Qu’est-ce qu’une attaque par bruteforce (Force brute) ?

Une attaque par bruteforce, ou force brute en français, est une méthode de craquage de mots de passe que les cybercriminels utilisent pour déterminer les informations d’identification des comptes, en particulier les mots de passe.

Dans une attaque par force brute, l’attaquant dispose généralement d’un dictionnaire de termes et de mots de passe courants et les utilise pour “deviner” le mot de passe d’un utilisateur. Après avoir épuisé une liste de termes du dictionnaire, l’attaquant utilise des combinaisons de caractères jusqu’à trouver une correspondance.

Des milliers de tentatives peuvent être nécessaires avant qu’un mot de passe ne soit craqué, c’est pourquoi les attaquants utilisent des outils d’automatisation pour effectuer rapidement des milliers de tentatives.

• Envoyer des messages aux employés ou aux utilisateurs pour les inciter à cliquer sur des liens de phishing ou à ouvrir des pièces jointes contenant des logiciels malveillants.
• Stocker le malware sur le système ou sur l’infrastructure interne. Si le malware s’exécute sur l’appareil d’un administrateur, l’attaquant pourrait voler des informations d’identification de niveau supérieur.
• Envoyer des messages aux clients pour tenter de ruiner la réputation du propriétaire de l’application.

• Détourner les processus du serveur pour injecter des logiciels malveillants comme des applications d’écoute du trafic.
• Injecter un adware sur l’application pour gagner de l’argent avec des publicités.
• Rediriger le trafic de l’utilisateur vers un serveur contrôlé par l’attaquant.

Outre les outils de craquage de mots de passe, les attaquants utilisent également des scanners de vulnérabilité sur les systèmes pour identifier les logiciels obsolètes et découvrir des informations sur l’application cible.

Les administrateurs doivent toujours veiller à ce que les serveurs accessibles au public soient mis à jour et corrigés, et utiliser un logiciel de surveillance pour identifier les scans sur le système.

La définition générale des attaques par force brute consiste à “deviner” les informations d’identification des utilisateurs en utilisant toutes les combinaisons de caractères jusqu’à ce qu’une correspondance soit trouvée.

Cependant, les pirates utilisent diverses stratégies de force brute pour obtenir les meilleurs résultats. Les entreprises doivent connaître tous les types d’attaques par force brute pour développer des stratégies de protection.

Les types d’attaques par force brute sont les suivants :

• Les attaques par force brute simples : Un attaquant devine le mot de passe d’un utilisateur en saisissant une combinaison de valeurs à partir d’informations connues sur l’utilisateur ciblé. Ces informations peuvent provenir d’informations trouvées en ligne ou d’une attaque d’ingénierie sociale.
• Attaques par dictionnaire : De nombreuses attaques par force brute utilisent une liste de dictionnaires de mots, de phrases et de mots de passe courants téléchargés sur Internet.
• Attaques hybrides par force brute : Une attaque hybride utilise une combinaison de méthodes simples et de méthodes par dictionnaire. Les attaquants combinent leurs connaissances sur l’utilisateur ciblé avec des mots et des phrases du dictionnaire. Cette méthode utilise des informations privées comme la date d’anniversaire de l’utilisateur, ainsi qu’un mot du dictionnaire, qui est courant dans les mots de passe générés par les utilisateurs.
• Les attaques par force brute inversée : Les méthodes de mots de passe par force brute inversée prennent une liste de mots de passe connus et les soumettent automatiquement à une application jusqu’à ce qu’un nom d’utilisateur soit trouvé. Les attaquants qui utilisent cette méthode téléchargent souvent une liste de mots de passe volés sur les marchés du darknet et les appliquent aux comptes d’utilisateurs pour trouver une correspondance d’identifiants.
• Credential Stuffing : Les utilisateurs utilisent souvent les mêmes mots de passe sur plusieurs sites. Un attaquant qui obtient l’accès aux mots de passe des utilisateurs sur un site essaiera les mêmes sur d’autres sites. C’est ce qu’on appelle le “credential stuffing”.

Plusieurs stratégies sont à la disposition des administrateurs pour les aider à prévenir et à détecter les attaques par force brute.

La première étape consiste à créer de meilleures règles de mots de passe afin que les utilisateurs ne puissent pas créer de mots de passe faibles. Pour les systèmes non critiques, les mots de passe doivent comporter au moins 10 caractères avec des lettres majuscules, des caractères spéciaux et des chiffres.

Pour les systèmes critiques, les mots de passe doivent comporter au moins 12 caractères. Avec un chiffrement fort des mots de passe, il faudrait des décennies à un ordinateur pour réussir à forcer un mot de passe.

Les stratégies suivantes peuvent également être utilisées pour stopper les attaques par force brute :

• Utiliser des salts : Un salt est une valeur ajoutée utilisée dans le hachage des mots de passe. L’utilisation d’un salt réduit les chances de réussite d’une attaque par force brute, car l’attaquant doit connaître le mot de passe et la valeur du salt.
• Limitation du nombre de tentatives de mots de passe : L’application peut limiter le nombre de tentatives de mot de passe avant de verrouiller le compte et afficher un CAPTCHA lorsque trop de tentatives sont effectuées. Cela permet de stopper les attaques automatiques par force brute et de ralentir les attaques jusqu’à ce qu’il ne soit plus possible de passer en revue des centaines de mots de passe potentiels.
• Verrouillez les comptes après un trop grand nombre de tentatives de connexion : Cela empêchera l’attaquant de poursuivre ses attaques par force brute.
• Bloquez les adresses IP suspectes : Si une adresse IP envoie trop de tentatives de connexion, le système peut soit bloquer l’IP automatiquement pendant un court moment, soit un administrateur peut l’ajouter manuellement à une liste noire.
• Authentification à deux facteurs (MFA) : Si un attaquant réussit à forcer brutalement un mot de passe, l’authentification à deux facteurs empêchera l’authentification sur le compte.

Les logiciels de surveillance détectent les attaques par force brute et alertent les administrateurs en cas de comportement suspect. Lorsque des attaques par force brute sont détectées, l’application peut faire l’objet d’une tentative de prise de contrôle du compte. Ces attaques pourraient être la cause d’examens supplémentaires du réseau pour déterminer si une violation de données a eu lieu.