Phishing : Techniques et sensibilisation Maxly MADLON @mail : mmaxly@gmail.com Twitter : @mmaxly Lucien AMROUCHE @mail : lucien.amrouche@gmail.com

Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

Rappel sur le Phishing Le Phishing (ou hameçonnage en français) et ses variantes : Phishing traditionnel Spear Phishing in-session Phishing SMS Phishing or smishing

Rappel sur le Phishing Ministère de l’intérieur : 3ème attaque la plus fréquente après le Déni de service et le vol de données par malware FIC 2017: En 2016, plus de deux millions de victimes du Phishing en France, estimé par l’association Phishing Initiative 20 000 campagnes confirmées 110 attaques recensées par jour

Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

Réalisation d’un Phishing – Etape 1 La collecte de mails Quelques méthodes pour récupérer des adresses email : TheHarvester (outil) FOCA (outil) Google Dorks (ex : "@site.com") Sites de partage (ex : Pastebin, Leakedsource, etc.) Metasploit (search_email_collector) Le BlackMarket… Etc. Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 1 Exemple de résultat avec l’outil « TheHarvester » : Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing Etape 1 : Collecte de mail Etape 2 : Outils de Mailing Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

Réalisation d’un Phishing – Etape 2 Solutions pour le relais SMTP : (période d’essaie incluant : 40000 emails) (version gratuite incluant 1000 emails/mois) (version gratuite incluant 6000 emails/mois) Un serveur Open-Relay… (Serveur mal sécurisé) Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 2 Quelques outils de mailling tel que : Spear Phisher python-mailer Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing Etape 1 : Collecte de mail Etape 2 : Outils de Mailing Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

Réalisation d’un Phishing – Etape 3 Création du site de Phishing Création d’1 nom de domaine (NoIP, Dyndns, etc.) Trois exemples d’outils de génération de Phishing Armitage SET King Phisher Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 3 – Armitage Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 3 – SET Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 3 – SET Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 3 – King Phisher Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

Réalisation d’un Phishing – Etape 3 – King Phisher Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

DEMO

Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

Solutions pédagogiques Double objectif : Eduquer les utilisateurs Evaluer l’impact d’un potentiel Phishing A l’aide de statistiques détaillées Et des messages de sensibilisations  Les utilisateurs savent pourquoi et quand ils se sont fait « phishés »

Solutions pédagogiques Simple Phishing Toolkit Open source Possibilité de réaliser plusieurs campagnes en simultanés Projet abandonné en 2013 Peu de documentation

Solutions pédagogiques Security IQ Très simple d’utilisation Tout en un Outil pas très complet et peu personnalisable En développement

Solutions pédagogiques LUCY Hautement personnalisable Multi-fonctions Dédié à l’éducation Très bien documenté Payant

Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

LUCY – La récolte d’informations (emails)

LUCY – Génération et envoie d’email

LUCY – Education des utilisateurs

LUCY – Education des utilisateurs

LUCY – Plugin Outlook

LUCY – Plugin Outlook Dans ce cas utilisé pour que l’utilisateur essaye de deviner un email de Phishing parmi d’autres emails Sinon sert surtout lors d’une vaste campagne à identifier de potentiels email de Phishing ne provenant pas de Lucy

LUCY – Récolte des statistiques Statistiques campagne de sensibilisation

LUCY – Récolte des statistiques Statistiques navigateur

LUCY – Analyse de la sécurité d’un poste de travail

Lucy – Scénarios d’attaques Plusieurs type de Phishing possible : Par SMS Par Email Hyperlink Web-Based File based Avec ou sans sensibilisation

Lucy – Installation et connectivité Sur une VM Sur un poste de travail Linux Sur un serveur virtuel Amazon (AWS) Accessibilité : Depuis un réseau local (Adresse IP privée) Depuis Internet : Avec un nom de domaine ou DynDNS, No-IP… Avec l’adresse IP publique uniquement

Lucy – Configuration Notre configuration : Envoie de mail par serveur SMTP externe (SendGrid) Campagne et site d’administration en local depuis une VM Attaque de type « Web-based » avec campagne de sensibilisation

DEMO Montrer : Une campagne entière avec Stats générale + colelcted data + stats awareness Montrer plugin + onglet incident + expliquer email forward Montrer la fonction copie page web Montrer malware attack, option possible Montrer malware attack, file-based, les différents scénarios

Retour d’expérience chez un client

QUESTIONS ? CONTACT@C2S.FR

Références Phishing avec armitage : Social Engineer Toolkit : https://www.youtube.com/watch?v=A-rnGP0gI3g Social Engineer Toolkit : https://github.com/trustedsec/social-engineer-toolkit King Phisher : https://github.com/securestate/king-phisher Lucy Security : http://www.lucysecurity.com C2S : http://www.c2s.fr contact@c2s.fr