Phishing Methodology
Last updated
Last updated
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
Reconhecer a vítima
Selecionar o domínio da vítima.
Realizar alguma enumeração web básica procurando por portais de login usados pela vítima e decidir qual você irá imitar.
Usar algum OSINT para encontrar e-mails.
Preparar o ambiente
Comprar o domínio que você vai usar para a avaliação de phishing.
Configurar o serviço de e-mail relacionado (SPF, DMARC, DKIM, rDNS).
Configurar o VPS com gophish.
Preparar a campanha
Preparar o modelo de e-mail.
Preparar a página web para roubar as credenciais.
Lançar a campanha!
Palavra-chave: O nome do domínio contém uma palavra-chave importante do domínio original (por exemplo, zelster.com-management.com).
subdomínio hifenizado: Mudar o ponto por um hífen de um subdomínio (por exemplo, www-zelster.com).
Novo TLD: Mesmo domínio usando um novo TLD (por exemplo, zelster.org).
Homoglyph: Substitui uma letra no nome do domínio por letras que parecem semelhantes (por exemplo, zelfser.com).
Transposição: Troca duas letras dentro do nome do domínio (por exemplo, zelsetr.com).
Singularização/Pluralização: Adiciona ou remove “s” no final do nome do domínio (por exemplo, zeltsers.com).
Omissão: Remove uma das letras do nome do domínio (por exemplo, zelser.com).
Repetição: Repete uma das letras no nome do domínio (por exemplo, zeltsser.com).
Substituição: Como homoglyph, mas menos furtivo. Substitui uma das letras no nome do domínio, talvez por uma letra próxima da letra original no teclado (por exemplo, zektser.com).
Subdominado: Introduz um ponto dentro do nome do domínio (por exemplo, ze.lster.com).
Inserção: Insere uma letra no nome do domínio (por exemplo, zerltser.com).
Ponto ausente: Anexa o TLD ao nome do domínio. (por exemplo, zelstercom.com)
Ferramentas Automáticas
Sites
Há uma possibilidade de que um ou mais bits armazenados ou em comunicação possam ser automaticamente invertidos devido a vários fatores, como flares solares, raios cósmicos ou erros de hardware.
Quando esse conceito é aplicado a solicitações DNS, é possível que o domínio recebido pelo servidor DNS não seja o mesmo que o domínio inicialmente solicitado.
Por exemplo, uma única modificação de bit no domínio "windows.com" pode mudá-lo para "windnws.com."
Os atacantes podem se aproveitar disso registrando vários domínios de bit-flipping que são semelhantes ao domínio da vítima. A intenção deles é redirecionar usuários legítimos para sua própria infraestrutura.
Para mais informações, leia https://www.bleepingcomputer.com/news/security/hijacking-traffic-to-microsoft-s-windowscom-with-bitflipping/
Você pode procurar em https://www.expireddomains.net/ por um domínio expirado que você poderia usar. Para garantir que o domínio expirado que você vai comprar já tenha um bom SEO, você pode verificar como ele está categorizado em:
https://github.com/laramies/theHarvester (100% gratuito)
https://phonebook.cz/ (100% gratuito)
Para descobrir mais endereços de e-mail válidos ou verificar os que você já descobriu, você pode verificar se consegue forçar os servidores smtp da vítima. Aprenda como verificar/descobrir endereços de e-mail aqui. Além disso, não se esqueça de que se os usuários usarem qualquer portal web para acessar seus e-mails, você pode verificar se ele é vulnerável a força bruta de nome de usuário e explorar a vulnerabilidade, se possível.
Você pode baixá-lo em https://github.com/gophish/gophish/releases/tag/v0.11.0
Baixe e descompacte-o dentro de /opt/gophish e execute /opt/gophish/gophish
Você receberá uma senha para o usuário admin na porta 3333 na saída. Portanto, acesse essa porta e use essas credenciais para alterar a senha do admin. Você pode precisar fazer um túnel nessa porta para local:
Configuração do certificado TLS
Antes desta etapa, você deve já ter comprado o domínio que vai usar e ele deve apontar para o IP do VPS onde você está configurando gophish.
Configuração de e-mail
Comece instalando: apt-get install postfix
Em seguida, adicione o domínio aos seguintes arquivos:
/etc/postfix/virtual_domains
/etc/postfix/transport
/etc/postfix/virtual_regexp
Altere também os valores das seguintes variáveis dentro de /etc/postfix/main.cf
myhostname = <domínio>
mydestination = $myhostname, <domínio>, localhost.com, localhost
Finalmente, modifique os arquivos /etc/hostname e /etc/mailname para o seu nome de domínio e reinicie seu VPS.
Agora, crie um registro DNS A de mail.<domínio> apontando para o endereço IP do VPS e um registro DNS MX apontando para mail.<domínio>
Agora vamos testar o envio de um e-mail:
Configuração do Gophish
Pare a execução do gophish e vamos configurá-lo.
Modifique /opt/gophish/config.json para o seguinte (note o uso de https):
Configurar o serviço gophish
Para criar o serviço gophish para que ele possa ser iniciado automaticamente e gerenciado como um serviço, você pode criar o arquivo /etc/init.d/gophish com o seguinte conteúdo:
Finalize a configuração do serviço e verifique-o fazendo:
Quanto mais antigo for um domínio, menos provável é que ele seja identificado como spam. Portanto, você deve esperar o máximo de tempo possível (pelo menos 1 semana) antes da avaliação de phishing. Além disso, se você colocar uma página sobre um setor reputacional, a reputação obtida será melhor.
Observe que, mesmo que você tenha que esperar uma semana, pode terminar de configurar tudo agora.
Defina um registro rDNS (PTR) que resolva o endereço IP do VPS para o nome do domínio.
Você deve configurar um registro SPF para o novo domínio. Se você não sabe o que é um registro SPF leia esta página.
Você pode usar https://www.spfwizard.net/ para gerar sua política SPF (use o IP da máquina VPS)
Este é o conteúdo que deve ser definido dentro de um registro TXT dentro do domínio:
Você deve configurar um registro DMARC para o novo domínio. Se você não sabe o que é um registro DMARC leia esta página.
Você deve criar um novo registro DNS TXT apontando para o nome do host _dmarc.<domain> com o seguinte conteúdo:
Você deve configurar um DKIM para o novo domínio. Se você não sabe o que é um registro DMARC leia esta página.
Este tutorial é baseado em: https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-dkim-with-postfix-on-debian-wheezy
Você precisa concatenar ambos os valores B64 que a chave DKIM gera:
Você pode fazer isso usando https://www.mail-tester.com/ Basta acessar a página e enviar um email para o endereço que eles fornecem:
Você também pode verificar sua configuração de email enviando um email para check-auth@verifier.port25.com e lendo a resposta (para isso, você precisará abrir a porta 25 e ver a resposta no arquivo /var/mail/root se você enviar o email como root).
Verifique se você passa em todos os testes:
Você também pode enviar uma mensagem para um Gmail sob seu controle e verificar os cabeçalhos do email na sua caixa de entrada do Gmail, dkim=pass deve estar presente no campo de cabeçalho Authentication-Results.
A página www.mail-tester.com pode indicar se seu domínio está sendo bloqueado pelo spamhouse. Você pode solicitar a remoção do seu domínio/IP em: https://www.spamhaus.org/lookup/
Você pode solicitar a remoção do seu domínio/IP em https://sender.office.com/.
Defina um nome para identificar o perfil do remetente
Decida de qual conta você vai enviar os emails de phishing. Sugestões: noreply, support, servicedesk, salesforce...
Você pode deixar em branco o nome de usuário e a senha, mas certifique-se de marcar a opção Ignorar Erros de Certificado
É recomendável usar a funcionalidade "Enviar Email de Teste" para testar se tudo está funcionando. Eu recomendaria enviar os emails de teste para endereços de 10min a fim de evitar ser colocado na lista negra durante os testes.
Defina um nome para identificar o modelo
Em seguida, escreva um assunto (nada estranho, apenas algo que você poderia esperar ler em um email regular)
Certifique-se de que você marcou "Adicionar Imagem de Rastreamento"
Escreva o modelo de email (você pode usar variáveis como no exemplo a seguir):
Note que para aumentar a credibilidade do e-mail, é recomendável usar alguma assinatura de um e-mail do cliente. Sugestões:
Envie um e-mail para um endereço inexistente e verifique se a resposta tem alguma assinatura.
Procure por e-mails públicos como info@ex.com ou press@ex.com ou public@ex.com e envie um e-mail para eles e aguarde a resposta.
Tente contatar algum e-mail válido descoberto e aguarde a resposta.
O Modelo de E-mail também permite anexar arquivos para enviar. Se você também gostaria de roubar desafios NTLM usando alguns arquivos/documentos especialmente elaborados leia esta página.
Escreva um nome
Escreva o código HTML da página da web. Note que você pode importar páginas da web.
Marque Capturar Dados Enviados e Capturar Senhas
Defina uma redireção
Normalmente, você precisará modificar o código HTML da página e fazer alguns testes localmente (talvez usando algum servidor Apache) até que você goste dos resultados. Então, escreva esse código HTML na caixa. Note que se você precisar usar alguns recursos estáticos para o HTML (talvez algumas páginas CSS e JS) você pode salvá-los em /opt/gophish/static/endpoint e então acessá-los de /static/<filename>
Para a redireção, você poderia redirecionar os usuários para a página principal legítima da vítima, ou redirecioná-los para /static/migration.html, por exemplo, colocar alguma roda giratória (https://loading.io/) por 5 segundos e então indicar que o processo foi bem-sucedido.
Defina um nome
Importe os dados (note que para usar o modelo para o exemplo você precisa do primeiro nome, sobrenome e endereço de e-mail de cada usuário)
Finalmente, crie uma campanha selecionando um nome, o modelo de e-mail, a página de destino, a URL, o perfil de envio e o grupo. Note que a URL será o link enviado para as vítimas.
Note que o Perfil de Envio permite enviar um e-mail de teste para ver como será o e-mail de phishing final:
Eu recomendaria enviar os e-mails de teste para endereços de 10min a fim de evitar ser colocado na lista negra durante os testes.
Uma vez que tudo esteja pronto, basta lançar a campanha!
Se por algum motivo você quiser clonar o site, verifique a seguinte página:
Clone a WebsiteEm algumas avaliações de phishing (principalmente para Red Teams) você também vai querer enviar arquivos contendo algum tipo de backdoor (talvez um C2 ou talvez apenas algo que acionará uma autenticação). Confira a seguinte página para alguns exemplos:
Phishing Files & DocumentsO ataque anterior é bastante inteligente, pois você está falsificando um site real e coletando as informações fornecidas pelo usuário. Infelizmente, se o usuário não inseriu a senha correta ou se o aplicativo que você falsificou está configurado com 2FA, essa informação não permitirá que você se passe pelo usuário enganado.
É aqui que ferramentas como evilginx2, CredSniper e muraena são úteis. Esta ferramenta permitirá que você gere um ataque do tipo MitM. Basicamente, os ataques funcionam da seguinte maneira:
Você falsifica o formulário de login da página real.
O usuário envia suas credenciais para sua página falsa e a ferramenta envia essas credenciais para a página real, verificando se as credenciais funcionam.
Se a conta estiver configurada com 2FA, a página MitM pedirá isso e, uma vez que o usuário o introduza, a ferramenta o enviará para a página real.
Uma vez que o usuário esteja autenticado, você (como atacante) terá capturado as credenciais, o 2FA, o cookie e qualquer informação de cada interação enquanto a ferramenta está realizando um MitM.
E se, em vez de enviar a vítima para uma página maliciosa com a mesma aparência da original, você a enviar para uma sessão VNC com um navegador conectado à página real? Você poderá ver o que ele faz, roubar a senha, o MFA usado, os cookies... Você pode fazer isso com EvilnVNC
Obviamente, uma das melhores maneiras de saber se você foi descoberto é pesquisar seu domínio em listas negras. Se ele aparecer listado, de alguma forma seu domínio foi detectado como suspeito. Uma maneira fácil de verificar se seu domínio aparece em alguma lista negra é usar https://malwareworld.com/
No entanto, existem outras maneiras de saber se a vítima está ativamente procurando por atividades de phishing suspeitas na web, conforme explicado em:
Detecting PhishingVocê pode comprar um domínio com um nome muito semelhante ao domínio da vítima e/ou gerar um certificado para um subdomínio de um domínio controlado por você contendo a palavra-chave do domínio da vítima. Se a vítima realizar qualquer tipo de interação DNS ou HTTP com eles, você saberá que ela está ativamente procurando por domínios suspeitos e você precisará ser muito discreto.
Use Phishious para avaliar se seu e-mail vai acabar na pasta de spam ou se será bloqueado ou bem-sucedido.
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
