Le 22 octobre dernier, nous avons découvert une porte dérobée installée sur plusieurs des machines virtuelles qui servent à assurer les services quotidiens du réseau Mutu, qui héberge notamment Iaata.
Petit compte rendu de ce que nous savons de ce nouveau piratage, des conséquences à en tirer et des précautions à prendre par toustes les personnes et collectifs qui utilisent le site.

Le réseau Mutu, qui héberge notamment Iaata.info, connaît des attaques informatiques régulières, par exemple des robots dopés à l'IA qui parcourent le net à la recherche de failles à exploiter pour réaliser diverses basses œuvres (spam, cryptomonnaies ou attaques en chaîne). D'autres attaques, plus inquiétantes car ciblées, visent à affaiblir l'infrastructure technique autonome que nous faisons perdurer et, avec elle, les discours que nous participons à diffuser.

Petit résumé des faits

Le 22 octobre dernier, en pleine mobilisation sociale inédite par sa force et son ampleur, qui a mis à rude épreuve notre infrastructure (et tant mieux, vous étiez nombreuxses sur nos sites, merci !), nous avons découvert une porte dérobée installée sur plusieurs des machines virtuelles qui servent à assurer les services quotidiens du réseau. Nous nous sommes rendu compte à cette date que la porte dérobée était présente au moins depuis le 8 septembre, voire encore avant.

La porte dérobée était installée avec les privilèges les plus élevés possible sur les machines en question : cela signifie que les pirates avaient accès à toutes les données stockées dessus et qu'ielles étaient même en mesure de les modifier pour y injecter du code malveillant.

Qui plus est, nous n'avons malheureusement pas trouvé de traces de leurs actions ni des données qu'ielles ont pu exfiltrer. Nous ne savons pas non plus de qui il s'agissait ni même de leurs intentions ou des informations recherchées. Pour autant, au regard de la durée d'installation de la porte dérobée, il est plus que probable qu'une quantité non négligeable d'informations ait pu être collectée.

Parmi les données auxquelles ielles avaient facilement accès (et dont on peut supposer qu'ielles les ont probablement récupérées) :

  • les « hachés » des mots de passe [1], les adresses mail et les pseudos des auteurices inscrit·es sur les sites
  • les adresses mail des personnes inscrit·es aux newsletters des sites
  • les pseudos des auteurices des articles, si leurs pseudos sont restés associés aux articles en question (car il est aussi possible de se retirer d'un article en tant qu'auteurice)
  • les messages de modération et les éventuels messages internes des sites
  • les adresses IP utilisées par les visiteureuses et les auteurices pour accéder aux sites pendant toute la période où la porte dérobée était présente (et jusqu'à 15 jours avant)
  • le contenu des boîtes mail hébergées sur nos serveurs, et en particulier celle de l'adresse [email protected] : les emails reçus, envoyés, etc.

Aussi, nous ne savons pas s'ielles l'ont fait mais, au prix de quelques efforts supplémentaires, ielles étaient tout à fait en capacité :

  • d'intercepter les mots de passe en clair des personnes qui se sont connecté·es aux sites durant cette période. Si ces mots de passe sont utilisés à d'autres endroits, il nous semble crucial de les changer au plus vite à ces autres endroits aussi.
  • d'intercepter les emails envoyés aux adresses de contact des collectifs durant cette période, et de les lire s'ils n'étaient pas chiffrés.

Face à une compromission d'une aussi grande ampleur, la seule solution de notre côté est de réinstaller de nouveaux serveurs à partir de zéro afin d'éviter tout risque de « contamination » par les précédents serveurs. C'est notamment pour cela que tous les mots de passe ont été réinitialisés et que les adresses .onion des sites ont été changées (voir ici pour les nouvelles adresses).

Pour l'instant, seul le serveur web (celui qui héberge les sites) a pu être réinstallé : c'est ce qui nous paraissait être le plus urgent. Le serveur mail actuel est donc toujours potentiellement compromis, jusqu'à ce qu'on puisse en installer un nouveau. En attendant, nous recommandons à tout le monde d'utiliser le plus possible des emails chiffrés ou, à tout le moins, de ne pas envoyer d'informations sensibles par ce biais.

Enfin, nous maintenons une vigilance accrue pour nous assurer que les pirates ne trouvent pas de nouvelles failles à exploiter.

Les implications pour les auteurices et lecteurices des sites

Pour les lecteurices et visiteureuses des sites, l'adresse IP que vous utilisiez pour consulter les sites a pu être récupérée, mais les risques sont probablement assez réduits : la consultation des sites du réseau Mutu n'est pas répréhensible (pour l'instant tout du moins) et, si ça venait à être le cas, sauf si vous utilisez un VPN ou (encore mieux) le Navigateur Tor, votre fournisseur d'accès à Internet sait de toute façon que vous consultez des sites Mutu. Néanmoins, cela peut tout de même servir à alimenter les services de renseignements.

Pour les auteurices et contributeurices qui ont un compte sur ces sites, là aussi, votre adresse IP a pu être récupérée et associée aux articles auxquels vous êtes lié·es. C'est d'autant plus gênant si certains de ces articles étaient des appels ou des revendications d'actes illégaux (action, sabotage, incendie, etc.), ou même juste des contributions sensibles (type appel à manif non déclarée, conseils d'autodéfense, etc.) : si une enquête est ouverte et que les flics parviennent à mettre la main sur l'adresse IP de l'auteurice d'un tel article, ielles peuvent demander son identité à son fournisseur d'accès à Internet, à moins là encore d'avoir utilisé un VPN ou le Navigateur Tor pour masquer sa véritable adresse IP (voir les recommandations à ce sujet plus bas).

De même, si votre compte est toujours indiqué comme auteurice d'un article sensible, il est possible que cette information finisse par tomber entre les mains des flics. Nous recommandons alors d'arrêter au plus vite d'utiliser cette identité numérique (pseudo et adresse mail) afin d'éviter que les flics puissent collecter plus d'informations sur cette identité et risquer de vous retrouver.

Enfin, comme le mot de passe que vous utilisiez sur les sites a potentiellement été compromis, s'il s'agit d'un mot de passe que vous utilisez aussi pour d'autres choses (par exemple pour accéder à votre boîte mail), il est important de le changer là aussi et, si possible, d'utiliser des mots de passe différents à chaque fois.

Avec plus de sécurité collective, on est plus fortxs

Le contexte international que nous connaissons ne va évidemment pas en s'arrangeant et la fascisation actuelle pousse un grand nombre de forces gouvernementales et réactionnaires à vouloir s'en prendre à tout prix aux moyens d'expression des luttes sociales. Nous avons tristement été témoins à la fin de l'été de la manière dont les camarades d'Autistici/Inventati ont été jusqu'à être qualifié·es d'organisation terroriste par le gouvernement étatsunien pour les pousser à s'auto-dissoudre afin de ne pas mettre en danger leur utilisateurices [2]. Les groupes fascistes et les agences gouvernementales (dont les moyens nous dépassent) ne sont pas près d'arrêter leurs attaques incessantes contre nos outils et moyens de lutte, mais nous continuerons à tout mettre en œuvre pour compenser les risques existants.

Cependant, avant de lister quelques bonnes pratiques de réduction des risques informatiques, il convient de rappeler que l'outil informatique ne constituera jamais une protection absolue, qui plus est avec le développement récent d'outils d'IA spécialisés en analyse de code, qui facilitent grandement la recherche de vulnérabilités pour les pirates. Nous pouvons malgré tout agir individuellement et collectivement pour réduire les prises, traces et données que nous laissons sur les sites Internet (dont ceux du réseau Mutu !). Par exemple :

  • Toujours consulter les sites en utilisant le Navigateur Tor, qui permet à la fois de masquer son adresse IP et d'éviter de dévoiler à son fournisseur d'accès à Internet quels sites on visite. Ou, mieux encore, utiliser le système Tails, qui réduit au maximum les traces que notre ordinateur peut laisser sur Internet.
  • Utiliser un pseudonyme et une adresse mail dédiées spécifiquement pour son compte auteurice sur un site du réseau ; voire avoir plusieurs comptes avec plusieurs pseudos et adresses mail différentes (en fonction du sujet des articles que l'on poste, par exemple, pour éviter les risques de recoupements) ; voire enfin utiliser une identité « jetable » pour chaque nouvel article (avec un pseudonyme à usage unique et une adresse mail jetable comme sur https://yopmail.com ou https://www.guerrillamail.com), notamment pour les articles où le risque de répression est le plus grand. Mais si cela n'est pas possible, vous pouvez toujours vous retirer de l'article en tant qu'auteurice, ou demander à l'équipe de modération de le faire pour vous (et de supprimer tous vos messages dans le forum de modération sous l'article).
  • Utiliser un gestionnaire de mots de passe tel que KeePassXC afin de pouvoir utiliser des mots de passe longs, parfaitement aléatoires (et donc plus sûrs), différents pour chaque site, pour chaque identité, sans avoir besoin de les retenir. Dans des contextes où l'enjeu de confidentialité est moins critique, il est aussi possible d'utiliser le gestionnaire de mots de passe en ligne BitWarden. Cependant, cela signifie que vos mots de passe – chiffrés, certes – restent stockés sur leur infrastructure, ce qui les rend potentiellement plus vulnérables.
  • Pour les emails, privilégier l'envoi de mails chiffrés avec OpenPGP. Ce protocole est désormais intégré nativement sous le nom de « chiffrement de bout en bout » dans le lecteur de mails Thunderbird, que l'on peut télécharger et installer librement sur tous les systèmes. De la documentation sur son utilisation est accessible sur le site de Mozilla ainsi que dans la documentation de Tails.

De nombreuses ressources sur le sujet de la réduction des risques numériques sont aussi disponibles sur Internet ou sur la table de votre infokiosque favori. Par exemple (liste carrément non exhaustive) :

Enfin, s'il s'avérait malheureusement que ce piratage entraîne une forme ou une autre de répresssion envers vous, nous vous invitons à prendre contact avec nous mais aussi avec les legal teams les plus proches de vous. Personne ne doit se retrouver seul·e face à la répression !

Pour conclure

Sans ses contributeurices, sans ses lecteurices, le réseau Mutu n'est rien. Nous vous sommes reconnaissant·es de la confiance que vous nous faites en consultant nos sites et en les utilisant pour relayer vos informations, vos actions, vos événements ou vos communiqués. Il est important pour nous d'honorer cette confiance en tâchant au mieux d'éviter de vous mettre en danger ou de vous exposer à la répression, qu'elle vienne des flics ou des fachos.

Nous espérons que ce piratage n'aura de conséquences fâcheuses pour personne. Nous espérons aussi que les quelques pistes évoquées plus haut nous permettront à toustes, collectivement, de réduire les risques que nous prenons lorsque nous utilisons les outils informatiques, ceux du réseau Mutu comme les autres.

Au plaisir de vous lire sur nos sites,
La commission serveur du réseau Mutu

[1] Avant d'être stockés dans la base de données, les mots de passe sont passés dans une moulinette (une « fonction de hachage ») qui les rend complètement illisibles et irrécupérables. Obtenir le haché d'un mot de passe ne permet donc pas de retrouver celui-ci directement. Par contre, une personne qui connaît le haché d'un mot de passe peut essayer de deviner celui-ci : à chaque essai, ielle prend un mot de passe possible, le passe à la même moulinette, compare avec le haché dont ielle dispose, et, si les hachés sont les mêmes, c'est qu'il s'agissait du bon mot de passe. Bien sûr, chaque essai prend un peu de temps, mais un ordinateur standard est déjà capable d'en faire plusieurs milliards par seconde. Donc si le mot de passe est « faible » (c'est-à-dire trop court, un mot du dictionnaire, un mot de passe déjà fréquemment utilisé par d'autres personnes, ou une variation de c3rt41ne5 let7r3s), il pourra finir par être retrouvé, nettement plus vite que si la personne essayait les mots de passe directement sur le site, en essayant de se connecter à chaque fois.

[2] À ce sujet, consulter par exemple https://ai-support-fr.squat.net/ ou https://keepitfree.ai/.

Lire l'article original sur le site source ->