Phishing : Techniques et sensibilisation

Présentation au sujet: "Phishing : Techniques et sensibilisation"— Transcription de la présentation:

1 Phishing : Techniques et sensibilisation
Maxly MADLON @mail : Twitter Lucien AMROUCHE @mail :

2 Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing
Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

3 Rappel sur le Phishing Le Phishing (ou hameçonnage en français) et ses variantes : Phishing traditionnel Spear Phishing in-session Phishing SMS Phishing or smishing

4 Rappel sur le Phishing Ministère de l’intérieur : 3ème attaque la plus fréquente après le Déni de service et le vol de données par malware FIC 2017: En 2016, plus de deux millions de victimes du Phishing en France, estimé par l’association Phishing Initiative campagnes confirmées 110 attaques recensées par jour

5 Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing
Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

6 Réalisation d’un Phishing – Etape 1
La collecte de mails Quelques méthodes pour récupérer des adresses TheHarvester (outil) FOCA (outil) Google Dorks (ex : Sites de partage (ex : Pastebin, Leakedsource, etc.) Metasploit (search_ _collector) Le BlackMarket… Etc. Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

7 Réalisation d’un Phishing – Etape 1
Exemple de résultat avec l’outil « TheHarvester » : Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

8 Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing
Etape 1 : Collecte de mail Etape 2 : Outils de Mailing Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

9 Réalisation d’un Phishing – Etape 2
Solutions pour le relais SMTP : (période d’essaie incluant : s) (version gratuite incluant s/mois) (version gratuite incluant s/mois) Un serveur Open-Relay… (Serveur mal sécurisé) Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

10 Réalisation d’un Phishing – Etape 2
Quelques outils de mailling tel que : Spear Phisher python-mailer Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

11 Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing
Etape 1 : Collecte de mail Etape 2 : Outils de Mailing Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

12 Réalisation d’un Phishing – Etape 3
Création du site de Phishing Création d’1 nom de domaine (NoIP, Dyndns, etc.) Trois exemples d’outils de génération de Phishing Armitage SET King Phisher Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

13 Réalisation d’un Phishing – Etape 3 – Armitage
Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

14 Réalisation d’un Phishing – Etape 3 – SET
Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

15 Réalisation d’un Phishing – Etape 3 – SET
Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

16 Réalisation d’un Phishing – Etape 3 – King Phisher
Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

17 Réalisation d’un Phishing – Etape 3 – King Phisher
Avertissement : A n’utiliser qu’à des fins de recherche ou avec l’accord des parties ciblées

18 DEMO

19 Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing
Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

20 Solutions pédagogiques
Double objectif : Eduquer les utilisateurs Evaluer l’impact d’un potentiel Phishing A l’aide de statistiques détaillées Et des messages de sensibilisations  Les utilisateurs savent pourquoi et quand ils se sont fait « phishés »

21 Solutions pédagogiques
Simple Phishing Toolkit Open source Possibilité de réaliser plusieurs campagnes en simultanés Projet abandonné en 2013 Peu de documentation

22 Solutions pédagogiques
Security IQ Très simple d’utilisation Tout en un Outil pas très complet et peu personnalisable En développement

23 Solutions pédagogiques
LUCY Hautement personnalisable Multi-fonctions Dédié à l’éducation Très bien documenté Payant

24 Sommaire Rappel sur le Phishing Etapes de réalisation d’un Phishing
Etape 1 : Collecte de mail Etape 2 : Outils de Mailling Etape 3 : Création du site de Phishing Retour d’expérience Démo Sensibilisation au Phishing Solutions pédagogiques Présentation de « Lucy »

25 LUCY – La récolte d’informations (emails)

26 LUCY – Génération et envoie d’email

27 LUCY – Education des utilisateurs

28 LUCY – Education des utilisateurs

29 LUCY – Plugin Outlook

30 LUCY – Plugin Outlook Dans ce cas utilisé pour que l’utilisateur essaye de deviner un de Phishing parmi d’autres s Sinon sert surtout lors d’une vaste campagne à identifier de potentiels de Phishing ne provenant pas de Lucy

31 LUCY – Récolte des statistiques
Statistiques campagne de sensibilisation

32 LUCY – Récolte des statistiques
Statistiques navigateur

33 LUCY – Analyse de la sécurité d’un poste de travail

34 Lucy – Scénarios d’attaques
Plusieurs type de Phishing possible : Par SMS Par Hyperlink Web-Based File based Avec ou sans sensibilisation

35 Lucy – Installation et connectivité
Sur une VM Sur un poste de travail Linux Sur un serveur virtuel Amazon (AWS) Accessibilité : Depuis un réseau local (Adresse IP privée) Depuis Internet : Avec un nom de domaine ou DynDNS, No-IP… Avec l’adresse IP publique uniquement

36 Lucy – Configuration Notre configuration :
Envoie de mail par serveur SMTP externe (SendGrid) Campagne et site d’administration en local depuis une VM Attaque de type « Web-based » avec campagne de sensibilisation

37 DEMO Montrer : Une campagne entière avec
Stats générale + colelcted data + stats awareness Montrer plugin + onglet incident + expliquer forward Montrer la fonction copie page web Montrer malware attack, option possible Montrer malware attack, file-based, les différents scénarios

38 Retour d’expérience chez un client

39 QUESTIONS ?

40 Références Phishing avec armitage : Social Engineer Toolkit :
Social Engineer Toolkit : King Phisher : Lucy Security : C2S :