Ce Hacker A Réussi à Se Ruiner Et A Trouvé Un Faille De Sécurité Sur Les Sites Apple, Microsoft Et Netflix

Illustration de pirate dans l’action (New Yorker)

JAKARTA - Il semble que les sites des entreprises technologiques géantes ne sont pas à l’abri du piratage. Pour le prouver, Alex Birsan a pu percer dans des dizaines de sites Web d’entreprises technologiques bien connues telles que Microsoft, Apple, Netflix, Tesla, PayPal, Uber, et ainsi de suite.

Birsan est chercheur en sécurité. Afin d’entrer par effraction dans ces grandes entreprises, Birsan a téléchargé de nombreux logiciels malveillants sur l’index python package, RubyGems, et l’espace de stockage npm. Tous ces services sont open source.

Puis le malware a été propagé pour percer dans les serveurs internes de l’entreprise. Le mécanisme de piratage appliqué par Birsan est assez sophistiqué. Le malware distribué par Birsan est capable de tromper le système de sécurité automatiquement, sans aucune interférence de l’expéditeur.

L’existence d’une faille de conception dans le service open-source est le point d’entrée de Birsan pour le piratage. Birsan appelle cet écart une confusion de dépendance. Il a admis que ses actes n’étaient pas fondés sur un but malveillant.

Citée par Bleeping Computer, Birsan n’avait pour seul but que de signaler un système de sécurité qui fuit aux entreprises du géant de la technologie. Avec cette bonne intention, Birsan a reçu un prix d’une valeur de USD 130 mille (équivalent à IDR 1,8 milliard).

Birsan a commencé à pirater diverses entreprises technologiques depuis 2020. À l’époque, il était au courant de l’absence d’un certain nombre de dossiers manifestes ouverts au public dans le PayPal npm. Apparemment, la compagnie l’a gardé pour eux.

Réalisant cela, Birsan se demandait s’il pouvait utiliser le paquet rebaptisé faux. Il prévoit d’héberger publiquement afin qu’il puisse infecter le serveur. Puis Birsan a essayé de trouver un certain nombre de fichiers de paquet interne appartenant à la société sur le CDN et sur GitHub.

L’étape suivante, Birsan a conçu son propre paquet en utilisant un nom similaire au nom du fichier de paquet interne. Après cela Birsan distribué les paquets qu’il a fait à npm, RubyGems, et PayPal.

« Ce paquet est destiné à des fins de recherche de sécurité, et ne contient pas de code malveillant », Birsan a déclaré expliquant l’intention du hack.