquement 2 résultats : Twitter et un site web d'un gars qui avait les même 
compétences techniques que la cible. BINGO !

- Les annuaires (inversés) Inutile de s'éterniser là dessus, si vous avez un 
nom ou un numéro de tél, vous trouvez l'info manquante qui correspond.

- Les réseaux sociaux Mine d'or pour retrouver des amis mais aussi pour 
retrouver des infos. Facebook permet de lister pas mal d'infos personnelles 
donc si elles ne sont pas protégées, il est facile à partir d'une de ces infos 
de remonter jusqu'à un nom.

- Les métadonnées Certainement la plus vicieuse des méthodes. En effet, quand 
on partage des photos, on envoie pas mal d'infos avec. Vous souvenez vous de 
cet Anonymous (encore !) AnonW0rmer qui defaçait des sites et à la fin de son 
message laissait une photo d'une paire de seins avec dessus écrit "PwNd by 
w0rmer" ? Manque de chance pour lui, sa petite amie qui s'était ainsi prise en 
photo depuis son iphone avait par la même occasion inséré ses corrdonnées GPS 
dans les métadonnées de la photo. Il n'a pas fallu longtemps au FBI pour 
remonter la piste. Les métadonnées donnent beaucoup d'information telles que 
les coordonées GPS (si possible), la marque de l'appareil, la date de prise de 
vue, le numéro de série de l'appareil (si possible) ... D'ailleurs, en parlant 
de ce numéro de série, il existe des sites (ex 
http://www.stolencamerafinder.com/) qui permettent de retrouver toutes les 
photos sur internet qui ont été prises avec le même appareil. Encore un moyen 
pour vous de retrouver l'identité d'une personne si d'un coté elle vous envoie 
la photo d'une demande de rançon et de l'autre poste des photos de vacances 
avec le même appareil !

 - Les forums / blogs
  Les personnes donnent des tonnes d'informations sur 
elles-même sans s'en rendre compte, pour votre plus grand bonheur.

 - Paypal
  Si vous avez l'adresse mail d'une personne mais pas son nom, faites 
lui un paiement d'un centime sur Paypal, vous recevrez alors un mail avec 
toutes ses infos !

 - Les site à la Pastebin
  Sur ces sites fourre-tout, les gens copient/collent 
un peu tout et n'importe quoi. Certains pirates les utilisent également pour 
publier les résultats de leurs hacks. Pourquoi vous casser la tête à chercher 
des infos sur une personne si quelqu'un l'a déjà fait pour vous ! Le site 
https://canary.pw vous facilite le travail et recherche pour vous sur tous les 
sites à la Pastebin.

 - Les mots de passe
  C'est assez tordu mais ça m'est déjà arrivé une fois de 
réussir à récupérer le mot de passe d'une cible sur un forum pauvrement 
sécurisé. Malheureusement pour moi elle n'avait pas contribué à ce forum et je 
ne pouvais donc rien en tirer. Par contre, en cherchant sur Pastebin, je suis 
tombé sur un dump de base de données d'un forum similaire où le hash de ce même 
mot de passe apparaissait associé à un autre pseudonyme et une autre adresse 
mail. Bien que cette personne avait changé de mot de passe depuis et donc que 
je ne pouvais rien compromettre avec celui-ci, j'ai pû en tirer un nouveau 
pseudonyme qui m'a mené jusqu'à son identité.

 - Les pièges Il m'est déjà également arrivé de savoir qu'une personne 
n'utilisait pas de VPN et de vouloir son IP. J'ai donc créé un petit script PHP 
qui une fois visité, m'envoie par mail l'adresse IP de la personne qui l'a 
lancé. Je n'avais plus qu'à faire en sorte que la cible visite ce fichier. Ce 
ne fut pas difficile, j'ai caché l'URL grace à bit.ly et je l'ai contacté par 
message privé sur un forum avec un message que j'étais sûr qu'elle serait 
interessée. En une fraction de seconde, aprés avoir logué son IP, le script la 
redirige vers l'article pour laquelle je l'avais contactée, c'est invisible. 
Une demie journée aprés, j'avais son IP. Ce type de piège implique que vous 
initiez un contact avec la cible, il faut juste être conscient que ça peut être 
à double tranchant. Le site http://www.whatstheirip.com propose un script 
semblable à celui évoqué ici.

 Methodologie
  
 ***********

 Il existe des outils de mind mapping qui permettent de faciliter le travail de 
doxing.
  Personnellement, un bon vieux bloc note me suffit.

 Ensuite, en fonction des données en entrée, j'utilise l'un ou l'autre des 
outils énoncés plus haut et en fonction des données que je récolte, ça me donne 
de nouveaux
  point d'entrée pour d'autres recherches. C'est un travail long et 
fastidieux car avec cette méthode, la masse de données à traiter est 
exponentielle. C'est souvent le bon sens qui vous guidera dans vos recherches. 
Si vous arrivez à déterminer que votre cible utilise le pseudo Kevin46800 ou 
Lolita1983, vous devez supposer que Kévin habite à Montcuq et que Lolita est 
née en 1983.

 Il faut éviter d'entrer en contact avec sa cible mais si vous devez le faire, 
des notions d'ingénierie sociale ne seront qu'un plus.

 
 Protection 
 *********

 Comme pour la sécurité informatique, si vous savez comment retrouver 
quelqu'un, vous savez également comment faire en sorte d'être intraçable.
  Le 
point le plus important à retenir est de bien cloisonner vos identités 
perso/pro et vos identités "anonymes". J'ai lu que l'auto-proclamé Hacker 
Patriote US Th3j35t3r utilise 2 machines différentes pour ses activités perso 
et de Hacking, c'est peut être la solution mais ça n'empêchera jamais personne 
d'avoir la flemme d'ouvrir sa boite mail sur le bon ordi et donc de 
compromettre une de ses identités.

 Et pour terminer, selon moi, l'une des méthodes les plus redoutables contre le 
doxing est la désinformation !
  Si vous êtes un hacker père de famille de 35 
ans dans le 77 et que vous souhaitez gardez l'anonymat, faites vous appeler 
Lolita46800_1999.