informationsindsamling er ikke så udfordrende som det plejede at være for et par år siden, da man kun ville få detaljer om et mål enten direkte fra målet eller fra at spørge rundt. Internettet, mere specifikt brugen af sociale medier, har forenklet denne fase med nyere og hurtigere dataindsamlingsteknikker. I processen med dataindsamling siges intet stykke data at være irrelevant. Bare en lille smule information, såsom et måls foretrukne led, kan være tilstrækkelig til at gøre det muligt for socialingeniøren at lykkes med at overbevise målet om at handle på en bestemt måde. Det er vigtigt for en social ingeniør at vide, hvilken type information man skal kigge efter. Der er en overbelastning af oplysninger, og der kan indsamles masser af irrelevante oplysninger. Det er også godt at kende kilderne, hvor denne type information kan findes. At have information er ikke nok, det er vigtigt at vide, hvordan man bruger information indsamlet til at profilere et mål og gøre dem mere forudsigelige

informationsindsamling kan udføres i to brede kategorier af metoder—tekniske og ikke-tekniske metoder. Som navnet antyder, er de tekniske metoder afhængige af computerstøttede teknikker til indsamling af information. Der er dog ingen sikkerhed for, at et bestemt værktøj eller stykke elektronisk udstyr vil få tilstrækkelig information om et mål. Derfor kan en blanding af følgende værktøjer og enheder bruges til at indsamle oplysninger om mål. Sociale ingeniører vil bruge flere informationsindsamlingsværktøjer / teknikker og flette de oplysninger, de får til at opbygge en profil for deres mål.

tekniske informationsindsamlingsmetoder

der er mange værktøjer, der udvikles i dag målrettet til informationsindsamling under socialtekniske angreb. Det mest succesrige værktøj til dette er sandsynligvis en Linuksdistribution kaldet Kali. Den indeholder en pakke med over 300 værktøjer, der er specielt designet til at indsamle oplysninger om et mål. Fra 300, lad os indsnævre dem til de to mest populære værktøjer, der skiller sig ud fra listen, idet de ikke indsamler dataene, men hjælper med opbevaring og hentning af dem. Disse er som følger:

følgende figur er et skærmbillede fra www.kali.org hjemmeside, hvor du kan hente Kali links og bruge følgende værktøjer:

 ingen alternativ tekst til dette billede

BasKet

BasKet er et gratis og open source-program, der fungerer mere som et avanceret datalagringsværktøj til at hjælpe en social ingeniør i dataindsamlingsprocessen. Det har det velkendte udseende af Notesblok, men leveres med en masse funktionaliteter. Det fungerer som et lager for tekstmæssige og grafiske oplysninger, som en social ingeniør indsamler på et bestemt mål. Det kan virke simpelt eller endda unødvendigt under et social engineering-angreb, men det tjener faktisk et formål, der er svært at replikere i tekstbehandlere som Microsoft-ord. Kurv bruger et fanelignende layout til at gøre det muligt for socialingeniøren at placere hver type information om et mål på en ordnet måde, der er let at læse eller hente. For eksempel kan billeder være i en fane, kontaktoplysninger i en anden, oplysninger om sociale medier på en tredje og fysiske placeringsoplysninger i en separat. En social ingeniør vil holde på at opdatere disse faner, når de kommer på tværs af flere oplysninger. I slutningen af processen, BasKet giver socialingeniøren mulighed for at eksportere disse oplysninger som en HTML-side, hvorved den komprimerer al information sammen, hvilket gør den mere bærbar, tilgængelig, og delbar.

Dradis

Dradis (https://dradisframework.com/ce/) er et gratis og open source-program, der bruges til opbevaring af oplysninger. Det har et mere avanceret udseende, der har kurvens notesblok som udseende. Dradis er også mere avanceret i sine funktionaliteter, idet det fungerer som et centraliseret lager og bruger en internetbaseret brugergrænseflade til at gøre det muligt for brugerne at interagere med det. I stedet for faner (såsom kurv) bruger Dradis grene, der giver en bruger mulighed for at tilføje forskellige typer information sammen. Dradis kan håndtere enorme mængder data, der ellers ville være problematisk for BasKet. Det bruges derfor ofte, når der er en masse information, der skal sorteres efter målet.

efter at have gjort med de to store datalagringsværktøjer, er det nu tid til at se på de måder, hvorpå sociale ingeniører indsamler oplysningerne. Følgende er en diskussion af disse:

hjemmesider

en af de bistader, der indeholder oplysninger om mål er corporate og personlige hjemmesider. Virksomhedens hjemmesider kan indeholde oplysninger om deres medarbejdere og kunder. Personlige hjemmesider, På den anden side, indeholder oplysninger udelukkende om enkeltpersoner. Med nok grave rundt, hjemmesider kan være i stand til at afsløre en masse information. Personlige hjemmesider kan fortælle en persons engagementer med hensyn til arbejde, fysisk placering, kontaktoplysninger og nogle specielle ord, der kan bruges til profilering af adgangskoder.

med hensyn til det sidste punkt er det kendt, at folk af hensyn til fortrolighed har en tendens til at inkludere nogle sætninger eller ord, der er velkendte for dem, såsom fødselsdato, partnerens navn, kæledyrs navn eller deres egne navne. Corporate hjemmesider er i stand til at give biografier af deres personale, især de højtstående dem og deres arbejde kontaktoplysninger. Hvis du ønskede at målrette organisationen med en ondsindet e-mail vedhæftet fil, sende det til e-mail-adresser på en corporate hjemmeside har en større chance for at levere nyttelasten direkte inde i organisationen.

søgemaskiner

det siges, at internettet aldrig glemmer. Hvis du vil vide noget, at kende den rigtige måde at spørge kan få dig næsten alle de oplysninger, du ønsker. Google, den dominerende søgemaskine, er et nøgleværktøj til en socialingeniør, der bruges til at finde information om mål på internettet. Vi vil gennemgå nogle af de søgesætninger, som sociale ingeniører bruger til at jage efter oplysninger om mål ved hjælp af Google:

  1. for at søge efter et måls oplysninger inden for et bestemt domæne, f. eks. en virksomhedsside, kan følgende forespørgsel bruges:
Site: www.websitename.com "John Doe"

hvis noget om John Doe er indeholdt i hjemmesiden, vil Google indeksere det i søgeresultaterne af forespørgslen.

  1. for at søge efter et måls oplysninger i titlen på en hjemmeside indekseret af Google, anvendes følgende forespørgsel
Intitle:John Doe

det er vigtigt at forstå, at afstanden mellem de to ord instruerer Google om også at søge efter titler, der har John og efterfølges af tekst, der indeholder ordet Doe. Dette er en meget nyttig forespørgsel, da det vil fange et måls info indeholdt i titler på flere hjemmesider. Denne forespørgsel giver information fra virksomhedssider til sociale medieplatforme, fordi de ofte bruger en persons navn som en titel på nogle sider.

  1. for at søge efter et måls oplysninger i URL ‘en til enhver hjemmeside kan følgende forespørgsel leveres til Google:
Inurl:john doe

det er en almindelig praksis i mange organisationer at bruge ord i internettitler i URL’ er til SEO-formål. Denne forespørgsel identificerer en persons navn fra URL ‘ er indekseret af Google. Det er vigtigt at bemærke, at forespørgslen vil søge efter johnin URL ‘ er og doe på samme måde som den tidligere diskuterede. Hvis en socialingeniør overhovedet ønsker at søge efter alle målets navne i URL ‘en i stedet for en i URL’ en og en anden i teksten, kan følgende forespørgsel bruges:

Allinurl:John Doe

forespørgslen begrænser resultaterne til dem, hvor URL ‘ en indeholder både navnet John og Doe.

  1. i mange flere tilfælde end ikke vil et mål have ansøgt om job ved hjælp af jobbrædder. Nogle jobbrædder bevarer målets curriculum vitae på deres hjemmesider. Nogle organisationer bevarer også curriculum vitae for deres jobansøgere på deres sider. En curriculum vitae indeholder meget følsomme detaljer om en person. Den indeholder personens rigtige navn, rigtigt telefonnummer, ægte e-mail-adresse, uddannelsesmæssig baggrund og arbejdshistorie. Det har et væld af oplysninger, der er meget nyttige for en social engineering angreb. For at søge efter et måls private detaljer kan socialingeniøren bruge følgende forespørgsel:
"John Doe" intitle:"curriculum vitae" "phone" "address" "email"

det er en meget kraftfuld forespørgsel, der vil gennemsøge hele internettet for information om John Doe, der har titler med oplysninger som curriculum vitae, telefonnummer, e-mail og postadresse.

  1. følgende forespørgsel bruges til at indsamle oplysninger, ikke om en bestemt person, men snarere en organisation. Den er rettet mod fortrolige udgivelser af oplysninger i organisationen, der kan blive lagt ud på hjemmesider:

intitle:"not for distribution" "confidential" site:websitename.com

forespørgslen vil søge efter noget bogført med titlen ikke til distribution eller fortrolige i en hjemmeside. Denne søgning kan afsløre oplysninger, som nogle medarbejdere i organisationen måske ikke engang er opmærksomme på. Det er en meget nyttig forespørgsel i et social engineering-angreb, når en socialingeniør ønsker at blive informeret om interne forhold i en organisation til et bestemt mål.

  1. en af de almindeligt anvendte påskud til at komme ind i beskyttede lokaler er en IT-eller netværksreparationsperson, der hurtigt kontaktes af virksomheden. Vagter vil være klar til at lade en sådan person ind, og de vil være i stand til at udføre et angreb midt i andre medarbejdere uden at hæve alarmer. For at kunne tage et sådant påskud skal en socialingeniør være vidende om organisationens interne netværk eller infrastruktur. Følgende er en gruppe søgeforespørgsler, der muligvis giver disse oplysninger til en socialingeniør:
Intitle:"Network Vulnerability Assessment Report"Intitle:"Host Vulnerability summary report"

disse oplysninger kan også bruges i visse dele af angrebet, da det også afslører svagheder, der kan udnyttes i målets netværk eller i værterne, der er forbundet til netværket.

  1. for at søge efter adgangskoder, der bruges af brugere i et organisatorisk netværk, kan en sikkerhedskopi af disse adgangskoder være et nyttigt sted at begynde at søge. Som sådan kan følgende forespørgsel komme til nytte:
Site:websitename.com filetype:SQL ("password values" || "passwd" || "old passwords" || "passwords" "user password")

denne forespørgsel søger efter filer gemt i en hjemmesides domæne, der har navnet adgangskode værdier, adgangskode, gamle adgangskoder, adgangskoder eller brugeradgangskode. Disse filer, selvom de muligvis ikke har brugerens nuværende adgangskoder, kan de give nok information til en angriber til at profilere brugernes aktuelle adgangskoder. For eksempel er der stor chance for, at en medarbejders gamle e-mail-adgangskode ændres til en ny adgangskode.

der er mange andre data-jagt forespørgsler, der kan bruges i Google og andre søgemaskiner. De diskuterede er bare de mest almindeligt anvendte. Et ord af forsigtighed er, at internettet aldrig glemmer, og selv når nogle oplysninger er slettet, der er andre steder, der gemmer cachelagrede filer på hjemmesiden. Derfor er det bedst for organisationer ikke at offentliggøre deres følsomme oplysninger.

Pipl

et andet almindeligt anvendt værktøj til at indsamle oplysninger om et mål er Pipl (https://pipl.com). Pipl arkiverer oplysninger om mennesker og tilbyder det gratis til den, der ønsker at få adgang til det. Den gemmer oplysninger såsom en persons rigtige navne, e-mail-adresse, telefonnummer, fysisk adresse og sociale mediekonti. Ved siden af dette tilbyder det en betalt mulighed for at indsamle oplysninger om en persons slægtninge, der starter med deres søskende og forældre. Det er en guldgrube for sociale ingeniører siden med meget lidt indsats, de er i stand til at få adgang til et væld af oplysninger om deres mål. Lad os tage et virkeligt eksempel i stedet for den almindeligt anvendte John Doe, som kan have mange resultater. Lad os bruge en usædvanlig som Erdal Oskaya:

ingen alternativ tekst til dette billede

sitet indekserer en række resultater for de Navne, vi har søgt, lad os undersøge det første resultat. Det er en 40-årig mand fra Sydney, Australien. Sitet tilbyder os sponsorerede links til at finde vitale poster, kontaktoplysninger, og brugernavn rapporter. Lad os gå videre og klikke på navnet og se, hvad siden har om Erdal Oskaya, der er tilgængelig gratis:

ingen alternativ tekst til dette billede

sitet er i stand til at trække ud mere information om dette navn. Vi ved nu, at han (i dette tilfælde mig) arbejder som Cybersikkerhedsarkitekt hos Microsoft, han har en ph.d. i cybersikkerhed og en kandidatgrad i sikkerhed fra Charles Sturt University, og han er tilknyttet eller beslægtet med nogle mennesker, som jeg slørede ud af privatlivets fred, som måske er hans forældre og søskende. Fra en total fremmed, vi ved nu meget om ham og har oplysninger, som vi kan bruge til at samle mere om ham.

herfra er det let at jage efter mere information ved hjælp af de specielle Google-forespørgsler, vi diskuterede tidligere. Du kan gå videre til at finde sit CV, som vil indeholde flere kontaktoplysninger.

fra vores eksempel har vi undersøgt nogle af Pipls muligheder, når det kommer til jagt efter information om mål. Med sådanne sider tilgængelige for alle, det er klart, at privatlivets fred ikke er andet end en illusion. Sites som disse får deres oplysninger fra sociale medieplatforme, corporate hjemmesider, data solgt af tredjeparter, data frigivet af hackere, data stjålet fra andre hjemmesider, og endda data, som offentlige myndigheder. Dette særlige sted er i stand til at få kriminelle poster om et mål, hvilket betyder, at det har adgang til nogle forbrydelsesregistre. Hvad der er bekymrende er, at disse sider ikke er ulovlige og vil fortsætte med at tilføje data om mennesker i lang tid fremover. Det er gode nyheder for en social ingeniør, men dårlige nyheder for alle andre, der kan være et mål. Ejerne kan ikke tvinges til at fjerne de data, de indeholder, og derfor når dine data kommer til dem, er der ingen måde, du kan skjule. Siden kan kun blive stærkere med mere information.

Hvem er.net

stadig på de sider, der arkiverer information, Whois.net er endnu en, der tjener næsten det samme formål som Pipl. Whois.net viser oplysninger såsom e-mail-adresser, telefonnumre og IP-adresser på mål, som man søger oplysninger om. Whois.net har også adgang til oplysninger om domæner. Hvis et mål har en personlig hjemmeside, Whois.net er i stand til at finde ud af fine detaljer om registranten og registratoren af domænenavnet, dets registrering og udløbsdato, og kontaktoplysningerne for ejeren. Ligesom Pipl kunne de her opnåede oplysninger bruges til at få mere information om et mål og derved være i stand til at starte et vellykket angreb.

sociale medier

milliarder af mennesker har hidtil omfavnet sociale medier. Ved hjælp af disse platforme kan sociale ingeniører finde masser af oplysninger om de fleste af deres mål. De fleste mål vil have facebook, kvidre, Instagram eller LinkedIn-konti. Skønheden i sociale medier er, at det opfordrer brugerne til at dele personlige oplysninger om deres liv på internettet. Brugere af sociale medier er bekvemt skødesløse og ender med at give selv følsomme oplysninger til hele verden uden at tænke over konsekvenserne. Det fremgår klart af disse udsagn, at sociale medier ikke gør andet end at sammensætte problemet. Det skaber en rig pulje af information, hvorfra sociale ingeniører kan fiske detaljer om mål uden at vække mistanke.

følgende er et screenshot fra Facebook, som giver masser af information offentligt:

 ingen alternativ tekst til dette billede

inden for et par minutter efter søgning på flere sociale medieplatforme, en socialingeniør er i stand til at samle målets hobbyer, arbejdsplads, kan lide og ikke lide, slægtninge, og mere privat information. Brugere af sociale medier er klar til at prale af, at de er på ferie, de arbejder på bestemte steder, de udfører visse job på deres arbejdspladser, deres nye biler, og de skoler, som de tager deres børn til. De er ikke bange for at vise deres arbejdsmærker på disse sociale mediesider, badges, som sociale ingeniører kunne duplikere og bruge til at komme ind i organisationer med. Brugere af sociale medier vil også blive venner med eller følge fremmede, forudsat at de matcher hobbyer og interesser. Det er en skør verden der, der sætter potentielle mål i en ulempe, da disse sider er designet til at få folk til at åbne op for fremmede på internettet. Oplysninger, der traditionelt blev gemt til ansigt til ansigt samtaler, bliver nu sat ud for verden at se. Den dårlige ting er, at både godt og dårligt motiverede mennesker får adgang til det.

disse oplysninger kan bruges af en social ingeniør til at profilere et mål. Disse oplysninger kan være nyttige, når man overbeviser et mål om at tage nogle handlinger eller videregive nogle oplysninger. Lad os tage et hypotetisk eksempel på, at vi er sociale ingeniører og ønsker at få tophemmelige designs og specifikationer fra en amerikansk militærentreprenør, så vi kan lære at kompromittere deres udstyr. Vi kan starte med at gå ind på en social medieplatform som LinkedIn og søge efter navnet på det firma. Hvis virksomheden er på LinkedIn, får vi vist virksomhedsprofilen og en liste over personer, der har noteret på LinkedIn, at de arbejder der. Dernæst identificerer vi en medarbejder, der arbejder i forsknings-og designafdelingen eller endda marketingafdelingen. Vi koncentrerer os derefter om at få oplysninger om dette mål, der kan hjælpe os med at sætte dem i en position, hvor de kan afsløre de hemmelige oplysninger, vi leder efter. Vi starter med at søge på medarbejderens Facebook-profil for at finde hobbyer, interesser og andre personlige oplysninger. Vi fortsætter til Instagram og kigger på den type billeder, som medarbejderen sender. Vi begynder at geolokalisere målet og knytte de oplysninger, vi får på alle sociale mediekonti i hans navn. Vi kommer til et punkt, hvor vi finder ud af hans fysiske adresse og de steder, han kan lide at tilbringe tid på. Vi nærmer os ham på det tidspunkt og bruger en af de taktikker, der er lært tidligere i tankerne tricks og overtalelse kapitler for at få ham til at indsætte et ondsindet USB-drev i sin computer. Derefter begynder ondskaben at høste for os de oplysninger, vi ønsker. Det er så nemt som det.

følgende er nogle offentlige oplysninger om mig selv i LinkedIn:

ingen alternativ tekst til dette billede

organisationer bliver målrettet på en lignende måde. I begyndelsen af 2017 blev 10.000 amerikanske medarbejdere phished ved hjælp af sociale medier af russiske hackere, der plantede ondsindede programmer på sociale medier og meddelelser. I midten af 2017 blev en falsk persona af en pige ved navn Mia Ash oprettet og brugt til at angribe et netværksfirma ved at målrette mod en mandlig medarbejder med omfattende rettigheder i organisationen. Angrebet blev kun ødelagt, fordi organisationen havde stærke kontroller for at beskytte sig mod ondskab. Den mandlige medarbejder var allerede faldet for con fastsat ved hjælp af pigens falske Facebook-konto.

i August 2016 blev det opdaget, at der var en massiv økonomisk svindel rettet mod kunder, der havde fulgt en bestemt bank på sociale medier. Det menes, at angribere var i stand til at tage kontrol over bankens sociale mediekonti og sende falske tilbud til de tilhængere, der kun endte med at miste penge. Der er mange andre sociale medier medierede social engineering angreb, der er sket. Alt, hvad der skyldes, er den hurtige tilgængelighed af private oplysninger på sociale medier.

Top 10 værste sociale medier cyberangreb, af S. Ulfe, Infosecurity magasin, 2017 tilgængelig på https://www.infosecurity-magazine.com/blogs/top-10-worst-social-media-cyber/. .

 ingen alternativ tekst til dette billede

denne artikel er taget fra min Lær Social Engineering bog. For at lære mere om Social Engineering kan du læse min prisbelønnede Lær Social Engineering bog

du kan få det via

: https://www.amazon.com/Learn-Social-Engineering-internationally-renowned-ebook/dp/B079HYPC27

Packt: https://www.packtpub.com/networking-and-servers/learn-social-engineering

Google: https://play.google.com/store/books/details/Erdal_Ozkaya_Learn_Social_Engineering?id=e_RZDwAAQBAJ

O ‘ Reilly: https://www.oreilly.com/library/view/learn-social-engineering/9781788837927/

du kan også få mine andre bøger:) hvis du tror, du ikke har brug for mere viden inden for Social Engineering

 ingen alt-tekst til dette billede