Hack tutorial: Costruire una campagna di phishing.

Redazione RHC : 15 Giugno 2021 06:21

Come fanno i criminali informatici ad avviare campagne di phishing mirate ad una determinata organizzazione (spear-phishing) o ancora meglio verso una determinata persona (whale-phishing)?

Le tecniche sono tante.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765 

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

La più semplice è utilizzare delle risorse pubbliche, che puntano ad una serie di raccolte di dati (come ad esempio le raccolte di databreach) che contengono il campo email o user (dove generalmente è presente la mail) che sono state normalizzate in modo da poterci consentire di effettuare delle ricerche efficienti ed in totali semplicità.

Le risorse che consentono OSINT per fare questo sono molte, una tra queste, che risulta interconnessa ad enormi fonti di dati attendibili(_intelligenceX), è https://phonebook.cz/.

Inseriamo quindi il nome del dominio e clicchiamo su ricerca, il sistema mostrerà un elenco di mail che risultano di pertinenza di quel dominio ricercando le mail in un database di 34 miliardi di record.

Una volta raccolte le mail, si passa alla costruzione di una perfetta mail di phishing per poter indurre gli impiegati a cliccare su un link che permetta l’inserimento di credenziali in un sito fake, l’avvio di un payload all’interno di un documento di office l’avvio di un malware di diversa natura, ecc… utilizzando come al solito:

• autorità;
• urgenza;
• paura;
• avidità;
• curiosità.

Come visto più volte negli aspetti psicologici che inducono un utente a fare cose “irrazionali”.

Ma se vogliamo effettuare un attacco di whale phishing, e quindi mirato ad una singola persona di una organizzazione? Basta collegare i nomi e i cognomi (spesso visibili nelle email) ad esempio tramite linkedin, e quindi dedurre il ruolo della persona collegata a quella determinata organizzazione partendo dalla mail prelevata in precedenza.

Ovviamente ci sono analoghe risorse per i numeri di telefono, se si volesse procedere con un attacco di Smishing o Vishing, come ad esempio PhoneInfoga, che di fatto è un programma client utilizzabile, anche sotto forma di web application.

Per creare una buona mail di phishing personalizzata, ci si può affidare ad una ricerca OSINT su Facebook, oppure utilizzare strumenti di ricerca combinata che utilizzando gli Hack Google e le Google Dork, come ad esempio Growler e Ghunt, che abbiamo già incontrato in precedenti articoli.

Mr Robot riportava

“sono bravo a leggere le persone. Il mio segreto? Cerco il peggio di loro”

oppure

“Non ho mai trovato difficile hackerare la maggior parte delle persone. Se li ascolti, guardali. Le loro vulnerabilità sono come una insegna al neon”.

Ovviamente, solo per aumentare la conoscenza del fenomeno e la cultura nella consapevolezza al rischio.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli