Le botnet Pony compromet 2 millions de mots de passe

En quelques semaines, des pirates informatiques sont parvenus à récupérer près de deux millions de mots de passe rattachés à plus de 93 000 sites Internet et services Web.

Ils ont exploité un enregistreur de frappe (‘keylogger’) basé sur la version 1.9 du botnet Pony, dont le code source a récemment été rendu public.

Telles sont les conclusions des chercheurs en sécurité informatique de Trustwave, qui sont parvenus à accéder à un serveur de commande contrôlant un réseau d’ordinateurs zombies affectés par Pony.

Sur le panneau d’administration – écrit en langue russe – figurent les statistiques du malware.

Celui-ci a dérobé 1 580 000 informations d’identification liées à des sites Internet ; 320 000 utilisées sur des messageries électroniques ; 41 000 pour du FTP ; 6000 pour de l’accès à distance (à répartition égale entre SSH et Remote Desktop).

Facebook est concerné dans 318 000 cas, contre 70 000 pour les services Google (Gmail et YouTube en tête), 60 000 pour le portail Yahoo, 22 000 pour Twitter et 8000 pour LinkedIn.

Par rapport aux autres proches cousins de Pony, ce dérivé a fait preuve de stabilité dans son offensive, encore en cours à l’heure actuelle.

Il est fort probable que ces 2 millions d’identifiants et mots de passe aient été exploités, bien que rien ne le confirme dans l’état.

Il est surtout difficile de déterminer quels sont les vecteurs de propagation du virus : le trafic sortant des machines infectées est dirigé vers un proxy, ce qui complique la localisation du serveur principal.

Les investigations de Trustwave ont tout de même démontré qu’il s’agit d’une attaque au périmètre large, avec 92 pays touchés.

Le spécialiste de la sécurité informatique tire par ailleurs des enseignements sur la faiblesse globale des mots de passe : dans 15820 cas, l’enregistreur de frappe a récupéré la chaîne de caractères ‘123456’. Suivent ‘123456789’, ‘1234’, ‘password’, ‘12345’, ‘12345678’ et ‘admin’.

Près d’un demi-million de ces mots de passe ne comprennent qu’une sorte de caractères.

A l’inverse, seuls quelques milliers font plus de 14 caractères de long et en comprennent 4 types (majuscules, minuscules, chiffres, caractères spéciaux).

Facebook, LinkedIn et Twitter ont averti les utilisateurs concernés et réinitialisé leurs mots de passe. Google et Yahoo n’ont pas livré de commentaires.

—— A voir aussi ——
Quiz ITespresso.fr : maîtrisez-vous vos informations personnelles sur Internet ?

Crédit illustration : bygermina – Shutterstock.com