Un influenceur YouTube avec des centaines de milliers d’abonnés encourage les abonnés à mener une cyberguerre contre la Russie.
Dans un plaidoyer lancé cette semaine sur sa chaîne, le YouTuber a démontré comment les téléspectateurs pouvaient télécharger un outil gratuit de test d’intrusion (DDoS) appelé Libérateur et « arrêtez cette machine de propagande russe ».
Bien que la cause puisse sembler valable et attrayante, dans quelle mesure le DDoS est-il légal et les utilisateurs peuvent-ils avoir des ennuis ?
YouTuber : « J’AI BESOIN DE VOTRE AIDE ! »
Dans une vidéo YouTube diffusée en streaming le jeudi 28 avril, un vlogger, Exploitation de box—qui compte plus de 268 000 abonnés, a demandé l’aide de tous pour arrêter la propagande russe, au milieu de l’invasion continue de l’Ukraine par le Kremlin.
La vidéo YouTube en question a jusqu’à présent généré plus de 86 000 vues et compte au moment de la rédaction.
« J’ai besoin de votre aide pour soutenir l’Ukraine ! Depuis quelques semaines, il y a eu de nombreuses campagnes de désinformation et de fausses nouvelles de la part du gouvernement russe », déclare le YouTuber.
« Ces fausses nouvelles ont inondé les médias et ont eu des effets différents dans le monde entier. »
« Très rarement, je demande de l’aide aux gens, mais c’est une situation où vous pouvez rejoindre la cyberguerre contre la Russie pour arrêter cette machine de propagande russe », a poursuivi Box Mining.
Sans perdre de temps, Box Mining montre rapidement comment télécharger un outil de sécurité offensif appelé « Liberator » et participer à la cyberguerre contre la Russie en n’utilisant rien d’autre que vos propres ordinateurs et une connexion VPN.
Créé par le groupe hacktiviste, ‘déséquilibreur‘, l’application Liberator fonctionne en utilisant votre ordinateur pour attaquer les sites Web russes qui diffusent des informations erronées liées à l’actualité.
Liberator mène ce qu’on appelle un Déni de service distribué (DDoS) attaque.
Une attaque DDoS fonctionne par plusieurs machines (bots) inondant à plusieurs reprises les serveurs d’un site Web avec des demandes excessives dans un court laps de temps, de sorte que les serveurs manquent de leur bande passante allouée et ne répondent plus.
Un test de Liberator est présenté ci-dessous sur un appareil macOS. Dès que l’outil s’exécute, il commence à « rechercher la cible du Kremlin à vaincre… ».
La liste des sites Web que l’outil commence à attaquer est organisée par l’équipe disBalancer.
De toutes les cyberattaques, les attaques DDoS peuvent être assez faciles à mener car elles n’impliquent aucun « piratage » ou violation de la cible – le simple fait d’inonder les serveurs de requêtes Web répétées (paquets) peut les faire « geler » pendant un certain temps et cesser de servir des pages Web.
C’est probablement la raison pour laquelle les groupes hacktivistes et les acteurs de la menace, y compris les rançongiciels et les gangs d’extorsion, ont exploité les attaques DDoS contre leurs cibles à un moment donné.
Plus récemment, le groupe hacktiviste russe « Killnet » a lancé des attaques DDoS sur les sites du gouvernement roumain.
Règles de YouTube interdire généralement contenu qui montre comment utiliser des ordinateurs et du matériel informatique pour effectuer un piratage, mais la politique semble s’appliquer plus spécifiquement aux instructions sur le vol d’informations d’identification, la compromission de données personnelles et le « préjudice grave à autrui » en piratant leurs comptes de médias sociaux.
Et cela fait des vidéos DDoS une zone grise, du moins sur YouTube.
La légalité de tout cela : êtes-vous à risque ?
L’invasion en cours de l’Ukraine par la Russie a maintenant duré bien plus de deux mois et la guerre a des conséquences dévastatrices sur le peuple ukrainien et ses familles.
Un rapport publié pas plus tard qu’aujourd’hui montre des civils blessés certains avec des « blessures pourries par la gangrène ». Ces civils ont trouvé refuge dans l’aciérie d’Azovstal située dans la ville ukrainienne de Marioupol.
Alors que 25 de ces civils ont été évacués, malheureusement, jusqu’à 1 000 vivraient encore sous l’usine.
La vue même de faits et d’images aussi bouleversants peut véritablement inciter les internautes, même ceux basés en dehors de la région russo-ukrainienne, à agir.
Cependant, lorsque vous menez une cyberguerre, dans quelle mesure êtes-vous légalement en clair et cela pourrait-il se retourner contre vous ?
Le YouTuber derrière la vidéo dit qu’il a parlé à l’un des conseillers de disBalancer, Dyma Budorin, et explique :
« Ce n’est rien lié à quoi que ce soit de malveillant qui est fait sur l’application, mais plutôt à cause des actions de ce que le bot va faire, il va commencer à attaquer les sites Web russes, donc oui, il est signalé », Box Mining articule sa compréhension de Liberator, mais nous ne sommes pas tout à fait sûrs de cette affirmation.
Mener des attaques DDoS est une infraction pénale dans la plupart des juridictions.
Sous les États-Unis Loi sur la fraude et les abus informatiques (CFAA), les personnes reconnues coupables de se livrer à des attaques DDoS peuvent encourir jusqu’à 10 ans de prison. Loi britannique sur l’utilisation abusive des ordinateurs de 1990 interdit les attaques DDoS aussi bien. Et, Droit néerlandais comprend une législation similaire.
Même l’utilisation de « services d’amorçage et de stresseurs » viole ces actes.
Ces mots ne sont pas pris à la légère, car le ministère américain de la Justice a condamné de nombreuses personnes pour avoir mené des attaques DDoS dans le passé, notamment attaques contre les joueurs, utiliser des appareils IoT pour mener des attaqueset pour courir Services DDoS.
Pas de cryptage : votre identité peut être menacée
Alors que la vidéo a été saluée par beaucoup, qui ont apprécié l’effort, certains ont exprimé des inquiétudes quant au fait que cela pourrait être une « utilisation dangereuse » de l’audience de YouTuber et mettre les téléspectateurs en danger.
Et il semble que l’utilisateur de YouTube Déchetpeut en fait avoir raison.
Le mois dernier, des chercheurs en cybersécurité d’Avast Threat Labs mis en garde contre les attaques DDoS contre la Russie aussi convaincante que puisse paraître la cause, et a spécifiquement examiné l’application de disBalancer :
« La première chose que fait ce programme est d’enregistrer l’utilisateur, y compris des informations personnelles telles que l’emplacement (dérivé de l’adresse IP) et le nom d’utilisateur. Lorsque l’utilisateur lance l’attaque, cet enregistrement s’exécute en arrière-plan à son insu », explique Michal Salát, Avast. directeur des renseignements sur les menaces et analyste des logiciels malveillants.
« Ces informations passent par le protocole HTTP non crypté vers le serveur C&C, ce qui signifie qu’elles peuvent être facilement interceptées. De plus, il n’y a aucun moyen de savoir quel site vous attaquez, vous devez donc faire confiance à l’auteur sur les sites qu’il prétend cibler. . »
Un scénario du pire des cas supposé par Avast Threat Labs est que si le serveur C&C était compromis, toute personne prenant part à l’attaque DDoS pourrait être identifiée par son nom d’utilisateur et son emplacement.
« Cela les mettrait non seulement en danger, mais ils pourraient également être amenés à attaquer une cible différente », expliquent encore les chercheurs d’Avast.
directeur des renseignements sur les menaces de Radware, Pascal Geenens s’est aussi penché sur le sujet.
« Les hacktivistes ont anonymement promu et éduqué les membres sur la façon d’utiliser les outils d’attaque DDoS dans les coins les plus sombres de YouTube, mais un influenceur avec plus de 250 000 abonnés publiant une vidéo éditée par des professionnels fait entrer l’hacktivisme dans une nouvelle ère », a déclaré Geenens à EZpublish-france.fr dans un e-mail. .
« Des gens du monde entier proposent volontairement leurs systèmes pour en faire une arme de destruction massive DDoS utilisée dans un cyberconflit entre nations. »
« Je sympathise avec les gens qui s’opposent à la propagande de guerre, mais je m’inquiète de la façon dont cela évoluera au-delà du conflit actuel. »
« Les règles sont en cours de réécriture. Le DDoS est-il un crime ? Un mot d’avertissement. Selon la perspective, le DDoS sera considéré et poursuivi comme un crime. »
Par conséquent, avant de s’engager dans des activités risquées en ligne, y compris le hacktivisme, les utilisateurs sont invités à mener leurs propres recherches pour s’assurer qu’ils ne violent aucune loi et ne s’exposent pas à d’autres risques.