Социальная Инженерия. Методология проведения атак

Любая социально-инженерная атака имеет следующую методологию:

1. Сбор информации - Конкурентная разведка (RECON/OSINT)

2. Фрейминг (Framing)

3. Использование предлогов (Pretexting)

4. Манипулирование

Сбор информации

Думаю здесь можно много не писать, ведь навыками конкурентной разведки должен обладать любой пентестер. Как можно проводить пентест, не имея никакой информации о цели?

Для себя я определил ряд навыков и утилит, которые позволять собрать максимально количество информации о цели.

1. Старый добрый Google

Умение правильно построить запрос является основой для всего, будь то конкурентная разведка или обычное программирование.

Для расширения знаний, советую посмотреть выступления Масаловича А.И. Их можно найти на канале PositiveTechnologies.

2. Владение социальными сетями

Это просто кладезь информации. В наше время люди всю свою личную жизнь выкладывают на всеобщее обозрение и даже не задумываются о том что это может принести им кучу проблем. Также, при определенных манипуляциях можно достать и контактные данные цели. Полезной будет вот эта статья: Деанонимизация для домохозяек.

3. Утилиты автоматизация поиска

Определил для себя ряд утилит, которые позволяют собрать максимальное количество информации по ресурсам и организациям.​

1) DataSploit — утилита автоматизации поиска по открытым ресурсам. Если все правильно настроить и зарегистрироваться где надо, собирает быстро и довольно много информации. Так же экспортирует все в html файл в читабельном виде.

2) Recon-ng — наверное одна из самых крупных утилит с большим функционалом. Требует в принципе почти все те же ресурсы, что и DS. Входит в стартовый пакет Kali.

3) theHarvester — входит в стартовый пакет Kali.

4) Foca — утилита поиска и сбора документов и анализа метаданных. К сожалению доступна под платформу Windows, но можно развернуть и под Linux, правда придется поработать с wine или playonlinux.

Кому будет мало, есть OSINT Framework, тут можно найти утилиту и ресурс для любых потребностей.​

Фрейминг

Фрейминг — это тщательный анализ собранной информации и выбор точек взаимодействия (манипулирования) с целью. Так сказать поиск слабых мест.

Наверное самый сложный этап в СИ. Собрал кучу информации, а что с ней дальше делать? И тут начинается долгий и нудный анализ. Для фрейминга может подойти все, начиная от увлечений человека и заканчивая слабостями.

Тут будут действенны навыки психологии. Полезно будет ознакомится с творениями прародителя понятия Социальной Инженерии:

Кевина Митника: Искусство обмана, Искусство Вторжения ну и до кучи Призрак в сети.

Эрик Берн — Игры, в которые играют люди. Люди, которые играют в игры. Книга довольно сложная, но позволяет не хило так понят психологию человека.

Использование предлогов (Pretexting)

Проанализировали инфу, нашли все действенные фреймы и можно приступать к использованию предлогов.

Тут подразумевается составление легенды (сценария), по которой вы будете воздействовать на цель, чтобы войти к ней в доверие.

Говоря по-конкретней, нужно уметь красиво писать электронные письма, ну либо уметь отлично трепать языком, если вы, конечно, собираетесь заниматься Вишингом (Vishing). Думаю таких будет мало, поэтому для нас будет в приоритете Фишинг (Phishing). Поэтому тут нужны хорошие навыки верстки, то есть знания HTML и CSS. Также, важным будет получить образцы деловых писем компаний или ресурсов, где сидит (работает) цель.

Манипулирование

Завершающий этап СИ атаки. Тут уже нужны технические навыки. Ведь мало написать письмо, нужно же что-то приложить к письму, чтобы цель сделала то, что нам нужно.

Манипулирование осуществляется по двум направлением:

1. Извлечение (Elicitation)

2. Доставка полезной нагрузки (Payload)

В качестве извлекаемых данных чаще всего выступают учетные данные на каком либо ресурсе, поэтому тут все упирается в знания языков Web-разработки (PHP, Python, Ruby, JS и т.д) и верстка (СSS, HTML). Для удобства посоветую написать какой нибудь парсер HTML, чтобы быстрее получать всю верстку страниц, а то на это много времени уходит, если писать руками, но не забывайте про изменение селекторов, иначе почтовики не пропустят ссылку.

Дальше регаешь домен, заливаешь все на хостинг и считаешь клики, да собираешь учетки. Вот ряд бесплатных доменов, которые можно свободно зарегистрировать: .tk .ml .ga .cf .gq. Большинство почтовиков еще пока пропускают их.

В общем то и все. Напоследок хочу добавить пару книг:

Christopher Hadnagy - Social Engineering: The Art of Human Hacking. Книжка у нас не издавалась и есть только на английском, в инете можно найти в pdf, ну либо заказать в бумажном виде, я не поскупился и сделал так. Там описывается все об СИ. В том числе и про сказанную методологию.

И его же книга про Фишинг: Phishing Dark Waters: The Offensive and Defensive Sides of Malicious Emails — в ней описываются все принципы данного процесса, как строить письмо, когда рассылаться, на что именно акцентировать внимание.