💬 Приветствую тебя user_name.
👨🏻💻 Продолжаем разбирать этапы успешной атаки на организацию с использованием СИ. На этот раз, поговорим о подготовке. Одним из важнейших этапов атаки, является сценарий. От выбора сценария, будет зависеть успешность твоей атаки. Для этого нужно определиться, каким именно будет твой сценарий, а именно: для конкретной цели, общий типовой или массовый.‼️ В общем, нам надо решить, как и что рассылать, как и что собирать. Пройдемся по списку протоколов коммуникации в порядке их приоритетности и популярности:
➖ Электронная почта — универсальный рабочий идентификатор человека в компании;
➖ Телефон — следующий по популярности способ, неизменный в своей эффективности еще со времен Кевина Митника.
➖ Девайсы, разбросанные по офису или подкинутые в карманы. Можно подбрасывать как старые добрые трояны на флешках, так и Bad USB или прочие «умные» железки.
☝🏻 Задачи рассылок могут варьироваться: построение ботнетов, #фишинг, направленный на получение корпоративного или банковского аккаунта, или заражение рабочей станции трояном с целью проникновения во внутреннюю сеть компании для хищения коммерческой тайны и других незаконных целей. Последнее может перерасти в атаки уровня APT на долгие месяцы и годы.
🧠 Запомни user_name, жертву нужно вынудить либо ввести логин и пароль, либо запустить какую-то нагрузку, чаще всего применяются манипуляции чувством страха, жадности и доверия. Что включает в себя доверие ? Оно включает в себя похожие домены, типовые формы авторизации, однотипные подписи, знакомые фамилии и т.д.
➖ Если нам нужен ресурс для рассылки и фишинга, самое простое — это зарегистрировать похожий домен, с префиксом, в другой доменной зоне или с заменой символов на похожие
❗️ Так же можно разобрать классический способ — макросы в офисных документах. Чего только не делается с их помощью! Можно отстучаться на ресурс для сбора статистики (как по HTTP, так и по DNS, если у жертвы вдруг нет подключения), передать заранее подготовленный токен, определить список установленного ПО (антивирусы и прочее), записать на диск файл, заранее подготовленный и хранящийся тут же в документе, или загрузить его из интернета. Можно даже запросить авторизацию и таким образом похитить учетную запись. В общем, рай для пентестера или хакера.
🧷 Множество примеров заразных документов описано в блоге Дидье Стивенса. Он годами собирает и коллекционирует такую малварь.
‼️ Еще больше полезной информации, ты можешь найти по хэштегу в нашей группе #СИ #hack #Книга #Курс #Митник #взлом
Делись с друзьями и оставайся с нами. Ваш @Social_Engineering
