Concours de hackers : réelle menace ou canular ?

Depuis quelques jours, la presse (américaine essentiellement) fait état de la préparation d’un concours de hackers prévu pour dimanche 6 juillet 2003. Selon ces informations, environ 20 000 serveurs seraient visés. Les règles du « jeu » sont simples : pirater 6 000 sites Web en six heures. Le concours se tiendrait de 9 heures à 15 heures. Il a été lancé à partir du site Defacers-Challenge.com. Sur les deux seules pages du site, on découvre l’origine du concours et ses modalités. Outre l’objectif visé, l’organisateur du concours (une certaine Eleonora[67]) attribue des points différents selon le système attaqué. Ainsi, les serveurs Microsoft ne valent que 1 point quand les systèmes sous Linux, Unix et BSD valent 2 points, 3 points pour les OS AIX et jusqu’à 5 points pour les environnements Mac OS et HP-UX. On suppose que c’est la rareté qui créé la valeur plus que la qualité du système…

Un décompte indépendant

Difficile de savoir, avant dimanche, si ce concours est sérieux ou non. Le site indique bien deux adresses e-mail à l’intention des sceptiques et rappelle que le piratage est illégal. Et comme tout concours, il y a un gros lot. Le gagnant bénéficiera de 500 Mo d’espace d’hébergement et du nom de domaine de son choix. Les décomptes s’effectueront par l’intermédiaire du site indépendant Zone-H.org, qui comptabilise de manière automatique les attaques des serveurs mais n’a rien à voir avec les organisateurs du concours. Pour les responsables de Zone-H, qui affirment avoir été informés de leur participation indirecte par une annonce postée dans leur forum, fermer leur serveur n’arrêtera pas le concours pour autant. Et comme l’observation des cybercrimes constitue l’objet même du site, il serait effectivement paradoxal d’arrêter celui-ci, même temporairement, au moment où une série d’attaques Internet se prépare.

La fiche du domaine « defacers-challenge.com » sur un service Whois ne fournit pas beaucoup plus de renseignements sur l’identité des organisateurs. Le nom de domaine a été déposé le 21 juin 2003, avec une mise à jour le 4 juillet, et les noms des responsables administratif et technique se cachent derrière des adresses e-mail. D’autre part, selon le site Government Computer News, les entreprises de sécurité prennent au sérieux la menace, comme Internet Security Systems qui attribue un niveau de dangerosité de 2 à cette opération, sur son échelle qui compte quatre niveaux.

Une menace qui pourrait s’avérer utile…

Nous en sommes donc réduits aux supputations. Si le concours a bien lieu, des dizaines de milliers de machines (y compris celle de Defacer-Challenge.com) risquent effectivement de se retrouver piratées, à moins de les éteindre pendant le week-end. Le concours se basant sur la vitesse d’intrusion, les sites visés sont probablement déjà infectés afin que le hacker n’ait plus qu’à y laisser la trace de son passage. Les intrus ne prendront probablement pas le temps de détruire des données et ce n’est d’ailleurs pas le but. On peut donc supposer que les dommages seront limités.

Et si le concours n’était qu’un canular, les hackers auront tout de même gagné la satisfaction de s’être offert une belle publicité et, peut-être, d’avoir généré la panique chez certains administrateurs. Lesquels en profiteront pour mettre à jour leur parc informatique afin de combler les failles éventuelles. Auquel cas, cette provocation sous forme de menace se serait avérée utile… même si elle risque de gâcher le week-end d’un certain nombre de responsables informatiques.