How to Dox Auteur : Intrusio Zine : Rafale #19 Définition de Dox (Urban Dictionary) : Informations personnelles sur une personne sur Internet, comprenant souvent le nom réel, les alias connus, l'adresse, le numéro de téléphone, le numéro de carte de crédit, etc. "Quelqu'un à lâché le dox de Bob et le jour d'après dix pizzas et 3 dépanneuses se sont présentées chez lui." Il vous est certainement déjà arrivé dans vos activités internet ou IRL d'avoir affaire à un pseudonyme ou une personne pour lequels vous auriez aimé avoir davantage d'informations. D'un autre point de vue, vous pouvez également avoir besoin, parfois, d'être anonyme. L'anonymat absolu n'est qu'une illusion et il est donc possible à partir d'un petit nombre d'informations, d'en retrouver davantage sur une personne et inversement, si vous souhaitez prétendre à l'anonymat, il y a des erreurs à ne pas commettre. Dans cet article, nous allons voir un certain nombre d'outils, de méthodes et d'exemples de dox qui une fois combinés devraient vous permettre de vous protéger ou de les utiliser à votre avantage. A quoi ça ressemble ? ****************** Pour illustrer cette partie, nous allons utiliser le cas de Sabu aussi connu sous le nom d'AnonymouSabu. Pour remettre dans le contexte, Sabu était un membre influent d'Anonymous et de LulzSec, il a été dox par d'autres Anonymous qui n'appréciaient pas sa manière de faire puis secrétement arrêté par le FBI qui en a fait une taupe pendant plusieurs mois. Alors pour voir à quoi ressemble une dox, voici ce qui avait été publié à son sujet plusieurs mois avant son arrestation et nous allons voir ensemble quelles sont les erreurs qu'il a commises : http://ceaxx.wordpress.com/uncovered/ On peut donc voir que cette dox, trés complète contient énormément d'informations qui ont été mises au grand jour en partant uniquement d'un pseudo : - Nom complet - Autres pseudos utilisés - Origines - Adresses présente et passées - Liens familiaux - Comptes internet - Son CV officiel et son CV de Hacker - Adresses mail - Sites internet - Photos - Captures d'écran de ses anciens sites internet ou messages sur des forums Les erreurs ********* 1) Selon moi, sa première erreur est de n'avoir eu qu'une seule identité principale sur Internet. Lorsque l'on souhaite débuter une nouvelle activité anonymement (pour lui ça aurait été le moment où il a décidé de rejoindre Anonymous) il est indispensable de se créer une nouvelle identité : nouveau pseudo, nouvelle adresse mail ... En cherchant son pseudo sur Google, il a donc été possible aux doxers de trouver pas mal d'infos à son sujet. 2) Sa deuxième erreur fut d'utiliser les mêmes ressources pour ses activités perso et ses activités de hacking. Pendant le hack de l'entreprise HBGary (qui avait menacé de publier une liste d'Anonymous), Sabu avait à priori associé son compte Google Apps for Business personnel au nom de domaine de l'entreprise ciblée. Et lorsqu'il a souhaité copier/coller sur IRC les informations d'authentification du site hacké, il s'est trompé de ligne et a copier/coller un de ses domaines perso comme on peut le voir sur le log IRC suivant : 15:24 <&Sabu> url: https://www.google.com/a/prvt.org 15:24 <&Sabu> user: reseller 15:24 <&Sabu> pass: random 15:24 <&Sabu> if you do get to login 15:24 <&Sabu> click on "manage domain" 15:24 <&Sabu> reset their passwords 15:24 <&Sabu> and leak new emails 15:24 <&Sabu> ROFLOLFROLOFLORLFRL 15:25 <&Sabu> oops 15:25 <&Sabu> wrong domain 15:25 <&Sabu> https://www.google.com/a/hbgary.com 15:25 <&Sabu> there you go 15:26 <@Nessuno834> no deal 15:26 <@Topiary> Does not work, sadface Malheureusement pour lui, des doxers étaient présent sur le chan, ils ont analysé l'historique de ce nom de domaine (prvt.org) et bien qu'il était anonymisé, ils ont trouvé une période de quelques heures (entre 2 renouvellements) où le nom réel de Sabu apparaissait sur le Whois. Il aurait pû éviter celà en prenant la précaution de mieux séparer ses activités persos et illicites. 3) Finalement, sa dernière erreur, la plus bête selon moi et qui reprend un peu la leçon du point précédent fut d'associer son adresse mail personnelle en adresse de secours sur GMail. Son adresse de Hacker était Compromise@gmail.com. Un des doxers a eu la brillante idée de lancer une récupération de mot de passe sur Gmail et a été gratifié par un message du style : Votre nouveau mot de passe a été envoyé sur votre adresse de secours : X*************R@gmail.com En effet, Gmail ne donne que le premier, le dernier et le nombre de caractères de l'adresse de secours mais quand vous avez une idée de l'identité de la personne, si vous n'êtes pas trop mauvais en mots flêchés, vous pouvez avoir confirmation d'une identité. Encore une fois, il aurait pû éviter ça en cloisonnant mieux ses mails persos et ceux liés à son activité de pirate. Les outils ******** Dans la dox d'illustration, on peut voir différents outils ou services utilisés. Nous allons ici essayer de les lister. - Google Avant tout autre utilisation d'outils ou de services, dès que vous avez une nouvelle information sur votre cible, il faut la croiser ou la chercher à l'aide de Google ! Aussi utile pour ses recherches que pour son cache, Google est le meilleur ami du doxer. - Services mail Ils peuvent permettre via la récupération de mot de passe de connaitre l'adresse de secours d'une personne. Si vous parvenez à correspondre avec la personne (à vous de trouver le motif succeptible de la faire répondre), vous pouvez également obtenir des informations dans l'entête du mail (nom saisi dans le client de messagerie, adresse IP) - Whois Si votre cible possède un nom de domaine, le whois pourrait vous donner un bon nombre d'informations à son sujet (Nom, adresse, Tél ...). De plus en plus de registars proposent toutefois d'anonymiser ces informations. Il peut alors être utile d'avoir recours à des services de "Whois History" pour voir si ces informations ont toujours été cachées. - Wayback Machine Ce service permet de retrouver l'état d'un site web comme il était dans le passé. Ainsi, si un site a disparu, si des pages ont été supprimées ou modifiées, il est toujours possible de les consulter ! Contrairement au cache de Google, il est également possible de choisir la date pour laquelle on souhaite consulter le site. Il existe d'autres méthodes et d'autres outils qui n'ont pas été utilisés dans la dox d'illustration : - La recherche d'images Le principe est le même que pour une recherche Google classique mais au lieu de saisir des mots clés, vous soumettez une photo et le moteur de recherche vous donne soit tous les endroits où elle est utilisée, soit des photos similaires. Ca peut donc être extremement utile pour mettre un nom sur une photo. Mais ça marche également pour les images. Je me souviens d'une personne qui avait été dox car elle avait mis une image en papier peint sur son compte Twitter et la recherche d'image sur ce fichier retournait uniquement 2 résultats : Twitter et un site web d'un gars qui avait les même compétences techniques que la cible. BINGO ! - Les annuaires (inversés) Inutile de s'éterniser là dessus, si vous avez un nom ou un numéro de tél, vous trouvez l'info manquante qui correspond. - Les réseaux sociaux Mine d'or pour retrouver des amis mais aussi pour retrouver des infos. Facebook permet de lister pas mal d'infos personnelles donc si elles ne sont pas protégées, il est facile à partir d'une de ces infos de remonter jusqu'à un nom. - Les métadonnées Certainement la plus vicieuse des méthodes. En effet, quand on partage des photos, on envoie pas mal d'infos avec. Vous souvenez vous de cet Anonymous (encore !) AnonW0rmer qui defaçait des sites et à la fin de son message laissait une photo d'une paire de seins avec dessus écrit "PwNd by w0rmer" ? Manque de chance pour lui, sa petite amie qui s'était ainsi prise en photo depuis son iphone avait par la même occasion inséré ses corrdonnées GPS dans les métadonnées de la photo. Il n'a pas fallu longtemps au FBI pour remonter la piste. Les métadonnées donnent beaucoup d'information telles que les coordonées GPS (si possible), la marque de l'appareil, la date de prise de vue, le numéro de série de l'appareil (si possible) ... D'ailleurs, en parlant de ce numéro de série, il existe des sites (ex http://www.stolencamerafinder.com/) qui permettent de retrouver toutes les photos sur internet qui ont été prises avec le même appareil. Encore un moyen pour vous de retrouver l'identité d'une personne si d'un coté elle vous envoie la photo d'une demande de rançon et de l'autre poste des photos de vacances avec le même appareil ! - Les forums / blogs Les personnes donnent des tonnes d'informations sur elles-même sans s'en rendre compte, pour votre plus grand bonheur. - Paypal Si vous avez l'adresse mail d'une personne mais pas son nom, faites lui un paiement d'un centime sur Paypal, vous recevrez alors un mail avec toutes ses infos ! - Les site à la Pastebin Sur ces sites fourre-tout, les gens copient/collent un peu tout et n'importe quoi. Certains pirates les utilisent également pour publier les résultats de leurs hacks. Pourquoi vous casser la tête à chercher des infos sur une personne si quelqu'un l'a déjà fait pour vous ! Le site https://canary.pw vous facilite le travail et recherche pour vous sur tous les sites à la Pastebin. - Les mots de passe C'est assez tordu mais ça m'est déjà arrivé une fois de réussir à récupérer le mot de passe d'une cible sur un forum pauvrement sécurisé. Malheureusement pour moi elle n'avait pas contribué à ce forum et je ne pouvais donc rien en tirer. Par contre, en cherchant sur Pastebin, je suis tombé sur un dump de base de données d'un forum similaire où le hash de ce même mot de passe apparaissait associé à un autre pseudonyme et une autre adresse mail. Bien que cette personne avait changé de mot de passe depuis et donc que je ne pouvais rien compromettre avec celui-ci, j'ai pû en tirer un nouveau pseudonyme qui m'a mené jusqu'à son identité. - Les pièges Il m'est déjà également arrivé de savoir qu'une personne n'utilisait pas de VPN et de vouloir son IP. J'ai donc créé un petit script PHP qui une fois visité, m'envoie par mail l'adresse IP de la personne qui l'a lancé. Je n'avais plus qu'à faire en sorte que la cible visite ce fichier. Ce ne fut pas difficile, j'ai caché l'URL grace à bit.ly et je l'ai contacté par message privé sur un forum avec un message que j'étais sûr qu'elle serait interessée. En une fraction de seconde, aprés avoir logué son IP, le script la redirige vers l'article pour laquelle je l'avais contactée, c'est invisible. Une demie journée aprés, j'avais son IP. Ce type de piège implique que vous initiez un contact avec la cible, il faut juste être conscient que ça peut être à double tranchant. Le site http://www.whatstheirip.com propose un script semblable à celui évoqué ici. Methodologie *********** Il existe des outils de mind mapping qui permettent de faciliter le travail de doxing. Personnellement, un bon vieux bloc note me suffit. Ensuite, en fonction des données en entrée, j'utilise l'un ou l'autre des outils énoncés plus haut et en fonction des données que je récolte, ça me donne de nouveaux point d'entrée pour d'autres recherches. C'est un travail long et fastidieux car avec cette méthode, la masse de données à traiter est exponentielle. C'est souvent le bon sens qui vous guidera dans vos recherches. Si vous arrivez à déterminer que votre cible utilise le pseudo Kevin46800 ou Lolita1983, vous devez supposer que Kévin habite à Montcuq et que Lolita est née en 1983. Il faut éviter d'entrer en contact avec sa cible mais si vous devez le faire, des notions d'ingénierie sociale ne seront qu'un plus. Protection ********* Comme pour la sécurité informatique, si vous savez comment retrouver quelqu'un, vous savez également comment faire en sorte d'être intraçable. Le point le plus important à retenir est de bien cloisonner vos identités perso/pro et vos identités "anonymes". J'ai lu que l'auto-proclamé Hacker Patriote US Th3j35t3r utilise 2 machines différentes pour ses activités perso et de Hacking, c'est peut être la solution mais ça n'empêchera jamais personne d'avoir la flemme d'ouvrir sa boite mail sur le bon ordi et donc de compromettre une de ses identités. Et pour terminer, selon moi, l'une des méthodes les plus redoutables contre le doxing est la désinformation ! Si vous êtes un hacker père de famille de 35 ans dans le 77 et que vous souhaitez gardez l'anonymat, faites vous appeler Lolita46800_1999. |