Esta ideia não é original e o link para o conteudo que me deu essa ideia já se perdeu no limbo que é meu histórico de navegação.

É algo simples e não tão eficaz para descobrir a senha de alguem, mas o que me inspirou a codificar foi o fato do autor original ter decidido não compartilhar seus scripts. Eu queria ver o bagulho funcionando e publicar na internet para causar o caos e desespero.

Há uns meses atrás, surgiu esse banco de 1.4 bilhões de credenciais compiladas desses leaks que acontecem uma vez ou outra. No arquivo há contas advindas de vazamentos de sites como Linkedin, Badoo, Twitter, Sony e outros. É um torrent de 41gb (magnet:?xt=urn:btih:7ffbcd8cee06aba2ce6561688cf68ce2addca0a3&dn=BreachCompilation&tr=udp%3A%2F%2Ftracker.openbittorrent.com%3A80&tr=udp%3A%2F%2Ftracker.leechers-paradise.org%3A6969&tr=udp%3A%2F%2Ftracker.coppersurfer.tk%3A6969&tr=udp%3A%2F%2Fglotorrents.pw%3A6969&tr=udp%3A%2F%2Ftracker.opentrackr.org%3A1337) organizado alfabeticamente a acompanhado de scripts para procurar nos arquivos a conta de alguém com base no email e até importar novos leaks.

Não é segredo que as pessoas costumam reutilizar a mesma senha em todo lugar, desde a conta bancária ao site fundo de quintal de joguinhos online. E é aí que elas podem se foder.

De nada adianta ter uma ótima senha se você usa-la em todos os lugares. É como usar a mesma chave para sua casa, seu carro, sua caixa postal e seu cofre. E ter várias cópias dessa chave guardadas em lugares variados. Basta perder uma dessas únicas chaves e você dá acesso a porra toda. Não parece  inteligente quando se põe de forma tão pragmática, não é?

Quando se tem acesso a esses vazamentos, a primeira coisa que eu, ou outra pessoa má intencionada, faria, é verificar se sua mesma senha vazada é a que usas no email. Porque normalmente acesso ao email é acesso a todas as contas associadas a ele. Vai ser uma boa dor de cabeça. Vai ser melhor ainda se você usar essa mesma senha nos serviços da empresa onde trabalha.

Para os meus testes, peguei o arquivo da minha agenda e escrevi um script para extrair apenas os endereços de emails:

Rápido e eficiente:

Com a lista de emails dos meus chegados em mãos, era o momento de tentar pegar as senhas.

Existe um site chamado https://haveibeenpwned.com/ que verifica se determinado email já foi encontrado em algum dump de credenciais. Ele oferece uma API que usei para checar quais emails da minha lista já tinham tido alguma credencial vazada.

O script responsável por isso não foi de minha autoria. Fiz algumas modificações que julguei necessárias mas mantive os créditos.

Funciona perfeitamente:

Ok, mas saber quem teve sua credencial vazada não é útil para nossos fins. Útil mesmo é saber a credencial.

Então, criei um script que usa o módulo haveibeenpwned para checar se o email já foi associado a algum leak. Caso tenha sido, chama-se o script query.sh para buscar a credencial no dump.

Agora com tudo automatizado, foi só mandar rodar e assistir.

E algumas senhas já começaram a surgir.

60% das pessoas na minha agenda não foram encontradas nos leaks e umas 15% das que foram não tinham senhas expostas nos leaks que baixei. Não cheguei a testar as senhas porque estaria confessando um crime se dissesse que testei, mas foi uma experiência divertida escrever e ver o código funcionando. A diversão mora no processo e não na recompensa, já dizia alguma imagem inspiracional aleatória publicada no instagram de alguém.

Agora saia daqui e vá testar com os emails dos seus amigos! Só nunca acesse algo que não tenha a explicita autorização para isso.

tags: estudo, ferramentas, programacao,