On peut pirater des comptes Dropbox, Google Drive et OneDrive sans avoir le mot de passe

Un rapport par la firme Imperva montre qu’un pirate peut accéder facilement aux services de stockage et de synchronisation sur Cloud sans avoir besoin d’un mot de passe.

Imperva décrit une nouvelle technique appelée MITC (Man in the Cloud) qui permet à des pirates d’accéder des comptes de services populaires comme ceux de Box, Dropbox, Google Drive et OneDrive. Les attaques MITC ne se basent pas sur des failles sur les applications de synchronisation ou des failles dans les serveurs de stockage sur Cloud, mais plutôt sur un problème de conception. Ces services ne demandent pas de mots de passe à chaque fois qu’un fichier est synchronisé et au lieu, ils utilisent un Token pour autoriser ces tâches pour éviter d’ennuyer les utilisateurs à chaque fois. Le Token est stocké sur chaque appareil qui est utilisé par la personne pour se connecter au service et même s’il est chiffré, le Token peut être craqué et volé par les pirates.

Le MITC pourrait devenir une technique très efficace pour propager les Malwares et les Ransomwares

Avec les nouveaux Token, le pirate peut les ajouter à sa propre machine ou à des scripts automatisés et il pourrait compromettre de nombreux comptes de stockage en ligne. Il pourrait voler et modifier les fichiers sans oublier qu’il pourrait infecter tous les comptes avec les Malwares. Imaginez les dégâts si un compte DropBox était infecté avec un Ransomware sur vos fichiers de sauvegarde. Selon les chercheurs d’Imperva, le plus inquiétant est que ces Tokens continueront de fonctionner même si l’utilisateur change son mot de passe (cela concerne uniquement Box et DropBox). Pour supprimer le point d’attaque du pirate, il faudra supprimer les appareils connectés au service et dans les cas extrêmes, il faudra qu’il supprime son compte pour en ouvrir un nouveau.

L’équipe d’Imperva conclut que pendant qu’ils testaient l’attaque en interne, ils ont trouvé des preuves que l’attaque MITC est déjà utilisée par les pirates. L’article décrivant la faille est déjà disponible et les chercheurs vont aussi présenter leurs travaux pendant la conférence Black Hat de 2015.