Come fare Phishing con HiddenEye

Cari lettori di Tecnogalaxy, oggi riprenderemo la tecnica sul Phishing, utilizzando il tool HiddenEye, con il quale sarà possibile creare mail che generano Phishing.

Cosè il Phishing, cosa posso ricavare?

Il Phishing è una truffa informatica effettuata inviando un’e-mail con il logo contraffatto di un istituto di credito, di una società di commercio elettronico, di un provider che offre servizi mail etc….in cui si invita il destinatario a fornire dati riservati (numero di carta di credito, password di accesso al servizio di home banking, ecc.).

Un tipico attacco di phishing inizia con un messaggio di posta elettronica, un link che compare su un social, un banner pubblicitario in qualche applicazione molto usata dagli utenti.

Si presenta come una notifica ufficiale proveniente da una fonte attendibile, per esempio una banca, ma anche un amico.

II messaggio invita a collegarsi a un sito Web graficamente molto simile a quello originale ed inserire alcune informazioni personali come, per esempio, il numero di conto corrente o la password.

Queste informazioni vengono poi utilizzate per appropriarsi dell’identità di chi abbocca alla truffa.

Se lo conosci, lo eviti (forse)

Il Phishing sembra non avere età, gli utenti continuano ad abboccare per la gioia del cyber-criminali. È vero che un buon antivirus aggiornato è in grado di bloccarli e indirizzare i messaggi “critici” verso la cartella di spam, ma fidarsi è bene non fidarsi è meglio: c’è sempre qualcosa che può sfuggire al controllo. Anche se protetti, è sempre consigliabile non abbassare mai la guardia.

I messaggi contraffatti – di solito ma non è la regola – vengono solitamente inviati in blocco a diversi destinatari e non contengono il nome o cognome dei singoli utenti.

Passiamo al divertimento, utilizziamo sempre il nostro caro amico Kali Linux.

Apriamo una schell e scriviamo:

cd Scrivania (nel mio caso)

git clone https://github.com/DarkSecDevelopers/HiddenEye.git

cd HiddenEye

python3 HiddenEye.py

Tramite il menù di HiddenEye.py abbiamo tantissime opzioni, per il nostro test selezioniamo:
3 (LinkedIn)

Confermiamo con “y”

Inseriamo il sito originale per fare il redirect, scrivendo nel nostro caso:
linkedin.com

Inseriamo la porta:
4444

Selezioniamo il server e attendiamo che il tool generi il link da inviare alla nostra vittima :
1 (Ngrok)

Perfetto, link generato, copiamolo e inviamolo alla nostra vittima.
(In questa fase entra in gioco come sempre l’ingegneria sociale, scatenando la nostra tecnica potremo ottenere degli ottimi risultati, più saremo bravi e maggiore sarà la riuscita del test.

Quando la vittima aprirà il link, si troverà la pagina di Linkedin, (ovviamente se controlliamo bene l’urlo, possiamo vedere che il link non è quello originale).
Quanti controllano se ci pensate l’url quando cliccano su un link?
Da pc basterebbe posizionarsi sopra con il mouse e vedere dove punta il link, da telefono potremmo copiare l’url ed effettuare lo stesso controllo.

Andiamo avanti con il nostro test

Inserisco la user name e la relativa password, il tool è sempre in ascolto.

Perfetto, test andato a buon fine, HiddenEye ha fatto il suo lavoro in modo egregio catturando, la user name e la password.

Pensate alla pericolosità di questa tecnica se usata per scopi malevoli.
Di seguito potete vedere il video completo del test… ovviamente come sempre fatene buon uso.

Al prossimo articolo!

N.B.: Non mi assumo nessuna responsabilità dell’uso che farete della guida, in quanto stilata per uso didattico e formativo.

Giorgio Perego

IT Manager

Leggi anche:

• Come Navigare Sicuri
• I vantaggi in termini di sicurezza derivanti dall’utilizzo delle VDR nelle transazioni immobiliari
• Cos’è il cashback: caratteristiche, utilità, settori
• Wire ha appena ricevuto un finanziamento di 30 milioni
• Woolsocks: Regali di Natale GRATIS