Si vous faites du pentest, il doit vous arriver parfois de lancer un petit bruteforce sur un formulaire un peu pourri, pour tester les mots de passe classiques gens 1234, ou admin…etc. Mais parfois, certains formulaires de connexion donnent envie de se flinguer… Les sélecteurs CSS changent à chaque rafraîchissement, les noms des champs sont aléatoires…etc bref, ça peut vite être un véritable labyrinthe pour automatiser quoi que ce soit.

Heureusement pour vous les amis, le développeur Mor David s’est occupé du problème et a inventé BruteForceAI, un outil de bruteforce qui comme son nom l’indique, embarque une bonne dose d’intelligence artificielle.

La petite subtilité donc avec BruteForceAI, c’est qu’il ne se contente pas de lancer des milliers de combinaisons en mode berserk. Non, l’outil étudie d’abord la page HTML avec un modèle de langage qui comprend la structure du formulaire. Cette première phase atteint un joli 95% de précision dans l’identification des éléments de connexion, comme ça plus besoin de passer des heures à mapper manuellement les sélecteurs CSS.

C’est un système en deux temps où l’IA déchiffre d’abord le HTML et génère automatiquement les sélecteurs CSS nécessaires. Puis seulement après, l’attaque démarre avec des comportements qui imitent un humain : délais aléatoires, rotation des user-agents, logique de retry intelligente. L’outil peut même détecter les changements dans le DOM pour valider qu’une connexion a réussi.

Pour faire tourner la bête, il vous faudra Python 3.8+, Playwright pour l’automatisation du navigateur, et un modèle LLM. Vous avez le choix entre Ollama en local avec llama3.2:3b (pratique pour rester discret) ou Groq dans le cloud avec llama-3.3-70b-versatile si vous voulez plus de puissance.

Les modes d’attaque proposés sont assez classiques mais efficaces… Par exemple, le mode Brute-Force teste exhaustivement toutes les combinaisons possibles, tandis que le mode Password-Spray est plus subtil puisqu’il teste chaque mot de passe sur plusieurs comptes pour éviter les blocages après X tentatives échouées. Cette dernière technique est d’ailleurs redoutable contre les entreprises qui imposent des politiques de mots de passe uniformes.

D’après une analyse récente de CipherX Labs , l’IA rend le cracking de mots de passe 100 fois plus rapide qu’avec les méthodes traditionnelles. Un mot de passe de 10 caractères, même avec majuscules, minuscules et symboles, est maintenant considéré comme faible. L’aspect éthique est évidemment crucial ici et Mor David insiste sur le fait que l’outil est uniquement destiné aux tests de sécurité autorisés, à la recherche et aux programmes de bug bounty. Si vous faites des choses illégales avec ça, vous irez obligatoirement en prison et ce sera bien fait pour vous !

BruteForceAI dispose aussi d’un système de notifications plutôt bien pensé. Quand l’outil trouve des identifiants valides, il peut vous prévenir via Discord, Slack, Teams ou Telegram. Tout est loggé dans une base SQLite pour l’analyse post-attaque. Le côté multi-threadé permet aussi de lancer plusieurs attaques en parallèle, avec des timing humains pour éviter la détection.

Alors pour se défendre contre ce genre d’outils, les méthodes classiques ne suffisent plus… Par exemple, compter les tentatives de connexion échouées, c’est un peu has been… Non, maintenant il vous faut des systèmes de détection comportementale qui analysent les patterns d’accès en temps réel, du type UEBA (User and Entity Behavior Analytics). Les entreprises qui n’ont pas encore intégré ce genre de solutions sont aujourd’hui des cibles faciles pour les cybercriminels.

En plus, PassGAN et d’autres outils similaires apprennent à partir des bases de données de mots de passe qui ont fuité…. Plus il y a de fuites, plus l’IA devient efficace pour prédire les prochains mots de passe. C’est un cercle vicieux où chaque fuite de données nourrit la machine qui causera les prochaines fuites de données…

Maintenant si vous voulez tester BruteForceAI (sur vos propres systèmes, hein), l’installation est simple :

clonez le repo, installez les dépendances avec pip, téléchargez un des navigateurs Playwright, et c’est parti. Les commandes de base ressemble à ça :

# Etape 1: Analyser le formulaire
python main.py analyze --urls targets.txt --llm-provider ollama --llm-model llama3.2:3b

# Etape 2: Attaquer avec 20 threads
python main.py attack --urls targets.txt --usernames users.txt --passwords passwords.txt --threads 20 --delay 5 --jitter 2

Savez-vous ce qu’est un Tarpit ?

Alors, non, c’est pas l’ex d’Angelina. C’est plutôt l’équivalent numérique du nid de poule rempli de goudron dans lequel allaient mourir les dinosaures et les mammouth. Un tarpit est donc un système informatique qui va ralentir, voire embourber, n’ayons pas peur des mots ^^ les scripts kiddies qui seraient tentés de faire du bruteforce sur votre serveur.

Vous l’aurez compris, c’est donc un système de sécurité qui fait perdre du temps à l’assaillant en lui faisant croire qu’il est bon endroit, mais où chacun de ses essais de mots de passe devient de plus en plus lent.

Alors comment est ce qu’on met ça en place ?

Et bien sur votre serveur Linux, vous pouvez opter pour l’outil Endlessh. C’est open source, et c’est vachement efficace contre les bruteforce à destination de SSH. Une fois configuré, quand l’attaquant arrive sur l’écran de connexion SSH, tout ce qu’il fera ou verra à l’écran sera en réalité un faux écran de login SSH propulsé par Endlessh qui s’affichera tellement lentement que la seule option sera d’abandonner l’attaque.

Tout est réglable, à savoir le port utilisé, le délai d’affichage des messages, le nombre max de clients…etc.

Usage: endlessh [-vhs] [-d MS] [-f CONFIG] [-l LEN] [-m LIMIT] [-p PORT]
  -4        Bind to IPv4 only
  -6        Bind to IPv6 only
  -d INT    Message millisecond delay [10000]
  -f        Set and load config file [/etc/endlessh/config]
  -h        Print this help message and exit
  -l INT    Maximum banner line length (3-255) [32]
  -m INT    Maximum number of clients [4096]
  -p INT    Listening port [2222]
  -s        Print diagnostics to syslog instead of standard output
  -v        Print diagnostics (repeatable)

De base, les gens qui utilisent ce tarpit le branchent sur le port 22 (qui est normalement celui de SSH) pour utiliser un autre port pour leur vrai accès distant. Mais grâce à cet autre projet nommé Fail2ban Endlessh, il est parfaitement possible de conserver une connexion classique SSH sur le port 22, mais de rediriger les IPs qui vous maltraitent vers Endlessh.

Voilà super outil qui ne consomme rien en termes de ressources, mais qui vous permettra de vous défendre contre les tentatives de connexions SSH non autorisées tout en réduisant la charge du serveur (puisque ça dissuade les cyber-Titouan de le bruteforcer).

Merci à MaitreTofu pour le partage.