Facebook Hacker ou le dilemme tel est pris qui croyait prendre

Qui n’a jamais croisé ou cherché dans Google “pirater compte Facebook”, “Facebook Hacker” ou encore “hacker un compte Facebook” ? Etude d’outils typiques à risques.

Autant le dire directement, le Net regorge de ce genre d’outils, jouant sur l’intérêt des internautes et l’envie de prendre le contrôle du compte Facebook (ça aurait pu être identique avec Live/Hotmail, Gmail, Skype, etc) d’autrui, surtout si c’est un proche afin de pouvoir l’espionner à sa guise.

Un intérêt vif pour ce type de services

Les recherches sur le sujet son très nombreuses, des milliers par mois rien que sur Google France et plus d’un million et demi de résultats affichés sur le moteur pour ce type de requêtes. Autant dire qu’il y a pas mal de pigeons à plumer et les pirates le savent !

Exploiter un tel phénomène est enfantin. Créer un petit logiciel “Facebook Hacker”, en faire la promo sur son blog, les forums et YouTube et il ne reste plus qu’à attendre patiemment que les scripts kiddies se ruent sur le merveilleux outil et tombe dans le panneau.

Ce phénomène existe depuis les premières années du Web et persiste toujours plus fort aujourd’hui, en 2014. Actuellement, on croise pas mal de commentaire spam sur le sujet, beaucoup de petits malins partage les URLs de leurs sites pièges afin de multiplier le nombre de victimes potentielles.

Deux types d’arnaques existent

La première est un outils sous forme d’un logiciel, qui camoufle un malware ou un stealer en son sein. A la portée de n’importe qui ayant des bases en développement Windows (.Net/Visual Basic), ils sont très répandus.

Le second type, plus orienté Web, est sous la forme de sites Web spécialisés proposant le piratage d’un compte Facebook en ligne pour un Allopass ou un règlement PayPal.

Bien entendu, les deux sont des pures arnaques et aucun ne fonctionnent. Le second ne sert qu’à faire de l’argent et le premier, à voler les identifiants des apprentis pirates trop crédules qui l’essaie…

Décompilation d’un faux outil pirate Facebook

Ce genre d’outils basiques développés pour Windows sont faits à partir de codes sources existants partagés massivement sur les forums de hacking grand public. Téléchargés par des scripts kiddies, il ne leur reste plus qu’à les compiler ou à les personnaliser avant utilisation. Il y en a des centaines actuellement et sont tous prêt à vous promettre n’importe quoi. L’équipe d’Undernews en a dé-compiler un par curiosité, poétiquement nommé “FBHacker 1.0“, sachant tout à fait que le langage Dotnet est utilisé et simple à reverser et que nous savions pertinemment ce que nous allions y trouver et donc quoi chercher exactement.

C’est simple, prenez par exemple le programme .NET Reflector. En naviguant parmi l’arborescence du programme pirate, on identifie rapidement des éléments critiques nommés “identifiants” et “credentials”. Et oui ! Le pirate est obligé d’envoyer vers Internet les informations qu’il dérobe à la victime trop crédule lors de l’utilisation du logiciel. Sauf que les développeurs de ce genre d’outils n’ont pas les compétences pour imaginer des méthodes bien évoluées et chiffrées pour l’envoi des données… Du coup, ils utilisent tous deux techniques :

1. L’envoi par e-mail
2. L’envoi par FTP

Les deux sont en clair et nécessitent une authentification basique préalable. Devinez quoi ? Le développeur met directement ses propres identifiants mail ou FTP dans la source de son programme. Le tout en clair, et à disposition de n’importe quel curieux analysant la source !

Et voila donc le programme totalement démystifié et on se rend compte qu’il ne fait strictement rien à part afficher un faux message d’erreur et voler les identifiant de celui qui tente de l’utiliser pour réaliser un hack de compte Facebook.

Bien entendu, n’importe quel reverseur peut donc accéder au compte mail ou FTP servant de stockage au pirate et voler à son tour les identifiants des victimes ou juste faire fermer le compte ou changer son mot de passe principal afin de rendre inopérant le logiciel distribué.

Ne croyez pas n’importe quoi, un site ou un logiciel ne peut en aucun cas pirater un compte de messagerie d’un simple clic ! Au mieux, vous ferez gagner quelques euros à un cyber-escroc, au pire, vous perdrez vos identifiants et les exposerez à la portée de plusieurs personnes sans scrupules. Réfléchissez avant de tomber dans le panneau de ce genre de scam et restez conscient des risques encourus juridiquement pour ce type d’actions illégales.

Ci-dessous, une galerie présentant quelques-uns de ces scams :