Ingénierie sociale

Par Louis “Nullptr” Crespin, la partie phishing est adaptée de Jinjer et Fredi

Définition : Manipulation sociale pour faire divulguer des informations secrètes ou compromettantes

Personne bien intentionnée ou qui cherche à copier un badge d’accès ?

=> Parallèle avec l’illusionnisme

Méthodes d’ingénierie sociale

Portail captif : page de connexion d’un réseau gratuit

Les gens sont en galère pour trouver du Wifi => idéal

exemple avec Flipper Zero : ne mettez pas de vraies informations !!!

Autre possibilité : wifiphisher (https://www.kali.org/tools/wifiphisher/) par exemple

Utiliser la 4G

Les grandes entreprises (Google, Amazon, …) ne font pas de Wifi gratuit

=> Prendre du recul

Se faire passer pour quelqu’un d’autre par email/SMS/Whatsapp/…

=> Vol d’identifiants de connexion, exécution de code malveillant, installation de virus

Typiquement :

Le hacker crée un site malveillant
Il envoie un mail en se faisant passer pour un interlocuteur valable (banque par exemple)
La victime clique sur un lien dans le mail et commence à donner ses informations/installer un virus/…

Phishing en masse : peu efficace, mais le nombre de personnes attaquées le rend rentable
Spear phishing : phishing ciblé. Nécessite des infos sur la personne (par les réseaux sociaux). 95% des attaques de phishing réussies sont du spear phishing
Whaling : spear phishing de quelqu’un de très haut placé
Smishing : par SMS

Imitation du nom de domaine (www.amaz0n.com par exemple)

Copie du style (comme la page de connexion de Google du Flipper Zero)

Altération du lien pour cacher la vraie cible : <a href=“vrailien”> fauxlien </a>

Action urgente, demande de régularisation avec les impôts/Arcom/…, argent à gagner, plus que 2h restantes

Survoler les liens pour voir la vraie cible

Prendre du recul → informations trop belles pour être vraies

Aller à la main sur le site au lieu de cliquer sur le lien

Raccourcisseur d’URL : https://ar1.se/

“Hébergeur” : tunnel SSL, https://serveo.net

Soyez créatifs !