Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Petit trait´e de e-manipulation `a l’usage des honnˆetes gens Attaques informationnelles sur Internet
Fr´ed´eric Raynal
Sogeti / Cap Gemini – MISC magazine fred(at)security-labs.org frederic.raynal(at)sogeti.com
Fran¸cois Gaspard
New Zealand Telecom International fg(at)tnzi.com kad(at)miscmag.com
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
1/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Id´ee g´en´erale
Attaquer sans limite Guerre de l’information : souvent restreinte `a l’information en tant que contenu Hacking : souvent restreint `a des prouesses techniques Que se passe-t-il quand on m´elange les deux ? ⇒ Attaques avec le contenu et le conteneur Op´erations d’information : d´eception, intoxication, d´esinformation,. . . Op´erations techniques : Search Engine Optimization afin de renforcer/affaiblir les informations choisies
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
2/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
3/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
R´esum´e (court et impr´ecis) de la guerre de l’information
2 orientations majeures Management de l’information afin d’obtenir une domination informationnelle Utiliser l’information pour produire des connaissances Les autres nous courent apr`es pour rattraper leur retard
Information en tant qu’arme La domination est un objectif, mais ce n’est pas le seul Et les effets de la d´eception, l’intoxication, la d´esinformation, etc. ?
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
4/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Attaques informationnelles Collecter Humains Journaux Internet
Propager
Journaux Prospectus Sites web
Clients Chercheurs Journalistes
Recruter
Articles Interviews Livres Armer
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
5/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Roadmap
1
Attaques informationnelles Collecter Recruter Armer Propager
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
6/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Collecter
O` u r´ecup´erer de l’information sur Internet Google, MSN, yahoo,. . . ne repr´esentent que 10% du web ! Ex. : sites de r´eseaux sociaux (Linkedin, orkut, twitter, facebook,. . . )
Utiliser les outils adapt´es au type d’information recherch´ee Ex. : Federal Funding Accountability and Transparence (FFATA) pour les contrats avec le gouvernement am´ericain
P´erim`etre des r´eseaux informatiques est devenu compl`etement flou P´erim`etre de l’information est en dehors de tout contrˆole !
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
7/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Google Hacking Fun and profits Trouver des mots de passe : inurl :passwd.txt (1er r´esultat dans Google : WebAdmin :aeYYajmW204V6)
Sites web compromis : intitle :"hacked by" : images suggestives. . . intitle :tt2.swi : sites web contrˆ ol´es par un cheval de Troie en Java
Juste pour rire : intitle :"Live View / - AXIS" | inurl :view/view.shtml : des cam´eras de surveillance site :free.fr intitle :"index of" mp3 : la mort du peer-to-peer
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
8/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Roadmap
1
Attaques informationnelles Collecter Recruter Armer Propager
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
9/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Recruter
Peupler les attaquants S’infiltrer l`a o` u il y en a d´ej`a Rester cacher autant que possible : tor, proxies ouvertes, WiFi ouverts, . . .
Cr´eer sa propre contestation Site web d’opposition :f´ed´erer les oppositions en un seul endroit
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
10/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Site web d’opposition : : jeboycotteDanone.com
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
11/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Roadmap
1
Attaques informationnelles Collecter Recruter Armer Propager
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
12/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
S’armer : champ de bataille == Internet Il y a une vie en dehors d’Internet Cons´equences et r´esultats des actions peuvent se situer en dehors d’Internet Combiner avec d’autres champs de bataille pour ˆetre plus efficace : justice, finance, information, . . . Internet howto Les sites web pullulent sur Internet Ajouter des sites web sous notre contrˆ ole
Un humain cherche des informations L’information est dispers´ee sur Internet ⇒ il faut la pousser aux utilisateur
Les r´esultats sont fournis par les moteurs de recherche (SE) Influencer les r´esultats en trompant les moteurs de recherche F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
13/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Attaques habituelles Utiliser l’information pour attaquer Intoxication : tenter de les interpr´etations, les capacit´es d’analyse et de raisonnement d’une cible Ex. : propager de fausses informations, strat´egies ”faux/faux” Ex. : changer le contenu d’un site web en fonction de qui le visite
D´eception : repose soit sur de la dissimulation (camouflage, aveuglement) ou la simulation (cr´eer, leurrer, inventer) Ex. : 2`eme guerre mondiale avec de fausses bases en Angleterre pour tromper les allemands sur l’emplacement du d´ebarquement Ex. : abuser les SE pour d´eformer les r´esultats
D´esinformation : repose sur l’alt´eration, le retrait, l’ajout, . . . , d’informations Ex. : la pr´esence de benz`ene (mortel) dans les bouteilles de Perrier Ex. : canulars (hoaxes), rumeurs se propageant d’un forum ` a un autre, par mails, etc. F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
14/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Roadmap
1
Attaques informationnelles Collecter Recruter Armer Propager
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
15/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
Collecter Recruter Armer Propager
Propager
Organiser la connaissance pour d´eporter la bataille Accroˆıtre les doutes envier la cible dans l’opinion publique Augmenter la mauvaise conscience de la cible elle-mˆeme Questions et r´eponses Que se passerait-il si on pouvait augmenter la perception de tous nos vecteurs informationnels et, dans le mˆeme temps, diminuer la perception des r´eponses de la cible ? ⇒ Entr´ee en sc`ene du SEO. . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
16/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
17/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
D´efinitions
Web Spam La pratique de manipuler des pages web pour que les moteurs de recherche classent certaines pages web mieux qu’ils ne le feraient sans aucune intervention. Search Engine Optimization (SEO) [seowikipedia] Le SEO vise `a am´eliorer le volume et la qualit´e du trafic vers un site web depuis les moteurs de recherche via les r´esultats ”naturels” (”organique” ou ”algorithmique”) associ´es `a certains mots cl´es.
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
18/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Pourquoi / comment le SEO ? Motivation Les utilisateurs font confiance aux SE pour trouver des informations ⇒ Exploiter cette confiance
Les utilisateurs ne regardent que tr`es rarement au-del`a des 10 premiers r´esultats ⇒ Exploiter cette paresse
Une question de couleur White hat SEO : quand un site se conforme aux directives fournies par les SE, sans utiliser de ”trucs” Black hat SEO : tentatives d’am´eliorer le classement de pages d´esapprouv´ees par les SE, souvent `a base de d´eception
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
19/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization White Hat SEO Black Hat SEO Exemples avanc´es Aggressive Black Hat SEO
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
20/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Survol rapide du White Hat SEO Recommandations usuelles Mots-cl´es : ˆetre cr´eatif, ´eviter les g´en´eralit´es Architecture : le page rank est calcul´e en fonction des liens {entrants|sortants} Contenu : besoin d’ˆetre innovant et rafraˆıchi souvent ⇒ Ces recommandations ne sont pas ´ecrites comme une s´erie de r`egles Strat´egie : long terme, pas de d´eception Cr´eer du contenu pour les utilisateurs, pas pour les moteurs de recherche Rendre ce contenu facilement accessible aux spiders ⇒ Le contenu r´ef´erenc´e par les SE est le mˆeme que celui vu par les utilisateurs F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
21/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization White Hat SEO Black Hat SEO Exemples avanc´es Aggressive Black Hat SEO
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
22/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Survol rapide du Black Hat SEO Spam web pour le profit : secteur des pharmacies online [spamweb] Beaucoup d’entreprises ne font pas directement appel au spam (`a cause des lois anti-spam aux US & Europe) Elles s’appuient alors sur des programmes d’affiliation ⇒ Augmentation des ventes : revenus r´eguliers grˆace aux affili´es ⇒ Responsabilit´e limit´ee : les affili´es en tant que boucs ´emissaires Comment certains programmes autorisent le spam ? Pas de terms of agreement sur la page d’engagement Certaines entreprises agissent dans des juridictions o` u le spam n’est pas ill´egal ( (ex. Seychelles) Spam ”restreint” aux emails (mais il en existe d’autres formes)
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
23/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Black Hat SEO comme un mythe. . . ou pas
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
[spamweb]
24/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Survol rapide du Black Hat SEO (encore) Strat´egie : court terme, d´eception Contenu r´ef´erenc´e par les SE est souvent diff´erent de celui vu par les utilisateurs La plupart des techniques sont crades, certains sont ill´egales Quelques exemples simplistes Spam de contenu : alt´erer le contenu d’une page vue par un SE / humain Texte invisible , keyword stuffing, doorway page, scraper sites,. . .
Spam de liens : tirer parti des algorithmes de r´ef´erencement construits sur le nombre de liens Fermes de liens, liens cach´es, sybil attacks, spam blogs, page hijacking, . . .
Spam World-writable : ajouter des liens dans des sites ´editables par tout le monde Commentaires de blogs, forums, wikis, referer spamming, . . . F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
25/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization White Hat SEO Black Hat SEO Exemples avanc´es Aggressive Black Hat SEO
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
26/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Cloaking Objectif Modifier une page en fonction de certains param`etres Cloaking pour les simplets User agent cloaking : changer la page en fonction de qui vient i f ( s t r p o s ( $ SERVER [ " HT TP _ US ER _A G EN T " ] , " Googlebot " ) ) { i n c l u d e ( " googlebot - special . html " ) ; } else { // display real page }
IP cloaking : changer la page en fonction de l’origine de la visite $ip
F. Raynal & F. Gaspard
= s t r v a l ( $ SERVER [ " REMOTE_ADDR " ] )
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
27/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Un exemple fameux : spider chez bmw.de
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
28/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Un exemple fameux : humain chez bmw.de
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
29/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
R´esoudre les captchas
Objectifs Enregistrements automatiques pour des forums, des blogs, pour poster des commentaires, etc. Captcha pour les simplets [captcha] Retirer le fond : d´ebruitage Recoller les points des lettres : filtrage Aligner les lettres : transformations g´eom´etriques Lire les lettres : reconnaissance de formes
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
30/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
R´esoudre les captchas : phpbb2
F. Raynal & F. Gaspard
[captcha]
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
31/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Cas r´eel : qui veut du certified viagra (1/3)
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
32/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Cas r´eel : du certified viagra `a l’universit´e (2/3) http ://spirit.dos.uci.edu/interfaith/ ?page=254 Confiant dans le .edu, un utilisateur clique sur le 2`eme lien PR : 6/10 – Backlinks : 3420 Site tourne sous Nucleus CMS v3.23 (version actuelle : 3.33)
Faille dans le gestionnaire de th`emes permet d’injecter du code dans les pages g´en´er´ees : < s c r i p t s r c=" http :// focusa . net / gcoxiio . js "></s c r i p t >
gcoxiio.js redirige vers un site en fonction du referer Referer : www.google.fr/search ?q=certified+viagra&ie=utf-8 Redirection : i f ( document . r e f e r r e r . toLowerCase ( ) . i n d e x O f ( ’ viagra ’)!= −1) l o c a t i o n . h r e f=’ http :// pillsonline . biz / viagra . htm ’ ;
Utilisateur emmen´e vers http ://pillsonline.biz/viagra.htm F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
33/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Cas r´eel : pills online (3/3)
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
34/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization White Hat SEO Black Hat SEO Exemples avanc´es Aggressive Black Hat SEO
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
35/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
White Hat SEO Black Hat SEO Exemples avanc´ es Aggressive Black Hat SEO
Retourner le black Hat SEO Objectif Diminuer le page rank d’un site comp´etiteur Quelques id´ees malsaines mais pas ill´egales . . . Injecter des mots cl´es empoisonn´es dans le site cible : sex, drug, medicine, viagra, casino. . . Google browling : ajouter des liens vers la cible depuis de mauvais sites Encore plus efficace avec des sites bannis (black list)
Google Washing : utiliser un vieux domaine pour cloner le site de la cible, puis d´enoncer ce dernier en tant que contenu dupliqu´e ⇒ les SE bannissent souvent le site le plus r´ecent Et beaucoup d’autres ! ! !
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
36/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization
3
Il ´etait une fois . . .
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
37/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Situation Joueurs Proctor : une SSII fran¸caise Ressources limit´ees, pilot´ee ` a vue par du cost killing
Tonton : une ´enorme entreprise indienne touche-`a-tout Beaucoup d’employ´es beaucoup moins chers que les europ´eens
G´en´eralit´es Objectif : Tonton veut rentrer dans le march´e europ´een Vecteur : en achetant une entreprise d´ej`a install´ee et connue Moyen : ´epuiser les ressources de Proctor pour qu’elle ait besoin d’aide Limites : ne pas trop d´et´eriorer l’image commerciale de Proctor
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
38/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization
3
Il ´etait une fois . . . La strat´egie g´en´erale White ops et SEO Black ops et hacking
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
39/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : strat´egie g´en´erale ´ Epouse moi Tonton propose un partenariat `a Proctor : Un tr`es tr`es gros (et juteux) contrat en Inde, o` u Proctor veut se d´evelopper En ´echange, Proctor doit proposer ` a Tonton d’autres contrats en Europe
Ce premier contrat indien est r´eellement int´eressant pour Proctor Tonton refile ensuite d’autres contrats (pourris) `a Proctor sur le march´e indien R´esultats Proctor : resources engag´es sur plusieurs fronts, nouveaux business, proc`es Tonton : vue interne de Proctor, moins de ressources impliqu´ees F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
40/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : strat´egie g´en´erale I n d i a
Tonton & Proctor négocient
T & P font leur 1er gros contrat
Contrat pour P Contrat pour P
Contrat pour T
Grosse charge Petits bénéfices
a
Procés
T : Tonton (cie indienne) P: Proctor (cie européenne) PR: Public Relation
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
41/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : droguer les commerciaux de Proctor Bonheur ou d´eception pour le mari´e Fournir une liste de clients potentiels `a plusieurs commerciaux ⇒ d´epense d’´energie pour les contacter Appels d’offre : les surveiller et les transmettre `a Procor pour qu’ils r´epondent ⇒ d´epense d’´energie pour les gagner D´ebaucher des commerciaux : leur montrer que la vie est meilleure ailleurs ⇒ tensions internes et d´emissions R´esultats Proctor : les commerciaux vont avoir beaucoup de boulot, afin qu’ils soient satur´es Tonton : d´ecouverte du march´e europ´een avec la veille, attente de l’´epuisement
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
42/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : droguer les commerciaux I n d i a P a r i s
Tonton & Proctor négocient
T + PR
Contrat pour P
T & P font leur 1er gros contrat
Exposition Veille de T sur le marché .fr
Contrat pour P Liste des visiteurs
Contrat pour T
Grosse charge Petits bénéfices
a
Procés Liste transmise Débauchage de aux commerciaux commerciauxAppels d'offre
T : Tonton (cie indienne) P: Proctor (cie européenne) PR: Public Relation
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
43/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization
3
Il ´etait une fois . . . La strat´egie g´en´erale White ops et SEO Black ops et hacking
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
44/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : la-vie-en-SSII.org
Le temps de l’opposition Il n’existe pas de site racontant la vie en SSII ⇒ en cr´eer un, le mettre en avant S’appuyer sur les informations recueillies durant la phase de collecte Contacter un agence de relations publiques pour promouvoir (proposer des contenus nouveaux et innovants !) S’appuyer sur le white hat SEO pour institutionnaliser le site Ne jamais parler directement de Proctor ⇒ cr´eation d’un outil d’influence long terme
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
45/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : la-vie-en-SSII.org I n d i a P a r i s
Tonton & Proctor négocient
T + PR
Contrat pour P
T & P font leur 1er gros contrat
Exposition Veille de T sur le marché .fr
Contrat pour P
Contrat pour T
Grosse charge Petits bénéfices
a
Procés Liste transmise Débauchage de aux commerciaux commerciauxAppels d'offre
Liste des visiteurs
informer S E O
la-vie-enSSII.org
Collaborateurs Anciens employés Clients
PR => presse
"mauvais" contenu Etudes sur les salaires
T : Tonton (cie indienne) P: Proctor (cie européenne) PR: Public Relation
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
46/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : SEO agressif pour faire taire Proctor
The sound of silence Google bowling : faire pointer des sites pourris vers Proctor (racisme, sexe, drogues, casino, . . . ) Cr´eer des sites pourris avec les mˆemes mots cl´es que ceux de Proctor Utiliser des sites black list´es
Contenu dupliqu´e : trouver ou cr´eer du contenue dupliqu´e sur le site de Proctor Blogs, forum, . . . , peuvent avoir bcp de liens pointant vers la mˆeme page http://proctor.com/blogs?lang=fr http://proctor.com/blogs?lang=en
Ferme de liens : cr´eer automatiquement bcp de sites parlant de Proctor, pointant tous vers Proctor
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
47/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : SEO agressif pour faire taire Proctor I n d i a P a r i s
Tonton & Proctor négocient
T + PR
Contrat pour P
T & P font leur 1er gros contrat
Exposition Veille de T sur le marché .fr
Contrat pour P
Contrat pour T
Grosse charge Petits bénéfices
a
Procés Liste transmise Débauchage de aux commerciaux commerciauxAppels d'offre
Liste des visiteurs
informer S E O
la-vie-enSSII.org
Collaborateurs Anciens employés Clients
PR => presse
"mauvais" contenu Etudes sur les salaires Link farms
S E O
proctor.com
Google washing
Google bowling
Exploitation de failles
T : Tonton (cie indienne) P: Proctor (cie européenne) PR: Public Relation
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
48/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Roadmap
1
Attaques informationnelles
2
Search Engine Optimization
3
Il ´etait une fois . . . La strat´egie g´en´erale White ops et SEO Black ops et hacking
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
49/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : owner le r´eseau local Un ordinateur portable vol´e suffit. . .
Printing Server jdupont : ******** Administrator : (vide)
jdupont
empty pwd
sqlserver / sa
DB Server admprov : ******* admsql : ****** srvadm : srv0dm
admprov
2 domain controlers 1289 accounts 8 admin Administrator (********) jrichard (********) jdupont (********) jkevin (********) dvador (********) samva (********) cveso (********!) obade (********) File and printing servers
Standard station locadm : ******** locuser : qwerty locadm
rv
weak password known password
F. Raynal & F. Gaspard
Backup Server + master sv_deploy : d3pl0y75 Administrator : $admin$
Project rv : rv Administrator : *******
Administrator
Several servers (Lotus Notes, mails, ...)
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
50/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : owner le r´eseau local I n d i a P a r i s
Tonton & Proctor négocient
T + PR
Contrat pour P
T & P font leur 1er gros contrat
Exposition Veille de T sur le marché .fr
Contrat pour P
Contrat pour T
Grosse charge Petits bénéfices
a
Procés Liste transmise Débauchage de aux commerciaux commerciauxAppels d'offre
Liste des visiteurs
informer S E O
la-vie-enSSII.org
Collaborateurs Anciens employés Clients
PR => presse
"mauvais" contenu Etudes sur les salaires Link farms
S E O
proctor.com Google bowling
L A N
Vol de portable
Own AD
Own www
Google washing Exploitation de failles Poison keywords Cloaking bruit
Own SMTP
T : Tonton (cie indienne) P: Proctor (cie européenne) PR: Public Relation
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
51/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : ressources (in)humaines D´ebaucher les gens Se concentrer sur les key people et leur envoyer de meilleure offre d’emploi Utiliser l’acc`es au LAN pour r´ecup´erer les CVs des collaborateurs, et les perdre malencontreusement sur Internet : quelques concurrents sauront quoi faire avec Process d’embauche : la chasse aux fantˆ omes La recherche de candidats sur Internet ne se fait qu’au travers d’un tout petit nombre de sites : rendre l’acc`es `a ces sites difficile Sur le proxy ou au stockage (partag´e), modifier dans les CVs ce qui ressemble `a un email ou un t´el´ephone
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
52/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Acheter Proctor : ressources (in)humaines I n d i a P a r i s
Tonton & Proctor négocient
T + PR
Contrat pour P
T & P font leur 1er gros contrat
Exposition Veille de T sur le marché .fr
Contrat pour P
Contrat pour T
Grosse charge Petits bénéfices
a
Procés Liste transmise Débauchage de aux commerciaux commerciauxAppels d'offre
Liste des visiteurs
informer S E O
la-vie-enSSII.org
Collaborateurs Anciens employés Clients
PR => presse informer
Etudes sur les salaires Link farms
S E O
proctor.com Google bowling
L A N
Vol de portable
Own www
Own AD vol Key people
H R
Recrutement T : Tonton (cie indienne) P: Proctor (cie européenne) PR: Public Relation
F. Raynal & F. Gaspard
"mauvais" contenu Articles
Google washing Exploitation de failles Poison keywords Cloaking bruit
Own SMTP
fuite
CVs envoyés à des cabinets de recrutement Débauchages
Faux CVs Altérer les CVs Limiter l'accès
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
53/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Conclusion Tout m´elanger astucieusement Attaquer avec l’information est complexe, mais peu de parade L’attaquant a l’initiative, un r´eel avantage Assez facile avec du temps et peu de moyen d’amplifier l’attaque
SEO est une combinaison de pratiques simples, d’astuce et de hacking G´en´eralement appliqu´e ` a son propre site web Transposable au site web de n’importe qui (mˆeme sans qu’il le sache)
⇒ Un m´elange efficace Internet est un endroit parfait pour propager de l’information (ex. : d´eception et autres) Le contenu est mis en perspective grˆ ace au SEO Ne pas oublier qu’on peut aussi jouer sur d’autres terrains
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
54/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
Questions & (peut-ˆetre) R´eponses
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
55/56
Introduction Attaques informationnelles Search Engine Optimization Il ´ etait une fois . . .
La strat´ egie g´ en´ erale White ops et SEO Black ops et hacking
References I
Search engine optimization http ://en.wikipedia.org/wiki/Search engine optimization
Captcha Breaking W/ PHPBB2 Example
http ://www.bluehatseo.com/user-contributed-captcha-breaking-w-phpbb2-examp
Page Hijack : The 302 Exploit, Redirects and Google http ://clsc.net/research/google-302-page-hijack.htm
Web spam techniques R. S. Liverani – http ://malerisch.net/docs/web spam techniques/web spam techniques.html
F. Raynal & F. Gaspard
Petit trait´ e de e-manipulation ` a l’usage des honnˆ etes gens
56/56