Hack tutorial: Costruire una campagna di phishing.

Redazione RHC : 15 Giugno 2021 06:21

Come fanno i criminali informatici ad avviare campagne di phishing mirate ad una determinata organizzazione (spear-phishing) o ancora meglio verso una determinata persona (whale-phishing)?

Le tecniche sono tante.

Distribuisci i nostri corsi di formazione diventando un nostro Affiliato

Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

La più semplice è utilizzare delle risorse pubbliche, che puntano ad una serie di raccolte di dati (come ad esempio le raccolte di databreach) che contengono il campo email o user (dove generalmente è presente la mail) che sono state normalizzate in modo da poterci consentire di effettuare delle ricerche efficienti ed in totali semplicità.

Le risorse che consentono OSINT per fare questo sono molte, una tra queste, che risulta interconnessa ad enormi fonti di dati attendibili(_intelligenceX), è https://phonebook.cz/.

Inseriamo quindi il nome del dominio e clicchiamo su ricerca, il sistema mostrerà un elenco di mail che risultano di pertinenza di quel dominio ricercando le mail in un database di 34 miliardi di record.

Una volta raccolte le mail, si passa alla costruzione di una perfetta mail di phishing per poter indurre gli impiegati a cliccare su un link che permetta l’inserimento di credenziali in un sito fake, l’avvio di un payload all’interno di un documento di office l’avvio di un malware di diversa natura, ecc… utilizzando come al solito:

• autorità;
• urgenza;
• paura;
• avidità;
• curiosità.

Come visto più volte negli aspetti psicologici che inducono un utente a fare cose “irrazionali”.

Ma se vogliamo effettuare un attacco di whale phishing, e quindi mirato ad una singola persona di una organizzazione? Basta collegare i nomi e i cognomi (spesso visibili nelle email) ad esempio tramite linkedin, e quindi dedurre il ruolo della persona collegata a quella determinata organizzazione partendo dalla mail prelevata in precedenza.

Ovviamente ci sono analoghe risorse per i numeri di telefono, se si volesse procedere con un attacco di Smishing o Vishing, come ad esempio PhoneInfoga, che di fatto è un programma client utilizzabile, anche sotto forma di web application.

Per creare una buona mail di phishing personalizzata, ci si può affidare ad una ricerca OSINT su Facebook, oppure utilizzare strumenti di ricerca combinata che utilizzando gli Hack Google e le Google Dork, come ad esempio Growler e Ghunt, che abbiamo già incontrato in precedenti articoli.

Mr Robot riportava

“sono bravo a leggere le persone. Il mio segreto? Cerco il peggio di loro”

oppure

“Non ho mai trovato difficile hackerare la maggior parte delle persone. Se li ascolti, guardali. Le loro vulnerabilità sono come una insegna al neon”.

Ovviamente, solo per aumentare la conoscenza del fenomeno e la cultura nella consapevolezza al rischio.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli