iDict – Un outil brute force pour pirater les comptes iCloud

Le ton est donné pour 2015 ! Les pirates menacent publiquement le service de stockage en ligne d’Apple, iCloud. Un pirate utilisant le pseudonyme “Pr0x13″ a publié un outil de piratage dédié sur GitHub, iDict, qui assure aux attaquants un accès sur n’importe quel compte iCloud de leur victime. Technique par brute force combiné à des dictionnaires.

L’outil, baptisé iDict, se sert d’un exploit visant iCloud ainsi que la sécurité de l’infrastructure d’Apple afin de contourner les restrictions et la sécurité de l’authentification à deux facteurs qui est censée empêcher les attaques par force brute sur les comptes iCloud. Pour imager l’importance d’une telle faille, rappelez-vous que c’est une attaque par brute force qui a mener à la gigantesque fuite de photos personnelles nues de stars, telles que Kim Kardashian, Vanessa Hudgens, Jennifer Lawrence, Rihanna, Kristin Dunst et Kate Upton au cours de l’année dernière.

Pr0x13 prétend que iDict est un outil efficace et simple à utiliser, fonctionnant à 100% pour le piratage de comptes iCloud à l’unité. Seule protection possible face à un tel programme malveillant : utiliser une chaine de caractère très complexe comme mot de passe de connexion ! Sans complexité, les dictionnaires complets des pirates seront à même de trouver la combinaison très rapidement…

Contournement en se faisant passer pour un iPhone

iDict, actuellement hébergé au GitHub, est limité par la taille du dictionnaire que l’outil utilise pour deviner les mots de passe. Il ne contint actuellement que 500 mots critiques. Mais sachez qu’un pirate bien équipé pourra lui adjoindre facilement des listes spécifiques par langues centaines de milliers de termes !

L’outil est open source et est distribué à tous. Il est donc tout à fait possible que cela devienne problématique pour Apple et ses utilisateurs si rien n’est fait pour patcher cette vulnérabilité au plus vite. Jusqu’à présent, aucune retombée publique suite à la distribution de l’exploit n’a été vue sur le Net, mais des utilisateurs ont d’ores-et-déjà déclaré sur Twitter et Reddit que iDict fonctionne comme prévu.

Pr0x13 déclare quand à lui que ses intentions ne sont pas malveillantes, et que c’est juste dans le but de faire bouger Apple concernant la vulnérabilité, afin que l’entreprise puisse résoudre le problème dès que possible. L’outil, selon le pirate, a été diffusé pour forcer Apple à agir sur la question  en priorité. Pr0x13 a expliqué que l‘entreprise doit corriger la vulnérabilité critique avant qu’il ne soit qu’elle ne soit utilisée pour des activités malveillantes ou néfastes.

Après le récent scandale des célébrités nues, Apple a tout intérêt à agir très rapidement concernant cette question critique afin d’éviter toute controverse concernant la sécurité de ses services en ligne. Toutefois, par mesure de précaution, vérifiez quand même que votre mot de passe est complexe (générateur ici) et en outre, activez l’authentification à deux facteurs sur tous vos comptes, si vous ne l’avez pas déjà fait.

Conscient du risque, Apple aurait corrigé ces derniers jours la faille de sécurité.