Torrent : une énorme faille de sécurité repérée dans 3 célèbres sites de téléchargement illégal

[duJambon]

Le blog TorrentFreak aurait repéré une faille dans les sites de torrent privés qui permet d’avoir accès aux données personnelles de leurs utilisateurs. Le problème viendrait d’un code communément utilisé par tous ces services.

Un informateur, qui a tenu à garder l’anonymat, aurait pointé TorrentFreak vers trois gros sites de torrent privés problématiques. Ils exposent, à leur insu, une sérieuse faille de sécurité. Le chercheur a pourtant le plus grand mal à entrer en contact avec les gestionnaires de ces services pour les avertir.

Page d’admin non protégée de Torrrent Auto Loader accessible depuis un navigateur / Crédit : TorrentFreak

Le problème viendrait du programme Torrent Auto Loader utilisé par les trois trackers. Ce dernier se lance lorsque de nouvelles sources apparaissent dans d’autres trackers. Il télécharge automatiquement et transfère automatiquement les torrents et autres types de fichiers d’une plateforme à l’autre. Le problème est que la page d’administration de Torrent Auto Loader est accessible à n’importe qui : elle n’est pas protégée par mot de passe. Les trois sites de torrent privés utilisent l’un de ces deux clients torrent : rTorrent ou ruTorrent.

Torrent Auto Uploader s’appuie sur des clients torrent pour transférer du contenu. Les trois sites en question utilisent tous des clients rTorrent avec une interface utilisateur Web ruTorrent. Nous le savons parce que le chercheur a envoyé tout un tas de captures d’écran et d’informations complémentaires qui confirment l’accès aux clients torrent ainsi qu’au logiciel Torrent Auto Uploader.

L’image ci-dessus montre des expurgations sur l’onglet de suivi pour une bonne raison. Dans une configuration normale, les utilisateurs de torrent peuvent voir les noms des trackers coordonnant leurs téléchargements. Cette configuration n’est pas différente, sauf que ces URL font référence à trois trackers différents fournissant le contenu à l’un des trois sites compromis.

…

Ensuite, il y a un accès aux “outils du personnel” sur la même page qui se connectent à d’autres pages permettant les changements de nom d’utilisateur, les examens des applications de téléchargement et une liste des utilisateurs qui se comportent mal qui doivent être surveillés. Cela s’ajoute aux profils d’utilisateurs, au nombre de torrents actifs et à tout ce que l’on peut imaginer.

Une autre capture d’écran présentant un torrent lié à un film de 2022 révèle l’URL d’un autre tracker de fournisseur tiers. Certaines requêtes de base sur cette URL mènent à encore plus de sites torrent. Et à partir de là, de plus en plus, et de plus en plus - révélant des clés torrent pour chacun sur le chemin.

Les failles de sécurité doivent être corrigées le plus tôt possible, mais il est difficile de trouver des opérateurs dans ce créneau. Les utilisateurs de tous les sites voudront peut-être faire un peu de bruit dans l’espoir que les trois qui comptent réellement fassent quelque chose.

Les sites de torrent privés ont pour réputation d’être plus sûrs que leurs équivalents grand public. Ce serait tout l’inverse en ce qui concerne les trois services mentionnés par la source anonyme. La menace de diffuser les données des membres payants est si forte, que TF déclare : « le chercheur veut protéger les utilisateurs de ces plateformes, mais si nous nommions les sites ici, cela ne laisserait pas assez de temps aux admins pour en être informés et agir en conséquence ». Les exploitants de ces sites doivent donc se reconnaître… et vite combler cette faille critique.

Un site à déjà corrigé le problème, mais il en reste encore deux.

Sources: https://www.phonandroid.com/trois-gros-sites-de-torrent-prives-presentent-une-faille-qui-donne-acces-aux-donnees-des-utilisateurs.html
Et https://torrentfreak.com/major-private-torrent-sites-have-a-security-disaster-to-fix-right-now-230103/

[Rapace]

merci pour l’article mais j’ai pas tout compris ^^

[duJambon]

@Rapace Ben les pirates se sont fait pirater et les infos personnelles contenues dans les sites qui utilisent le module Torrent Auto Uploader sont accessibles et les sites eux-même peuvent subir pas mal de dégâts via l’interface administrateur.

Je ne sais pas combien de sites torrent européens utilisent ce module qui sert à piquer les nouveaux torrents d’un site pour les mettre à disposition dans le sien.

[Ancien 001]

Merci pour l’article en français ^^

[Rapace]

ah d’accord c’est bien ce que j’ai cru comprendre, bah c’est pas top du tout cette affaire !
merci pour l’explication en tous cas @duJambon c’est cool