Hack tutorial: Costruire una campagna di phishing.

Redazione RHC : 15 Giugno 2021 06:21

Come fanno i criminali informatici ad avviare campagne di phishing mirate ad una determinata organizzazione (spear-phishing) o ancora meglio verso una determinata persona (whale-phishing)?

Le tecniche sono tante.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

La più semplice è utilizzare delle risorse pubbliche, che puntano ad una serie di raccolte di dati (come ad esempio le raccolte di databreach) che contengono il campo email o user (dove generalmente è presente la mail) che sono state normalizzate in modo da poterci consentire di effettuare delle ricerche efficienti ed in totali semplicità.

Le risorse che consentono OSINT per fare questo sono molte, una tra queste, che risulta interconnessa ad enormi fonti di dati attendibili(_intelligenceX), è https://phonebook.cz/.

Inseriamo quindi il nome del dominio e clicchiamo su ricerca, il sistema mostrerà un elenco di mail che risultano di pertinenza di quel dominio ricercando le mail in un database di 34 miliardi di record.

Una volta raccolte le mail, si passa alla costruzione di una perfetta mail di phishing per poter indurre gli impiegati a cliccare su un link che permetta l’inserimento di credenziali in un sito fake, l’avvio di un payload all’interno di un documento di office l’avvio di un malware di diversa natura, ecc… utilizzando come al solito:

• autorità;
• urgenza;
• paura;
• avidità;
• curiosità.

Come visto più volte negli aspetti psicologici che inducono un utente a fare cose “irrazionali”.

Ma se vogliamo effettuare un attacco di whale phishing, e quindi mirato ad una singola persona di una organizzazione? Basta collegare i nomi e i cognomi (spesso visibili nelle email) ad esempio tramite linkedin, e quindi dedurre il ruolo della persona collegata a quella determinata organizzazione partendo dalla mail prelevata in precedenza.

Ovviamente ci sono analoghe risorse per i numeri di telefono, se si volesse procedere con un attacco di Smishing o Vishing, come ad esempio PhoneInfoga, che di fatto è un programma client utilizzabile, anche sotto forma di web application.

Per creare una buona mail di phishing personalizzata, ci si può affidare ad una ricerca OSINT su Facebook, oppure utilizzare strumenti di ricerca combinata che utilizzando gli Hack Google e le Google Dork, come ad esempio Growler e Ghunt, che abbiamo già incontrato in precedenti articoli.

Mr Robot riportava

“sono bravo a leggere le persone. Il mio segreto? Cerco il peggio di loro”

oppure

“Non ho mai trovato difficile hackerare la maggior parte delle persone. Se li ascolti, guardali. Le loro vulnerabilità sono come una insegna al neon”.

Ovviamente, solo per aumentare la conoscenza del fenomeno e la cultura nella consapevolezza al rischio.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli