Методы социальной инженерии подробный мануал

Основные методы социальной инженерии

1. Психологические методы;
2. Сбор информации;
3. Обрамление (Framing);
4. Использование предлогов (Pretexting);
5. Извлечение (Elicitation);
6. Манипулирование (Manipulation);
7. Планирование и сценарии;
8. Инструменты.

Раскроем вышеперечисленные методы более подробно.

Психологические методы

Отвлечение внимания – непроизвольное перемещение внимания с одного объекта на другой. Сильнее всего отвлекают предметы или явления, которые появляются внезапно и действуют с меняющейся силой и частотой. Было доказано, что в ответ на эти раздражители у человека появляется трудно угасаемый ориентировочный рефлекс.

Социальное соответствие – как правило, люди проявляют большую симпатию к тем, кто занимает похожее положение в обществе, имеет схожий возраст, пол, происхождение, профессию, семейное положение и т.д.

Принцип толпы. Толпа – бесструктурное скопление людей, лишённых ясно осознаваемой общности целей, но взаимно связанных сходством эмоционального состояния и общим объектом внимания. Пользуясь этим принципом, можно манипулировать индивидом в толпе.

Обман – умышленное утаивание каких-либо сведений или событий.

Нужды и Желания – использование нужд и желаний человека в своих целях.

Срочность и ограниченность – данный прием часто используется в продажах. Дефицит рождает чувство эксклюзивности, желанность вещи, т.е. тех чувств, которых изначально к этой вещи не было.

Сбор информации

Существует две основных классификации методов сбора информации: используя интернет и не используя интернет.

Используя интернет, можно эффективно искать информацию с помощью следующих книг и утилит:

• Google hacking – Johnny Long – GH For Penetration Testers – в данной книге подробно описано, как можно использовать мощные возможности поисковых алгоритмов компании Google.
• Phishing – Social Engineering Toolkit - проект Devolution, поставляемый в комплекте с Kali Linux в качестве программного средства, которое используется для внешнего аудита безопасности (Penetration Testing). Данная программа была написана Дэвидом Кеннэди, известным как ReL1k.
• Maltego – специализированное разведывательное ПО, предназначенное для сбора информации из различных источников и представления найденной информации в удобном для понимания формате. Также Maltego позволяет установить ранее неизвестные отношения между найденными сущностями.
• FOCA – мощный инструмент для извлечения и анализа метаданных. Foca умеет извлекать метаданные из файлов Microsoft Office, PDF файлов, графических файлов и любых других типов файлов, содержащих метаданные. Данная программа может извлекать из фотографий подробную информацию о месте, в котором производилась фотосъёмка, по сохранённым в файле фотографии GPS данным.

Мануал: Как пробить всю информацию о человеке за 10 минут!

Вне интернета информацию можно собирать следующими способами:

• Tail Gating – проникновение в закрытое здание, следуя по пятам за тем, кто имеет право туда войти.
• Shoulder Surfing – подглядывание через плечо пользователя за тем, что набирает пользователь на клавиатуре и что появляется на экране.
• Телефон ­– используя данный способ, как правило, злоумышленники пытаются убедить цель, что звонит либо коллега по работе, либо представитель государственных органов (например, сотрудник правоохранительных органов или аудитор)
• Вторжение – получить необходимую информацию о человеке, можно осуществить вторжение в личное пространство.
• Диверсия – Отвлечение/привлечение внимания осуществив намеренное причинение ущерба какому-либо имущество и попытаться извлечь информацию в момент отвлечения внимания цели на яркий инцидент.

Сбор информации: что искать о корпорации (фирме)?

Профиль фирмы, который включает в себя, основные направления деятельности компании, её прибыль, основные статьи расходов, критические процессы, список партнеров, поставщиков, аутсорсеров, технологии, которые используются в процессе деятельности.

Масштабы корпорации – злоумышленник попытается узнать численность компании, территориальное распределение филиалов (если они есть).

Документы и публичные данные – как правило, на официальном сайте компании имеются общедоступные файлы, данные о сотрудниках, иногда опубликованы адреса электронной почты, телефоны, прочие контакты. С помощью поисковых механизмов можно найти отчеты, пресс-релизы компании, а с помощью специальных команд можно узнать IP-адреса серверов компании на основании доменных имён.

Сбор информации: что искать об индивидууме?

Круг общения – как правило, люди сами выкладываю информацию о себе в социальных сетях. К такого рода информации относится: школа, ВУЗ, дополнительное обучение, работа, карьера, конференции, выставки, семья, друзья, знакомые.

Интересы – можно узнать о посещении различных клубов, тусовок, наличию или отсутствию хобби. Почтовый адрес человека можно обнаружить в списках рассылки, тематических форумах. Узнав ник человека, можно попытаться определить онлайн-сообщества, в которых он участвует, сетевые игры (MMORPG и др.), в которые он предпочитает играть.

Обрамление (Framing)

Обрамление – это информация и жизненный опыт, которые формируют нашу реакцию на события, а также решения, которые мы принимаем.

Используя данную технику, можно составить психологический портрет цели на основании следующих данных:

Тип восприятия:

1. визуал
2. аудиал
3. кинестетик

Жизненный опыт – используя любые доступные источники информации, необходимо исследовать жизненный опыт человека;

Политические и религиозные убеждения – желательно выяснить отношение человека к религии, а также его интерес к политической жизни;

Комплексы и фобии – анализируя поведение и доступную публичную информацию, можно попытаться выяснить фобии и комплексы;

Принципы – каких идейных принципов придерживается человек в повседневной жизни;

Профессиональный опыт – какие должности занимал, какими знаниями и навыками обладает, в каких корпорациях работал.

Использование предлогов (Pretexting)

Предлог – это акт создания вымышленного сценария для убеждения цели в предоставлении информации либо выполнении определенного действия.

Претекстинг (англ. pretexting) — атака, в которой злоумышленник представляется другим человеком и по заранее подготовленному сценарию выуживает конфиденциальную информацию. Эта атака подразумевает должную подготовку, как то: день рождения, ИНН, номер паспорта либо последние цифры счета, для того, чтобы не вызвать подозрений у жертвы. Обычно реализуется через телефон или электронную почту.

11 методов, которые активно используют социальные инженеры!

Классические предлоги, используемые злоумышленниками:

1. Help Desk / Tech Support – выдача себя за сотрудника технической поддержки сотового оператора или программы, которой пользуется человек.
2. Pizza Guy – представляясь доставщиком пиццы, можно осуществить незаконное проникновение в охраняемые помещения.
3. Претендент на собеседовании – представляясь кандидатом на работу, можно выяснить контакты сотрудников компании, проникнуть в офис для исследования инфраструктуры компании изнутри.
4. Торговый представитель – представившись торговым представителем, можно получить некоторую информацию о продажах и финансовой ситуации в фирме у невнимательных сотрудников отделов продаж.
5. Бизнес партнер – выдав себя за бизнес партнёра, при удачном стечении обстоятельств, можно выяснить необходимую информацию. Для более эффективного использования этого метода злоумышленники будут изучать особенности корпоративного языка и культуры. Если мошенник будет разговаривать с жертвой на одном языке, то намного быстрее начнет вызывать доверие, а, значит, быстрее получит нужную информацию.
6. Разъяренный клиент – этим часто пользуются при попытке вернуть товар надлежащего качества. При определённом уровне психологического давления, самоконтроль человека ослабевает, и он становится более сговорчивым.
7. Новый сотрудник – представившись новым сотрудником, можно попытаться получить пропуск на контрольно-пропускном пункте и осуществить вторжение на территорию предприятия.

Извлечение (Elicitation)

Извлечение это процесс получения информации в, казалось бы, нормальном и безобидном режиме общения. Другими словами, это можно рассматривать как получение информации от человека, не задавая при этом прямых вопросов.

Манипулирование (Manipulation)

Манипуляция — тип социального, психологического воздействия, представляющий собой стремление изменить восприятие или поведение других людей при помощи скрытой, обманной и насильственной тактики.

При манипулировании используются следующие психологические уязвимости человека:

1. Мы хотим быть вежливыми;
2. Мы хотим выглядеть профессионально;
3. Мы хотим быть нужными и полезными;
4. Мы хотим ощущать свою важность;
5. Мы хотим быть последовательными;
6. Мы не хотим врать без веской причины;
7. Нам нравятся люди, похожие на нас;
8. Мы относимся к людям так, как они относятся к нам.

Планирование и сценарии.

План успешной атаки с помощью социальной инженерии выглядит следующим образом:

1. Исследование обрамления/фрейма – Изменение обрамления (reframing);
2. Разработка предлога – предлог должен вписываться в фрейм цели – чем точнее они подходят друг другу, тем больше шансов на успех;
3. Разработка сценария – не погружаться в детали слишком глубоко;
4. Выполнение действия – Извлечение (elicitation) – Манипулирование (manipulation).

Примеры использования приёмов социальной инженерии

Как заставить открыть фишинговое письмо?

В нём должно быть одно из следующего содержимого:

• Что-то, что сильно заинтересовывает (бесплатные приятности, зарплата всех коллег).
• Можно затерять фишинговое письмо. Но его невозможно не открыть, если за ним следует второе, в котором просьба стереть предыдущее письмо, так как оно содержит сверхсекретную информацию.
• Письмо/веб-страница имеет привычный дизайн.

Помимо фишинговых писем, для проникновения в офис могут использоваться следующие приёмы:

• Доступ к рабочему месту: «одалживание» чужой смарт-карты, заражение флешки соседа вирусом, плечевой сёрфинг, использование незаблокированного оборудования.
• Доступ в офисе: установка сетевых закладок (MitM), проскакивание в дверные проемы за коллегой.

Полностью защититься не удастся, однако защищённость компании могут повысить следующие меры:

• Антиспам и его регулярное обновление
• Проверка подлинности IP-адресов на сервере SMTP
• Ограничение на вложения и/или запрет приема писем с зашифрованными архивами
• Пропускной режим, видеонаблюдение
• Подписание сотрудниками NDA
• Самое главное – повышение осведомлённости сотрудников.

Также в качестве профилактических мер по противодействию социальной инженерии, можно применять корпоративные рассылки. При этом последовательность действий следующая:

• Разработать «легенду» и вектор атаки (SMS, почта);
• Взять за основу корпоративный шаблон рассылки;
• Встроить в письмо безопасное шпионское ПО, передающее системную информацию, которая доказывает факт открытия вложения;
• Выполнить рассылку сотрудникам;
• Просмотреть статистику открытия писем и вложений;
• Провести профилактические мероприятия с персоналом.

Атаки АРТ.

APT (Advanced Persistent Threat) — это сложная, развитая и устойчивая атака, направленная на захват контроля над целевой инфраструктурой предприятия. Она проводится обычно с адаптацией под применяемые средства защиты информации, чтобы провести проникновение скрытно — это позволяет злоумышленникам сохранять контроль над зараженной системой максимально долгое время. APT применяется в целевых атаках на хорошо защищенные системы, когда более простые методы направленного вторжения не срабатывают или могут быстро выдать злоумышленника.

APT занимает месяцы, в течение которых пишется специальное ПО, которое не ловится антивирусами, оно запускается в целевую сеть предприятия − идет постепенный процесс по краже конфиденциальной информации или подготовке к диверсии. Противостоять таким атакам при помощи автоматизированных систем защиты невозможно – такой профессиональный взлом для них не заметен. Бороться с ними можно только силами специальных команд противодействия.

Даже отличная подготовка сотрудников информационной безопасности и наличие продуманной методологии защиты информации не может гарантировать обнаружение атаки APT. Эффективней применять максимально всесторонний анализ и корреляция событий в сети, которые могут помочь обнаружить аномальное поведение, указывающее на APT-атаки и попытки выгрузки конфиденциальных данных за пределы сети.

Статья создана для ознакомительных целей! Осведомлен значит вооружен!