Das Sammeln von Informationen ist nicht mehr so schwierig wie vor einigen Jahren, als man nur Details zu einem Ziel entweder direkt vom Ziel oder durch Nachfragen erhielt. Das Internet, insbesondere die Nutzung sozialer Medien, hat diese Phase mit neueren und schnelleren Techniken der Datenerfassung vereinfacht. Bei der Datenerhebung wird kein Stück Daten als irrelevant bezeichnet. Nur ein kleines Bisschen Information, wie ein Lieblingsgelenk des Ziels, könnte ausreichen, um es dem Social Engineer zu ermöglichen, das Ziel davon zu überzeugen, auf eine bestimmte Weise zu handeln. Für einen Social Engineer ist es wichtig zu wissen, nach welcher Art von Informationen er suchen muss. Es gibt eine Informationsüberflutung und viele irrelevante Informationen können gesammelt werden. Es ist auch gut, die Quellen zu kennen, in denen diese Art von Informationen gefunden werden kann. Informationen zu haben ist nicht genug, es ist wichtig zu wissen, wie man gesammelte Informationen verwendet, um ein Ziel zu profilieren und sie vorhersehbarer zu machen

Das Sammeln von Informationen kann in zwei großen Kategorien von Methoden erfolgen — technische und nichttechnische Methoden. Wie der Name schon sagt, sind die technischen Methoden auf computergestützte Techniken zum Sammeln von Informationen angewiesen. Es gibt jedoch keine Garantie dafür, dass ein bestimmtes Werkzeug oder elektronisches Gerät ausreichende Informationen über ein Ziel erhält. Daher kann eine Mischung der folgenden Tools und Geräte verwendet werden, um Informationen über Ziele zu sammeln. Social Engineers werden mehrere Tools / Techniken zum Sammeln von Informationen verwenden und die Informationen, die sie erhalten, zusammenführen, um ein Profil für ihre Ziele zu erstellen.

Methoden zur technischen Informationsbeschaffung

Es gibt heute viele Tools, die gezielt für die Informationsbeschaffung bei Social-Engineering-Angriffen entwickelt werden. Das wohl erfolgreichste Tool dafür ist eine Linux-Distribution namens Kali. Es enthält eine Suite von über 300 Tools, die speziell zum Sammeln von Informationen über ein Ziel entwickelt wurden. Lassen Sie uns von den 300 auf die beiden beliebtesten Tools eingrenzen, die sich dadurch von der Liste abheben, dass sie die Daten nicht sammeln, sondern beim Speichern und Abrufen helfen. Diese sind wie folgt:

Die folgende abbildung ist ein screenshot von der www.kali.org website, auf der Sie Kali Linux herunterladen und die folgenden Tools verwenden können:

Für dieses Bild wurde kein Alternativtext bereitgestellt

BasKet

BasKet ist ein kostenloses Open-Source-Linux-Programm, das eher wie ein fortschrittliches Datenspeicherungstool funktioniert, um einen Social Engineer bei der Datenerfassung zu unterstützen. Es hat das vertraute Aussehen von Notepad, verfügt jedoch über viele Funktionen. Es dient als Repository für Text- und Grafikinformationen, die ein Social Engineer zu einem bestimmten Ziel sammelt. Es mag während eines Social-Engineering-Angriffs einfach oder sogar unnötig erscheinen, aber es dient tatsächlich einem Zweck, der in Textverarbeitungsprogrammen wie Microsoft Word schwer zu replizieren ist. BasKet verwendet ein registerkartenartiges Layout, um es dem Social Engineer zu ermöglichen, jede Art von Informationen über ein Ziel in einer geordneten Weise zu platzieren, die leicht zu lesen oder abzurufen ist. Beispielsweise können sich Bilder auf einer Registerkarte, Kontaktinformationen auf einer anderen, Social-Media-Informationen auf einer dritten Registerkarte und physische Standortdetails auf einer separaten Registerkarte befinden. Ein Social Engineer wird diese Registerkarten immer dann aktualisieren, wenn er auf weitere Informationen stößt. Am Ende des Prozesses ermöglicht BasKet dem Social Engineer, diese Informationen als HTML-Seite zu exportieren, wodurch alle Informationen komprimiert werden, wodurch sie portabler, zugänglicher und gemeinsam nutzbarer werden.

Dradis

Dradis (https://dradisframework.com/ce/) ist eine kostenlose Open-Source-Anwendung für Linux, Windows und macOS, die zum Speichern von Informationen verwendet wird. Es hat ein fortgeschritteneres Aussehen, das wie ein Notizblock aussieht. Dradis ist auch in seinen Funktionen weiter fortgeschritten, da es als zentrales Repository fungiert und eine webbasierte Benutzeroberfläche verwendet, um Benutzern die Interaktion mit ihm zu ermöglichen. Anstelle von Registerkarten (z. B. Warenkorb) verwendet Dradis Zweige, mit denen ein Benutzer verschiedene Arten von Informationen zusammenfügen kann. Dradis kann riesige Datenmengen verarbeiten, die sonst für Unternehmen problematisch wären. Es wird daher häufig verwendet, wenn viele Informationen nach dem Ziel sortiert werden sollen.

Nachdem Sie mit den beiden wichtigsten Datenspeicherwerkzeugen fertig sind, ist es jetzt an der Zeit, sich anzusehen, wie Social Engineers die Informationen sammeln. Es folgt eine Diskussion dieser:

Websites

Einer der Bienenstöcke, die Informationen über Ziele enthalten, sind Unternehmens- und persönliche Websites. Unternehmenswebsites können Informationen über ihre Mitarbeiter und Kunden enthalten. Persönliche Websites hingegen enthalten Informationen ausschließlich über Einzelpersonen. Wenn Sie genug herumgraben, können Websites möglicherweise viele Informationen preisgeben. Persönliche Websites können die Verpflichtungen einer Person in Bezug auf Arbeit, physischen Standort, Kontaktinformationen und einige spezielle Wörter, die bei der Erstellung von Passwörtern verwendet werden können, mitteilen.

In Bezug auf den letzten Punkt ist bekannt, dass Menschen aus Gründen der Vertrautheit dazu neigen, einige Sätze oder Wörter aufzunehmen, die ihnen vertraut sind, z. B. das Geburtsdatum, den Namen des Partners, den Namen des Haustieres oder ihren eigenen Namen. Unternehmenswebsites sind in der Lage, Biografien ihrer Mitarbeiter, insbesondere der hochrangigen, und ihre Arbeitskontaktinformationen bereitzustellen. Wenn Sie die Organisation mit einem bösartigen E-Mail-Anhang ansprechen möchten, besteht eine höhere Wahrscheinlichkeit, dass die Nutzlast direkt in der Organisation bereitgestellt wird, wenn Sie sie an E-Mail-Adressen senden, die auf einer Unternehmenswebsite bereitgestellt werden.

Suchmaschinen

Es wird gesagt, dass das Internet nie vergisst. Wenn Sie etwas wissen möchten, Wenn Sie wissen, wie Sie richtig fragen, erhalten Sie möglicherweise fast alle gewünschten Informationen. Google, die dominierende Suchmaschine, ist ein Schlüsselwerkzeug für einen Social Engineer, mit dem Informationen über Ziele im Internet gefunden werden. Wir werden einige der Suchphrasen durchgehen, mit denen Social Engineers mithilfe von Google nach Informationen über Ziele suchen:

  1. Um nach den Informationen eines Ziels innerhalb einer bestimmten Domäne, z. B. einer Unternehmenswebsite, zu suchen, kann die folgende Abfrage verwendet werden:
Site: www.websitename.com "John Doe"

Wenn auf der Website etwas über John Doe enthalten ist, wird Google es in den Suchergebnissen der Abfrage indizieren.

  1. Um im Titel einer von Google indizierten Website nach den Informationen eines Ziels zu suchen, wird die folgende Abfrage verwendet
Intitle:John Doe

Es ist wichtig zu verstehen, dass der Abstand zwischen den beiden Wörtern Google anweist, auch nach Titeln zu suchen, die John enthalten und auf die Text folgt, der das Wort Doe enthält. Dies ist eine sehr nützliche Abfrage, da sie die Informationen eines Ziels erfasst, die in Titeln mehrerer Websites enthalten sind. Diese Abfrage liefert Informationen von Unternehmenswebsites zu Social-Media-Plattformen, da auf einigen Seiten häufig der Name einer Person als Titel verwendet wird.

  1. Um in der URL einer beliebigen Website nach den Informationen eines Ziels zu suchen, kann die folgende Abfrage an Google gesendet werden:
Inurl:john doe

In vielen Organisationen ist es üblich, Wörter in Webtiteln in URLs für SEO-Zwecke zu verwenden. Diese Abfrage identifiziert den Namen einer Person aus URLs, die von Google indiziert wurden. Es ist wichtig zu beachten, dass die Abfrage auf ähnliche Weise wie zuvor beschrieben nach Johnin-URLs und Doe sucht. Wenn ein Social Engineer überhaupt nach allen Namen des Ziels in der URL suchen möchte und nicht nach einem in der URL und einem anderen im Text, kann die folgende Abfrage verwendet werden:

Allinurl:John Doe

Die Abfrage beschränkt die Ergebnisse auf diejenigen, bei denen die URL sowohl den Namen John als auch Doe enthält.

  1. In vielen Fällen hat sich ein Ziel über Jobbörsen auf Stellen beworben. Einige Jobbörsen behalten den Lebenslauf des Ziels auf ihren Websites. Außerdem behalten einige Organisationen den Lebenslauf ihrer Bewerber auf ihren Websites. Ein Lebenslauf enthält hochsensible Details über eine Person. Es enthält den richtigen Namen der Person, echte Telefonnummer, echte E-Mail-Adresse, Bildungshintergrund, und Arbeitsgeschichte. Es enthält eine Fülle von Informationen, die für einen Social-Engineering-Angriff sehr nützlich sind. Um nach den privaten Daten eines Ziels zu suchen, kann der Social Engineer die folgende Abfrage verwenden:
"John Doe" intitle:"curriculum vitae" "phone" "address" "email"

Es ist eine sehr leistungsstarke Abfrage, die das gesamte Internet nach Informationen über John Doe durchsucht, die Titel mit Informationen wie Lebenslauf, Telefonnummer, E-Mail und Postanschrift enthalten.

  1. Die folgende Abfrage wird verwendet, um Informationen nicht über eine bestimmte Person, sondern über eine Organisation zu sammeln. Es zielt auf vertrauliche Veröffentlichungen von Informationen innerhalb der Organisation ab, die auf Websites veröffentlicht werden können:
intitle:"not for distribution" "confidential" site:websitename.com

Die Abfrage sucht nach allem, was mit dem Titel nicht zur Verteilung oder vertraulich auf einer Website veröffentlicht wurde. Bei dieser Suche werden möglicherweise Informationen gefunden, die einigen Mitarbeitern der Organisation möglicherweise nicht einmal bekannt sind. Es ist eine sehr nützliche Abfrage in einem Social-Engineering-Angriff, wenn ein Social Engineer einem bestimmten Ziel über interne Angelegenheiten einer Organisation informiert werden möchte.

  1. Einer der häufig verwendeten Vorwände, um bewachte Räumlichkeiten zu betreten, ist der einer IT- oder Netzwerkreparaturperson, die vom Unternehmen dringend kontaktiert wird. Die Wachen sind bereit, eine solche Person hereinzulassen, und sie können einen Angriff inmitten anderer Mitarbeiter ausführen, ohne Alarm zu schlagen. Um einen solchen Vorwand nehmen zu können, muss ein Social Engineer über das interne Netzwerk oder die Infrastruktur der Organisation Bescheid wissen. Im Folgenden finden Sie eine Gruppe von Suchanfragen, die diese Informationen möglicherweise an einen Social Engineer weitergeben:
Intitle:"Network Vulnerability Assessment Report"Intitle:"Host Vulnerability summary report"

Diese Informationen können auch in bestimmten Teilen des Angriffs verwendet werden, da sie auch Schwachstellen aufdecken, die im Netzwerk des Ziels oder in den mit dem Netzwerk verbundenen Hosts ausgenutzt werden können.

  1. Um nach Kennwörtern zu suchen, die von Benutzern in einem Organisationsnetzwerk verwendet werden, kann eine Sicherung dieser Kennwörter ein nützlicher Ort sein, um mit der Suche zu beginnen. Daher könnte die folgende Abfrage nützlich sein:
Site:websitename.com filetype:SQL ("password values" || "passwd" || "old passwords" || "passwords" "user password")

Diese Abfrage sucht nach SQL-Dateien, die in der Domäne einer Website gespeichert sind und den Namen Kennwortwerte, Kennwort, alte Kennwörter, Kennwörter oder Benutzerkennwort haben. Diese Dateien, auch wenn sie möglicherweise nicht die aktuellen Passwörter des Benutzers haben, Sie können einem Angreifer genügend Informationen geben, um die aktuellen Passwörter der Benutzer zu profilieren. Beispielsweise besteht eine hohe Wahrscheinlichkeit, dass sich das alte E-Mail-Passwort eines Mitarbeiters in ein neues Passwort ändert.

Es gibt viele andere Daten-Jagd-Abfragen, die in Google und anderen Suchmaschinen verwendet werden können. Die besprochenen sind nur die am häufigsten verwendeten. Ein Wort der Vorsicht ist, dass das Internet nie vergisst und selbst wenn einige Informationen gelöscht werden, gibt es andere Websites, die zwischengespeicherte Dateien auf der Website speichern. Daher ist es für Organisationen am besten, ihre vertraulichen Informationen nicht öffentlich zu veröffentlichen.

Pipl

Ein weiteres häufig verwendetes Tool zum Sammeln von Informationen über ein Ziel ist Pipl (https://pipl.com). Pipl archiviert Informationen über Personen und bietet sie jedem, der darauf zugreifen möchte, kostenlos an. Es speichert Informationen wie den richtigen Namen einer Person, E-Mail-Adresse, Telefonnummer, physische Adresse und Social-Media-Konten. Daneben bietet es eine kostenpflichtige Option, um Informationen über die Verwandten einer Person zu sammeln, beginnend mit ihren Geschwistern und Eltern. Es ist eine Goldmine für Social Engineers, da sie mit sehr wenig Aufwand auf eine Menge Informationen über ihre Ziele zugreifen können. Nehmen wir ein reales Beispiel anstelle des häufig verwendeten John Doe, das viele Ergebnisse haben kann. Lassen Sie uns einen ungewöhnlichen wie Erdal Ozkaya verwenden:

 Kein Alt-Text für dieses Bild

Die Site indiziert eine Reihe von Ergebnissen für die von uns gesuchten Namen. Es ist ein Erdal Ozkaya, ein 40-jähriger Mann aus Sydney, Australien. Die Website bietet uns gesponserte Links, um wichtige Aufzeichnungen, Kontaktdaten und Benutzernamenberichte zu finden. Lassen Sie uns weitermachen und auf den Namen klicken und sehen, was die Website über Erdal Ozkaya hat, die kostenlos verfügbar ist:

 Kein Alt-Text für dieses Bild

Die Site kann weitere Informationen zu diesem Namen abrufen. Wir wissen jetzt, dass er (in diesem Fall ich) als Cybersicherheitsarchitekt bei Microsoft arbeitet, er hat einen Doktortitel in Cybersicherheit und einen Master-Abschluss in Sicherheit von der Charles Sturt University und er ist mit einigen Leuten verbunden oder verwandt, die ich aus Datenschutzgründen verwischt habe, die seine Eltern und Geschwister sein könnten. Von einem völlig Fremden wissen wir jetzt viel über ihn und haben Informationen, mit denen wir mehr über ihn sammeln können.

Von hier aus ist es einfach, mit den speziellen Google-Abfragen, die wir zuvor besprochen haben, nach weiteren Informationen zu suchen. Sie können fortfahren, um seinen Lebenslauf zu finden, der weitere Kontaktinformationen enthält.

In unserem Beispiel haben wir einige der Möglichkeiten von Pipl bei der Suche nach Informationen über Ziele untersucht. Da solche Websites für jedermann verfügbar sind, ist klar, dass Datenschutz nichts anderes als eine Illusion ist. Websites wie diese beziehen ihre Informationen von Social-Media-Plattformen, Unternehmenswebsites, von Dritten verkauften Daten, von Hackern veröffentlichten Daten, von anderen Websites gestohlenen Daten und sogar von Regierungsbehörden gespeicherten Daten. Diese bestimmte Website ist in der Lage, Strafregister über ein Ziel zu erhalten, was bedeutet, dass sie Zugriff auf einige Verbrechensaufzeichnungen hat. Besorgniserregend ist, dass diese Websites nicht illegal sind und noch lange Daten über Personen hinzufügen werden. Es sind gute Nachrichten für einen Social Engineer, aber schlechte Nachrichten für alle anderen, die ein Ziel sein könnten. Die Websitebesitzer können nicht gezwungen werden, die darin enthaltenen Daten zu entfernen, und daher gibt es keine Möglichkeit, sie zu verbergen, sobald Ihre Daten an sie gelangen. Die Website kann nur mit mehr Informationen stärker werden.

Whois.net

Noch auf den Seiten, die Informationen archivieren, Whois.net ist noch ein anderer, der fast den gleichen Zweck wie Pipl dient. Whois.net listet Informationen wie E-Mail-Adressen, Telefonnummern und IP-Adressen von Zielen auf, nach denen Informationen gesucht werden. Whois.net hat auch Zugang zu Informationen über Domains. Wenn ein Ziel eine persönliche Website hat, Whois.net ist in der Lage, feine Details über den Registranten und Registrar des Domainnamens, sein Registrierungs- und Ablaufdatum sowie die Kontaktinformationen des Websitebesitzers herauszufinden. Genau wie Pipl könnten die hier erhaltenen Informationen verwendet werden, um mehr Informationen über ein Ziel zu erhalten und dadurch einen erfolgreichen Angriff starten zu können.

Soziale Medien

Milliarden von Menschen haben Social Media bisher angenommen. Mit diesen Plattformen können Social Engineers eine Menge Informationen über die meisten ihrer Ziele finden. Instagram Facebook, Twitter, Instagram oder LinkedIn-Konten. Das Schöne an Social Media ist, dass es Benutzer ermutigt, persönliche Details ihres Lebens im Internet zu teilen. Social-Media-Nutzer sind bequem unvorsichtig und geben am Ende sogar sensible Informationen an die ganze Welt weiter, ohne über die Konsequenzen nachzudenken. Aus diesen Aussagen geht klar hervor, dass soziale Medien nichts anderes tun, als das Problem zu verschärfen. Es schafft einen reichhaltigen Informationspool, aus dem Social Engineers Details über Ziele herausfischen können, ohne Verdacht zu erregen.

Das Folgende ist ein Screenshot von Facebook, der viele Informationen enthält.:

Für dieses Bild wurde kein Alternativtext bereitgestellt

Innerhalb weniger Minuten nach der Suche auf mehreren Social-Media-Plattformen kann ein Social Engineer die Hobbys, den Arbeitsplatz, Vorlieben und Abneigungen, Verwandte und privatere Informationen des Ziels sammeln. Social-Media-Nutzer sind bereit zu prahlen, dass sie in den Urlaub fahren, an bestimmten Orten arbeiten, bestimmte Jobs an ihren Arbeitsplätzen erledigen, ihre neuen Autos, und die Schulen, zu denen sie ihre Kinder bringen. Sie haben keine Angst davor, ihre Arbeitsabzeichen auf diesen Social-Media-Sites zu zeigen, Abzeichen, die Social Engineers duplizieren und verwenden könnten, um in Organisationen einzusteigen. Social-Media-Nutzer werden sich auch mit Fremden anfreunden oder ihnen folgen, vorausgesetzt, sie stimmen mit Hobbys und Interessen überein. Es ist eine verrückte Welt, die potenzielle Ziele benachteiligt, da diese Websites dazu dienen, Menschen für Fremde im Internet zu öffnen. Informationen, die traditionell für persönliche Gespräche gespeichert wurden, werden jetzt für die Welt sichtbar gemacht. Das Schlimme ist, dass sowohl gut als auch schlecht motivierte Menschen darauf zugreifen.

Diese Informationen können von einem Social Engineer verwendet werden, um ein Ziel zu profilieren. Diese Informationen können nützlich sein, wenn Sie ein Ziel davon überzeugen, einige Maßnahmen zu ergreifen oder Informationen preiszugeben. Nehmen wir ein hypothetisches Beispiel, dass wir Sozialingenieure sind und streng geheime Designs und Spezifikationen von einem US-Militärunternehmer erhalten möchten, damit wir lernen können, wie wir ihre Ausrüstung kompromittieren können. Wir können damit beginnen, eine Social-Media-Plattform wie LinkedIn zu besuchen und nach dem Namen dieses Unternehmens zu suchen. Wenn sich das Unternehmen auf LinkedIn befindet, werden uns das Unternehmensprofil und eine Liste der Personen angezeigt, die auf LinkedIn aufgelistet haben, dass sie dort arbeiten. Als nächstes identifizieren wir einen Mitarbeiter, der in der Forschungs- und Konstruktionsabteilung oder sogar in der Marketingabteilung arbeitet. Wir konzentrieren uns dann darauf, Informationen über dieses Ziel zu erhalten, die uns helfen könnten, sie in eine Position zu bringen, in der sie die geheimen Informationen preisgeben können, nach denen wir suchen. Wir beginnen mit der Suche im Facebook-Profil des Mitarbeiters nach Hobbys, Interessen und anderen persönlichen Daten. Wir gehen zu Instagram und schauen uns die Art der Bilder an, die der Mitarbeiter veröffentlicht. Wir beginnen mit der Geolokalisierung des Ziels und verknüpfen die Informationen, die wir auf allen Social-Media-Konten in seinem Namen erhalten. Wir kommen zu einem Punkt, an dem wir seine physische Adresse und die Orte herausfinden, an denen er gerne Zeit verbringt. Wir nähern uns ihm an diesem Punkt und verwenden eine der Taktiken, die wir zuvor in den Kapiteln Mind Tricks and Persuasion gelernt haben, um ihn dazu zu bringen, ein mit Malware geladenes USB-Laufwerk in seinen Computer einzulegen. Von dort aus sammelt die Malware die gewünschten Informationen für uns. So einfach ist das.

Im Folgenden finden Sie einige öffentliche Informationen über mich in LinkedIn:

 Kein Alt-Text für dieses Bild

Organisationen werden auf ähnliche Weise ins Visier genommen. Anfang 2017 wurden 10.000 US-Mitarbeiter von russischen Hackern, die Malware in Social-Media-Posts und -Nachrichten pflanzten, über soziale Medien geplündert. Mitte 2017 wurde eine gefälschte Persona eines Mädchens namens Mia Ash erstellt und verwendet, um eine Netzwerkfirma anzugreifen, indem ein männlicher Angestellter mit umfangreichen Rechten in der Organisation angegriffen wurde. Der Angriff wurde nur vereitelt, weil die Organisation starke Kontrollen hatte, um sich vor Malware zu schützen. Der männliche Angestellte war bereits auf den Betrug hereingefallen, der mit dem gefälschten Facebook-Account des Mädchens begangen worden war.

Im August 2016 wurde entdeckt, dass es einen massiven Finanzbetrug gegen Kunden gab, die einer bestimmten Bank in den sozialen Medien gefolgt waren. Es wird angenommen, dass Angreifer die Kontrolle über die Social-Media-Konten der Bank übernehmen und betrügerische Angebote an die Follower senden konnten, die nur Geld verloren. Es gibt viele andere Social-Media-vermittelte Social-Engineering-Angriffe, die stattgefunden haben. Schuld daran ist nur die schnelle Verfügbarkeit privater Informationen in den sozialen Medien.

The Top 10 Worst Social Media Cyber-Attacks, von S. Wolfe, Infosecurity Magazine, 2017 verfügbar unter https://www.infosecurity-magazine.com/blogs/top-10-worst-social-media-cyber/. .

Für dieses Bild wurde kein Alternativtext bereitgestellt

Dieser Artikel wurde aus meinem Buch Learn Social Engineering entnommen. Um mehr über Social Engineering zu erfahren, können Sie mein preisgekröntes Learn Social Engineering-Buch lesen

Sie können es über

Amazon erhalten: https://www.amazon.com/Learn-Social-Engineering-internationally-renowned-ebook/dp/B079HYPC27

Packt: https://www.packtpub.com/networking-and-servers/learn-social-engineering

Google: https://play.google.com/store/books/details/Erdal_Ozkaya_Learn_Social_Engineering?id=e_RZDwAAQBAJ

O’Reilly: https://www.oreilly.com/library/view/learn-social-engineering/9781788837927/

Sie können auch meine anderen Bücher erhalten 🙂 WENN Sie der Meinung sind, dass Sie keine weiteren Kenntnisse in Social Engineering benötigen

Für dieses Bild ist kein Alternativtext vorgesehen