Entre lundi 15 et mercredi 17 juin, des pirates ont réussi à compromettre la sécurité de deux sites du réseau Mutu, Barrikade et Paris-Luttes.info, et ainsi à s’introduire sur le serveur qui les héberge. Petit topo sur ce que nous savons de cette attaque et sur ses implications.

Les sites du réseau Mutu sont les cibles d’attaques informatiques incessantes. La plupart d’entre elles sont le fait de robots qui explorent constamment Internet à la recherche de machines vulnérables afin de pouvoir les utiliser pour envoyer du spam, miner des cryptomonnaies ou mener d’autres attaques, par exemple. Mais comme beaucoup d’autres serveurs et sites militants autohébergés, nous devons aussi faire face à des attaques plus ciblées, menées ou commanditées par celleux que le contenu de nos sites dérange (et ça fait un paquet de monde !).

Ce qu’il s’est passé

Lundi 15 juin dernier, Barrikade [1], le site suisse germanophone du réseau, a été victime d’une première intrusion suite à l’exploitation d’une vulnérabilité de nos sites qui était jusqu’alors inconnue. Cette intrusion a ensuite été utilisée par les pirates pour installer une porte dérobée sur Paris-Luttes.info [2] le lendemain après-midi, à partir de laquelle ielles ont pu accéder directement au serveur qui héberge les sites du réseau.

Les pirates ont donc probablement pu exfiltrer des données des sites concernés (Barrikade et Paris-Luttes.info) avant que l’intrusion soit détectée et prise en charge. Par contre, une fois découverte, l’attaque a pu être interrompue, la porte dérobée a été supprimée, et les vulnérabilités utilisées pour compromettre les sites ont été identifiées et corrigées. Les pirates n’ont donc normalement pas pu récupérer de données des autres sites.

Les journaux système du serveur ont révélé que les pirates ont malgré tout tenté de revenir les jours suivants, mais ielles n’ont pas réussi à mener ces nouvelles attaques à bien. Nous maintenons une vigilance accrue pour nous assurer qu’ielles ne trouvent pas de nouvelles failles à exploiter.

Les données auxquelles les pirates ont eu accès (ou pas)

Nous n’avons malheureusement pas de trace complète de tout ce que les pirates ont fait sur le serveur ni des données qu’ielles ont récupérées. Nous ne savons pas non plus de qui il s’agissait, et nous ne savons donc pas grand-chose de leurs motivations ni de quelles informations ielles recherchaient. Néanmoins, comme ielles ont compromis Barrikade et Paris-Luttes.info, les pirates ont eu accès aux bases de données de ces deux sites, et on peut raisonnablement supposer qu’ielles ont pu en récupérer une bonne partie.

Ces bases de données contiennent notamment certaines informations sensibles (et que les pirates ont donc potentiellement récupérées) :

-les « hachés » des mots de passe (voir plus bas), les adresses mail et les pseudos des auteurices inscrit·es sur le site -les adresses mail des personnes inscrit·es à la newsletter du site -les auteurices des articles (s’ielles n’ont pas été retiré·es de la liste) -les messages de modération et les éventuels messages internes du site

Cependant, les bases de données ne contiennent pas :

-les adresses IP (ni des auteurices, ni des lecteurices, ni de qui que ce soit) -les mots de passe en clair

Il nous semble aussi très peu probable que les pirates aient eu accès aux bases de données des autres sites du réseau Mutu.

Quelques précisions à propos des mots de passe : comme mentionné plus haut, ils ne sont pas stockés « en clair » (c’est-à-dire lisibles directement), mais sous forme de « hachés ». Cela veut dire que, avant d’être stockés dans la base de données, ils sont passés dans une moulinette (une « fonction de hachage ») qui les rend complètement illisibles et irrécupérables. Obtenir le haché d’un mot de passe ne permet donc pas de retrouver celui-ci directement.

Par contre, rien n’empêche une personne qui connaît le haché d’un mot de passe d’essayer de deviner celui-ci : à chaque essai, ielle prend un mot de passe possible, le passe à la même moulinette, compare avec le haché dont ielle dispose, et, si les hachés sont les mêmes, c’est qu’il s’agissait du bon mot de passe. Bien sûr, chaque essai prend un peu de temps, mais un ordinateur standard est déjà capable d’en faire plusieurs milliards par seconde. Donc si le mot de passe est « faible » (c’est-à-dire trop court, un mot du dictionnaire, un mot de passe déjà fréquemment utilisé par d’autres personnes, ou une variation de c3rt41ne5 let7r3s), il pourra finir par être retrouvé, nettement plus vite que si la personne essayait les mots de passe directement sur le site, en essayant de se connecter à chaque fois.

Ce que ça implique pour les auteurices et lecteurices des sites

Pour les lecteurices et visiteureuses des sites concernés, aucune information personnelle n’a pu être dérobée, car nous n’en stockons aucune dans les bases de données.

Pour les personnes qui sont inscrites à la newsletter d’un des sites, les pirates ont potentiellement récupéré votre adresse mail. Il est peu probable qu’ielles en fasse grand-chose, mais si c’était le cas, ça pourrait par exemple prendre la forme d’une tentative d’hameçonnage (ou « phishing »), comme un mail se faisant passer pour le collectif de modération du site en question et vous demandant des informations personnelles. Si cela arrive et que vous avez des doutes, vous pouvez par exemple écrire au collectif de modération (sans faire « répondre au mail » mais en reprenant l’adresse du collectif directement depuis le site) pour leur demander confirmation que ça vient bien d’elleux.

Enfin, pour les auteurices et contributeurices qui ont un compte sur ces sites, nous vous recommandons vivement de changer le mot de passe de celui-ci. S’il s’agit d’un mot de passe que vous utilisez aussi pour d’autres choses (par exemple pour accéder à votre boîte mail), il est plus prudent de le changer là aussi et, si possible, d’utiliser des mots de passe différents à chaque fois.

Aussi, si votre compte est toujours indiqué comme auteurice d’un article sensible (communiqué de renvendication d’action, de sabotage, d’incendie, etc.), il est possible que cette information finisse par tomber entre les mains des flics. Nous recommandons alors d’arrêter au plus vite d’utiliser cette identité numérique (pseudo et adresse mail) afin d’éviter que les flics puissent collecter plus d’informations sur cette identité et risquer de vous retrouver.

Pour une réduction des risques numériques collective

Dans un contexte international dans lequel les forces capitalistes, réactionnaires et fascistes sont prêtes à tout pour parvenir et se maintenir au pouvoir, les sites d’informations autonomes et radicales comme ceux du réseau Mutu sont voués à être de plus en plus souvent pris pour cibles par des groupes ou des organisations dont les moyens nous dépassent. L’augmentation du nombre de tentatives d’attaques contre nos sites et notre serveur au moment du No-G7 à Genève [3] en est un témoin criant, par exemple.

Et si nous faisons bien évidemment de notre mieux pour protéger les informations que nos contributeurices nous confient, il n’en reste pas moins que l’outil informatique ne constituera jamais une protection absolue, qui plus est avec le développement récent d’outils d’IA spécialisés en analyse de code, qui facilitent grandement la recherche de vulnérabilités pour les pirates.

Il est cependant possible de compenser cela en minimisant, individuellement et collectivement, les traces et les données sensibles que l’on peut laisser sur des sites comme les nôtres et sur Internet en général. Ainsi, par exemple :

-Toujours consulter les sites en utilisant le Navigateur Tor [4], qui permet à la fois de masquer son adresse IP et d’éviter de dévoiler à son fournisseur d’accès à Internet quels sites on visite. Ou, mieux encore, utiliser le système Tails [5], qui réduit au maximum les traces que notre ordinateur peut laisser sur Internet.

– Utiliser un pseudonyme et une adresse mail dédiées spécifiquement pour son compte auteurice sur un site du réseau ; voire avoir plusieurs comptes avec plusieurs pseudos et adresses mail différentes (en fonction du sujet des articles que l’on poste, par exemple, pour éviter les risques de recoupements) ; voire enfin utiliser une identité « jetable » pour chaque nouvel article (avec un pseudonyme à usage unique et une adresse mail jetable comme sur https://yopmail.com ou https://www.guerrillamail.com), notamment pour les articles où le risque de répression est le plus grand.

Utiliser des hébergeurs de mails militants et de confiance, qui ne balanceront pas notre adresse IP de connexion aux flics à la première réquisition. Riseup, systemli.org ou encore Sindominio sont de bons choix, par exemple (une liste plus complète est disponible ici). Par contre, non, ProtonMail n’est pas un fournisseur de confiance.

Utiliser un gestionnaire de mots de passe tel que KeePassXC afin de pouvoir utiliser des mots de passe longs, parfaitement aléatoires (et donc plus sûrs), différents pour chaque site, pour chaque identité, sans avoir besoin de les retenir.

De nombreuses ressources sur le sujet de la réduction des risques numériques sont aussi disponibles sur Internet ou sur la table de votre infokiosque favori. Par exemple (liste carrément non exhaustive) :

Guide d’autodéfense numérique [6]

Guide de survie en protection numérique à l’usage des militant·es [7]

TuTORiel Tails [8]

Téléphonie mobile – Surveillances, répressions, réduction des risques [9]

No Trace Project [10]

Comment envoyer un communiqué anonyme sans se faire prendre [11]

Pour conclure

Sans ses contributeurices, sans ses lecteurices, le réseau Mutu n’est rien. Nous vous sommes reconnaissant·es de la confiance que vous nous faites en consultant nos sites et en les utilisant pour relayer vos informations, vos actions, vos événements ou vos communiqués. Il est important pour nous d’honorer cette confiance en tâchant au mieux d’éviter de vous mettre en danger ou de vous exposer à la répression, qu’elle vienne des flics ou des fachos.

Nous espérons que ce piratage n’aura de conséquences fâcheuses pour personne, et nous nous excusons par avance si tel est le cas.

Nous espérons aussi que les quelques pistes évoquées plus haut nous permettront à toustes, collectivement, de réduire les risques que nous prenons lorsque nous utilisons les outils informatiques, ceux du réseau Mutu comme les autres.

Au plaisir de vous lire sur nos sites,

La commission serveur du réseau Mutu

Notes :

[1] https://barrikade.info/

[2] https://paris-luttes.info/

[3] https://renverse.co/infos-locales/article/suivi-live-de-la-mobilisation-contre-le-g7-8813

[4] https://www.torproject.org/fr/

[5] https://tails.net/index.fr.html

[6] https://guide.boum.org/

[7] https://infokiosques.net/spip.php?article1849

[8] https://infokiosques.net/spip.php?article1726

[9] https://infokiosques.net/spip.php?article1975

[10] https://www.notrace.how/fr/

[11] https://infokiosques.net/spip.php?article2128