Vous êtes sans doute au courant des multiples piratages dont a été victime Sony et son service PSN durant ces dernières semaines. L'une des attaques a visé le site SonyPictures.com et a été orchestrée par le groupe de hackers Lulzsec. Ces derniers ont rendu public une partie des comptes et mots de passe dérobés, ce qui nous permet aujourd'hui de publier une petite analyse rapide sur ce sujet.

La publication de ces informations a eu lieu sous la forme d'une archive zip, envoyée sur le réseau Bittorent. Elle fait une taille de 4,66 Mo et après extraction, on trouve la présence de plusieurs fichiers texte.

L'un d'eux nous indique que le piratage a eu lieu par le biais d'une injection SQL à cette adresse, mais on n'en sait pas plus :

http://www.sonypictures.com/homevideo/ghostbusters/photoupload/view.php?id=12838

Les trois fichiers qui contiennent des mots de passe sont les suivants :

• Sony_Pictures_International_AUTOTRADER_USERS.txt
• Sony_Pictures_International_BEAUTY_USERS.txt
• Sony_Pictures_International_DELBOCA_USERS.txt

Pour plus de simplicité, on les renomme :

mv Sony_Pictures_International_AUTOTRADER_USERS.txt sony1
mv Sony_Pictures_International_BEAUTY_USERS sony2
mv Sony_Pictures_International_DELBOCA_USERS.txt sony3

Puis, on extrait les logins et passwords à coup de commandes bash :

$ cat sony1 | grep "0000-00-00" | awk -F'|' '{print $10" | "$9}' >> passwd
$ cat sony2 | grep " | " | grep -v "EMAIL" >> passwd
$ cat sony3 | grep " | " | grep -v "EMAIL" >> passwd

$ sort -u passwd > passwd2 && mv passwd2 passwd
$ wc -l passwd
36343

Nous sommes en présence de 36 343 mots de passe. Un bref coup d'œil au fichier et on se rend compte qu'ils ne sont même pas chiffrés.

On continue afin de savoir quels sont ceux qui sont les plus utilisés :

$ cat passwd | awk -F' | ' '{print $3}' | sort | uniq -c | sort -nr | head -n 20
108 seinfeld
96 password
75 123456
73 winner
44 purple
40 sweeps
36 contest
34 princess
32 maggie
30 9452
29 shadow
29 peanut
27 ginger
26 sunshine
26 buster
25 cookie
24 tigger
24 summer
24 michael
...

Pas de doute, le comportement des utilisateurs n'a pas évolué depuis le piratage de 20 000 comptes Gmail, Hotmail et Yahoo. On retrouve toujours les mêmes : password, 123456, princess...

On poursuit avec la longueur des mots de passe :

$ cat passwd | awk -F' | ' '{print $3}' | sort | uniq -c | sort -nr | awk '{print $2}' > long.lst
$ for line in `cat long.lst`; do echo $line | wc -c; done | sort | uniq -c | sort -nr
8509 - 10 lettres
6788 - 8 lettres
5577 - 9 lettres
3887 - 11 lettres
2277 - 12 lettres
866 - 13 lettres
494 - 7 lettres
404 - 14 lettres
234 - 6 lettres
163 - 15 lettres
84 - 16 lettres
33 - 17 lettres
26 - 18 lettres
...

Là, pas grand chose à dire, les mots de passe sont pour la plupart construits avec 6 lettres et plus.

Les hackers de Lulzsec revendiquent le vol d'1 000 000 de mots de passe au total, les 30 000 disponibles sur la toile actuellement ne seraient qu'un échantillon. Difficile de vérifier cette information aujourd'hui. Si jamais ils publient tout cela un jour, je vous tiendrais au courant.

Source