shromažďování informací není tak náročné, jako tomu bylo před několika lety, kdy by člověk získal pouze podrobnosti o cíli buď přímo od cíle, nebo z dotazování. Internet, konkrétněji používání sociálních médií, zjednodušil tuto fázi novějšími a rychlejšími technikami sběru dat. V procesu shromažďování údajů není žádný údaj považován za irelevantní. Jen malý kousek informací, jako je oblíbený kloub cíle, může stačit k tomu, aby sociální inženýr uspěl v přesvědčování cíle, aby jednal určitým způsobem. Je důležité, aby sociální inženýr věděl, jaký typ informací hledat. Dochází k přetížení informací a může být shromážděno mnoho irelevantních informací. Je také dobré znát zdroje, kde lze tento typ informací nalézt. Mít informace nestačí, je důležité vědět, jak používat shromážděné informace k profilování cíle a učinit je předvídatelnějšími

shromažďování informací lze provádět ve dvou širokých kategoriích metod-technických a netechnických metod. Jak název napovídá, technické metody jsou závislé na počítačově podporovaných technikách shromažďování informací. Neexistuje však žádná záruka, že konkrétní nástroj nebo kus elektronického zařízení získá dostatečné informace o cíli. Proto může být ke shromažďování informací o cílech použita kombinace následujících nástrojů a zařízení. Sociální inženýři budou používat více nástrojů/technik shromažďování informací a sloučit informace, které získají, aby vytvořili profil pro své cíle.

technické metody shromažďování informací

existuje mnoho nástrojů, které se dnes cíleně vyvíjejí pro shromažďování informací během útoků sociálního inženýrství. Pravděpodobně nejúspěšnějším nástrojem je distribuce Linuxu s názvem Kali. Obsahuje sadu více než 300 nástrojů speciálně navržených pro shromažďování informací o cíli. Z 300 je zúžme na dva nejoblíbenější nástroje, které vynikají ze seznamu v tom, že neshromažďují data, ale pomáhají při jejich ukládání a vyhledávání. Tyto jsou následující:

následující obrázek je snímek obrazovky z www.kali.org webové stránky, kde si můžete stáhnout Kali Linux a používat následující nástroje:

pro tento obrázek není k dispozici žádný alt text

košík

košík je bezplatný a open-source linuxový program, který funguje spíše jako pokročilý nástroj pro ukládání dat, který pomáhá sociálnímu inženýrovi v procesu shromažďování dat. Má známý vzhled poznámkového bloku, ale přichází s mnoha funkcemi. Slouží jako úložiště textových a grafických informací, které sociální inženýr shromažďuje na konkrétním cíli. Během útoku na sociální inženýrství se může zdát jednoduchý nebo dokonce zbytečný, ale ve skutečnosti slouží účelu, který je těžké replikovat v textových procesorech, jako je Microsoft Word. Košík používá rozvržení podobné kartě, které umožňuje sociálnímu inženýrovi umístit každý typ informací o cíli řádným způsobem, který je snadno čitelný nebo načten. Například obrázky mohou být na jedné kartě, kontaktní informace na jiné, informace o sociálních médiích na třetí a podrobnosti o fyzické poloze na samostatné kartě. Sociální inženýr bude tyto karty aktualizovat, kdykoli narazí na další informace. Na konci procesu umožňuje košík sociálnímu inženýrovi exportovat tyto informace jako stránku HTML, čímž komprimuje všechny informace dohromady, čímž je přenosnější, přístupnější a sdílnější.

Dradis

Dradis (https://dradisframework.com/ce/) je bezplatná a open source aplikace pro Linux, Windows a macOS, která se používá k ukládání informací. Má pokročilejší vzhled, který má poznámkový blok koše jako vzhled. Dradis je také pokročilejší ve svých funkcích v tom, že funguje jako centralizované úložiště a používá webové uživatelské rozhraní, které umožňuje uživatelům komunikovat s ním. Místo karet (například košík) používá Dradis větve, které umožňují uživateli přidávat různé typy informací dohromady. Dradis dokáže zpracovat obrovské množství dat, která by jinak byla pro BasKet problematická. Proto se běžně používá, když existuje mnoho informací, které mají být tříděny podle cíle.

po provedení dvou hlavních nástrojů pro ukládání dat je nyní čas podívat se na způsoby, kterými sociální inženýři shromažďují informace. Následuje diskuse o nich:

webové stránky

jedním z úlů obsahujících informace o cílech jsou firemní a osobní webové stránky. Firemní webové stránky mohou obsahovat informace o svých zaměstnancích a klientech. Osobní webové stránky, na druhou stranu, obsahují informace čistě o jednotlivcích. S dostatkem kopání kolem, webové stránky mohou být schopny odhalit spoustu informací. Osobní webové stránky mohou informovat jednotlivce o zakázkách, pokud jde o práci, fyzické umístění, kontaktní informace, a některá speciální slova, která mohou být použita při profilování hesel.

pokud jde o poslední bod, je známo, že kvůli známosti mají lidé tendenci obsahovat některé fráze nebo slova, která jsou jim známa, jako je datum narození, jméno partnera, jméno domácího mazlíčka nebo jejich vlastní jména. Firemní webové stránky jsou schopny poskytnout životopisy svých zaměstnanců, zejména těch vysoce postavených, a jejich pracovní kontaktní informace. Pokud jste chtěli zacílit na organizaci pomocí škodlivé přílohy e-mailu, Odeslání na e-mailové adresy uvedené na firemní webové stránce má vyšší šanci doručit užitečné zatížení přímo uvnitř organizace.

vyhledávače

říká se, že internet nikdy nezapomene. Pokud chcete něco vědět, znalost správného způsobu, jak se zeptat, vám může poskytnout téměř všechny požadované informace. Google, dominantní vyhledávač, je klíčovým nástrojem pro sociálního inženýra, který se používá k odhalení informací o cílech na internetu. Projdeme některé vyhledávací fráze, které sociální inženýři používají k hledání informací o cílech pomocí Google:

  1. Chcete-li vyhledat informace o cíli v konkrétní doméně, jako je firemní web, lze použít následující dotaz:

Site: www.websitename.com "John Doe"

pokud je na webu obsaženo něco o Johnu Doeovi, Google jej indexuje ve výsledcích vyhledávání dotazu.

  1. Chcete-li vyhledat informace o cíli v názvu jakékoli webové stránky indexované společností Google, použije se následující dotaz
Intitle:John Doe

je důležité si uvědomit, že rozestup mezi těmito dvěma slovy dává Google pokyn, aby také hledal tituly, které mají John a jsou následovány textem obsahujícím slovo Doe. Jedná se o velmi užitečný dotaz, protože zachytí informace o cíli obsažené v názvech více webových stránek. Tento dotaz přinese informace z firemních webů na platformy sociálních médií, protože na některých stránkách často používají jméno osoby jako název.

  1. Chcete-li vyhledat informace o cíli v adrese URL jakékoli webové stránky, Můžete společnosti Google poskytnout následující dotaz:
Inurl:john doe

v mnoha organizacích je běžnou praxí používat slova ve webových názvech v adresách URL pro účely SEO. Tento dotaz identifikuje jméno osoby z adres URL indexovaných společností Google. Je důležité si uvědomit, že dotaz vyhledá adresy URL johnin a doe podobným způsobem jako dříve diskutovaný. Pokud vůbec sociální inženýr chce hledat jména všech cílů v URL, spíše než jeden v URL a druhý v textu, lze použít následující dotaz:

Allinurl:John Doe

dotaz omezí výsledky na ty, kde Adresa URL obsahuje jméno John I Doe.

  1. v mnoha více případech než ne, cíl bude mít zažádáno o úlohy pomocí pracovních desek. Některé pracovní desky uchovávají životopis cíle na svých webových stránkách. Některé organizace také uchovávají životopis svých uchazečů o zaměstnání na svých stránkách. Životopis obsahuje vysoce citlivé podrobnosti o osobě. Obsahuje skutečné jméno osoby, skutečné telefonní číslo, skutečnou e-mailovou adresu, vzdělání a pracovní historii. Má spoustu informací, které jsou velmi užitečné pro útok sociálního inženýrství. Chcete-li vyhledat soukromé údaje cíle, může sociální inženýr použít následující dotaz:
"John Doe" intitle:"curriculum vitae" "phone" "address" "email"

je to velmi silný dotaz, který prohledá celý internet pro informace o John Doe, který má tituly s informacemi, jako je životopis, telefonní číslo, e-mail a poštovní adresa.

  1. následující dotaz se používá ke shromažďování informací, nikoli o konkrétní osobě, ale spíše o organizaci. Zaměřuje se na důvěrné zveřejnění informací v rámci organizace, které mohou být zveřejněny na webových stránkách:
intitle:"not for distribution" "confidential" site:websitename.com

dotaz vyhledá vše, co bylo zveřejněno s názvem, které není určeno k distribuci nebo důvěrné na webu. Toto vyhledávání může odhalit informace, které někteří zaměstnanci organizace nemusí být ani vědomi. Je to velmi užitečný dotaz v útoku sociálního inženýrství, když chce sociální inženýr vypadat informován o vnitřních záležitostech organizace k určitému cíli.

  1. jednou z běžně používaných záminek pro vstup do střežených prostor je záminka osoby opravující IT nebo sítě, kterou společnost naléhavě kontaktovala. Stráže budou připraveny vpustit takovou osobu a budou moci provést útok uprostřed ostatních zaměstnanců bez vyvolání poplachů. Aby bylo možné takovou záminku přijmout, musí být sociální inženýr informován o vnitřní síti nebo infrastruktuře organizace. Následuje skupina vyhledávacích dotazů, které by mohly poskytnout tyto informace sociálnímu inženýrovi:
Intitle:"Network Vulnerability Assessment Report"Intitle:"Host Vulnerability summary report"

tyto informace lze také použít v určitých částech útoku, protože také odhalují slabiny, které lze využít v síti cíle nebo v hostitelích připojených k síti.

  1. Chcete-li vyhledat hesla používaná uživateli v organizační síti, záloha těchto hesel by mohla být užitečným místem pro zahájení vyhledávání. Jako takový, následující dotaz může přijít vhod:
Site:websitename.com filetype:SQL ("password values" || "passwd" || "old passwords" || "passwords" "user password")

tento dotaz hledá soubory SQL uložené v doméně webové stránky, které mají hodnoty hesla jména, heslo, stará hesla, hesla nebo uživatelské heslo. Tyto soubory, i když nemusí mít aktuální hesla uživatele, mohou útočníkovi poskytnout dostatek informací k profilování aktuálních hesel uživatelů. Existuje například vysoká šance, že se staré e-mailové heslo zaměstnance změní na nové heslo.

existuje mnoho dalších dotazů na lov dat, které lze použít v Google a dalších vyhledávačích. Ty diskutované jsou jen nejčastěji používané. Slovo opatrnosti je, že internet nikdy nezapomene ai když jsou některé informace odstraněny, existují i jiné weby, které ukládají soubory uložené v mezipaměti na webu. Proto je nejlepší, aby organizace nezveřejňovaly své citlivé informace.

Pipl

dalším běžně používaným nástrojem pro shromažďování informací o cíli je Pipl (https://pipl.com). Pipl archivuje informace o lidech a nabízí je zdarma každému, kdo k nim chce přistupovat. Ukládá informace, jako jsou skutečná jména osoby, e-mailová adresa, telefonní číslo, fyzická adresa, a účty sociálních médií. Vedle toho nabízí placenou možnost shromažďovat informace o příbuzných osoby počínaje jejich sourozenci a rodiči. Je to zlatý důl pro sociální inženýry, protože s velmi malým úsilím mají přístup k hromadě informací o svých cílech. Vezměme si příklad ze skutečného života místo běžně používaného Johna Doea, který může mít mnoho výsledků. Použijme neobvyklý, jako je Erdal Ozkaya:

pro tento obrázek není k dispozici žádný alt text

stránka indexuje řadu výsledků pro jména, která jsme hledali, pojďme prozkoumat první výsledek. Je to Erdal Ozkaya, 40letý muž ze Sydney v Austrálii. Stránka nám nabízí sponzorované odkazy k nalezení důležitých záznamů, kontaktní údaje, a zprávy o uživatelském jménu. Pojďme do toho a klikněte na jméno a podívejte se, co má web o Erdal Ozkaya, který je k dispozici zdarma:

pro tento obrázek není k dispozici žádný alt text

stránka je schopna získat více informací o tomto jménu. Nyní víme, že on (v tomto případě já) pracuje jako Cybersecurity Architect ve společnosti Microsoft, má doktorát z kybernetické bezpečnosti a magisterský titul v oboru bezpečnosti na univerzitě Charlese Sturta a je spojován nebo příbuzný s některými lidmi, které jsem rozmazal z důvodů ochrany osobních údajů, kteří by mohli být jeho rodiči a sourozenci. Od úplně cizího člověka, nyní o něm víme hodně a máme informace, které můžeme použít k získání více o něm.

odtud je snadné hledat další informace pomocí speciálních dotazů Google, o kterých jsme diskutovali dříve. Můžete pokračovat a najít jeho životopis, který bude obsahovat více kontaktních informací.

z našeho příkladu jsme prozkoumali některé schopnosti Pipl, pokud jde o lov informací o cílech. S takovými weby dostupnými komukoli je jasné, že soukromí není nic jiného než iluze. Weby, jako jsou tyto, získávají informace z platforem sociálních médií, firemních webových stránek, dat prodávaných třetími stranami, dat vydaných hackery, dat odcizených z jiných webových stránek a dokonce i dat držených vládními agenturami. Tento konkrétní web je schopen získat záznamy v trestním rejstříku o cíli, což znamená, že má přístup k některým záznamům o zločinu. Znepokojivé je, že tyto stránky nejsou nezákonné a budou pokračovat v přidávání údajů o lidech po dlouhou dobu. Je to dobrá zpráva pro sociálního inženýra, ale špatná zpráva pro kohokoli jiného, kdo může být cílem. Majitelé stránek nemohou být nuceni odstranit data, která obsahují, a proto jakmile se k nim vaše data dostanou, neexistuje způsob, jak se skrýt. Web může být silnější pouze s více informacemi.

Whois.net

stále na stránkách, které archivují informace, Whois.net je ještě jeden, který slouží téměř stejnému účelu jako Pipl. Whois.net uvádí informace, jako jsou e-mailové adresy, telefonní čísla a IP adresy cílů, o kterých člověk vyhledává informace. Whois.net má také přístup k informacím o doménách. Pokud má cíl osobní webové stránky, Whois.net je schopen zjistit jemné podrobnosti o žadateli o registraci a registrátorovi doménového jména, jeho registraci a datu vypršení platnosti a kontaktních informacích vlastníka webu. Stejně jako Pipl by zde získané informace mohly být použity k získání více informací o cíli a tím k úspěšnému útoku.

sociální média

miliardy lidí dosud přijaly sociální média. Pomocí těchto platforem mohou sociální inženýři najít spoustu informací o většině svých cílů. Většina cílů bude mít účty Facebook, Cvrlikání, Instagram nebo LinkedIn. Krása sociálních médií spočívá v tom, že povzbuzuje uživatele, aby sdíleli osobní údaje o svém životě na internetu. Uživatelé sociálních médií jsou pohodlně neopatrní a nakonec rozdávají i citlivé informace celému světu, aniž by přemýšleli o důsledcích. Z těchto prohlášení je zřejmé, že sociální média nedělají nic jiného, než jen zhoršují problém. Vytváří bohatou skupinu informací, ze kterých mohou sociální inženýři vylovit podrobnosti o cílech, aniž by vzbudili podezření.

níže je snímek obrazovky z Facebook, který poskytuje spoustu informací veřejně:

pro tento obrázek není k dispozici žádný alt text

během několika minut vyhledávání na různých platformách sociálních médií, sociální inženýr je schopen shromáždit koníčky cíle, místo výkonu práce, Líbí se a nelíbí, příbuzní, a další soukromé informace. Uživatelé sociálních médií jsou připraveni chlubit se, že jsou na dovolené, pracují na určitých místech, dělají určité práce na svých pracovištích, jejich nová auta, a školy, do kterých berou své děti. Nebojí se ukázat své pracovní odznaky na těchto stránkách sociálních médií, odznaky, které by sociální inženýři mohli duplikovat a použít k tomu, aby se dostali do organizací. Uživatelé sociálních médií se také spřátelí nebo budou následovat cizince za předpokladu, že odpovídají koníčkům a zájmům. Je to šílený svět, který znevýhodňuje potenciální cíle, protože tyto stránky jsou navrženy tak, aby lidi otevřely cizím lidem na internetu. Informace, které byly tradičně uloženy pro osobní rozhovory, jsou nyní vydávány světu, aby je viděl. Špatné je, že k němu přistupují jak dobře, tak špatně motivovaní lidé.

tyto informace by mohl sociální inženýr použít k profilování cíle. Tyto informace se mohou hodit, když přesvědčíte cíl, aby podnikl nějaké kroky nebo prozradil některé informace. Vezměme si hypotetický příklad, že jsme sociální inženýři a chceme získat přísně tajné návrhy a specifikace od amerického vojenského dodavatele, abychom se mohli naučit, jak ohrozit jejich vybavení. Můžeme začít tím, že půjdeme na platformu sociálních médií, jako je LinkedIn, a hledáme název této společnosti. Pokud je společnost na LinkedIn, zobrazí se nám profil společnosti a seznam lidí, kteří na LinkedIn uvedli, že tam pracují. Dále identifikujeme zaměstnance, který pracuje v oddělení výzkumu a designu nebo dokonce v marketingovém oddělení. Pak se soustředíme na získání informací o tomto cíli, které by nám mohly pomoci při jejich uvedení do pozice, ve které mohou prozradit tajné informace, které hledáme. Začneme tím, že prohledáme Facebook profil zaměstnance a najdeme koníčky, zájmy, a další osobní údaje. Pokračujeme na Instagram a podíváme se na typ obrázků, které zaměstnanec zveřejňuje. Začneme geolokovat cíl a spojujeme informace, které získáváme na všech účtech sociálních médií v jeho jménu. Dostáváme se do bodu, kdy zjistíme jeho fyzickou adresu a místa, kde rád tráví čas. V tu chvíli se k němu přiblížíme a použijeme jednu z taktik, které jsme se naučili dříve v kapitolách mind tricks and persuasion, abychom ho přiměli vložit USB disk s malwarem do svého počítače. Odtud malware začne sbírat informace, které chceme. Je to tak snadné.

níže jsou uvedeny některé veřejné informace o sobě v LinkedIn:

pro tento obrázek není k dispozici žádný alt text

organizace jsou cíleny podobným způsobem. Na začátku roku 2017 bylo 10 000 amerických zaměstnanců oštěpem phishováno pomocí sociálních médií ruskými hackery, kteří zasadili malware na příspěvky a zprávy na sociálních médiích. V polovině roku 2017 byla vytvořena falešná osobnost dívky jménem Mia Ash, která byla použita k útoku na síťovou firmu tím, že se zaměřila na mužského zaměstnance s rozsáhlými právy v Organizaci. Útok byl zmařen pouze proto, že organizace měla silné kontroly, aby se chránila před malwarem. Mužský zaměstnanec již padl na podvod, který byl stanoven pomocí dívčina falešného účtu Facebook.

v srpnu 2016 bylo zjištěno, že došlo k rozsáhlému finančnímu podvodu zaměřenému na zákazníky, kteří sledovali určitou banku na sociálních médiích. Předpokládá se, že útočníci byli schopni převzít kontrolu nad účty sociálních médií banky a posílat podvodné nabídky následovníkům, kteří skončili ztrátou peněz. Existuje mnoho dalších sociálních médií zprostředkované útoky sociálního inženýrství, které se staly. Vše, co je na vině, je rychlá dostupnost soukromých informací na sociálních médiích.

Top 10 Nejhorší sociální média kybernetické útoky, s. Wolfe, Infosecurity Magazine, 2017 k dispozici na https://www.infosecurity-magazine.com/blogs/top-10-worst-social-media-cyber/. .

pro tento obrázek není k dispozici žádný alt text

tento článek byl převzat z mé knihy Learn Social Engineering. Chcete-li se dozvědět více o sociálním inženýrství, můžete si přečíst mou oceněnou knihu Learn Social Engineering

můžete ji získat prostřednictvím

Amazon: https://www.amazon.com/Learn-Social-Engineering-internationally-renowned-ebook/dp/B079HYPC27

Packt: https://www.packtpub.com/networking-and-servers/learn-social-engineering

Google: https://play.google.com/store/books/details/Erdal_Ozkaya_Learn_Social_Engineering?id=e_RZDwAAQBAJ

O ‚ Reillyho: https://www.oreilly.com/library/view/learn-social-engineering/9781788837927/

můžete také získat mé další knihy:) pokud si myslíte, že nepotřebujete více znalostí v sociálním inženýrství

pro tento obrázek není k dispozici žádný alt text