Criando Phishing com Setoolkit

Publicado por Igor Matsunaga em


Hoje em dia é muito comum se ouvir falar sobre Phishing.

Phishing é uma tática desonesta utilizada por cibercriminosos para enganar o usuário e tentar extrair dados pessoais como senhas, contas, cartões de crédito e etc.

Clique aqui para conhecer mais sobre Phishing.

Este post não é uma chamada à ação, e eu absolutamente não apoio qualquer tipo de violação da lei, independentemente do país em que você esteja. Artigo apenas para fins educacionais.

Setoolkit

O Social-Engineer Toolkit (SET) foi criado e escrito pelo fundador da TrustedSec. É uma ferramenta de código aberto orientada para Python, destinada a pentester que desejam utilizar engenharia social.

Download:

$ git clone https://github.com/trustedsec/social-engineer-toolkit/ set/ 
$ cd set 
$ pip install -r requirements.txt

Caso esteja utilizando o Kali Linux o mesmo já vem instalado por padrão.

Iniciando

Para iniciar o Setoolkit, abra um terminal e digite:

# setoolkit

Um aviso contendo algumas informações é aberto na primeira vez, insira “Y” e aperte Enter para continuar.

Menu de opções

logoNSW

Criando Página Fake

No menu, selecione Social-Engineering Attacks (Ataques de Engenharia Social) escolhendo a opção 1.

No próximo menu de opções, selecione Website Attack Vectors (Vetores de ataque do site) escolhendo a opção 2.

No menu a seguir selecione Credential Haverster Attack Method (
Método de Ataque Credential Haverster) escolhendo a opção 3.

Para clonar um site utilizaremos a opção Site Cloner escolhendo a opção 2.

O próximo passo será indicar o IP usado, para esse teste utilizaremos nosso localhost que já vem setado por padrão, bastando apenas pressionar Enter para prosseguir.

O próximo passo será escolher qual o site será clonado, lembre-se que essa técnica é utilizada para capturar informações de e-mail e senha, então poderíamos escolher um site como o Facebook, Gmail, bancos e etc…

Vamos testar utilizando o Facebook como exemplo, para isso digite a url do mesmo:

https://facebook.com

Pressione novamente enter quando ver a imagem abaixo e pronto o processo está concluído, e sua página fake já deve estar rodando na sua rede. Não feche essa janela pois a mesma está fazendo a escuta das entradas pela página fake.

Engenharia Social

Engenharia social é o termo utilizado para descrever um método de ataque, onde alguém faz uso da persuasão, muitas vezes abusando da ingenuidade ou confiança do usuário, para obter informações que podem ser utilizadas para ter acesso não autorizado a computadores ou informações.

Muitas vezes os cibercriminosos utilizam-se de encurtadores de url ou utilizam-se de domínios onde conseguem ofuscar o ip utilizado.

Testando a Página Fake

Para que você acesse a página fake, você precisa apenas digitar o IP da sua máquina em qualquer dispositivo que esteja conectada na mesma rede.

Quando a vítima abre a página, neste caso a única diferença da página oficial que pode ser vista na imagem acima e a URL onde é mostrado o IP do atacante.

O usuário por muitas vezes distraído acaba caindo no golpe e digitando suas credenciais, quando o mesmo tentar acessar sua conta a página é redirecionada para a página oficial é o mesmo acaba achando que digitou algo errado e acaba não perecendo que acabou de entregar suas credenciais.

Você pode verificar em seu terminal as entradas das credenciais como visto na imagem abaixo.

Que a segurança esteja com você!!

[products limit=”16″ columns=”4″ category=”61″ orderby=”date” order=”DESC”]


Igor Matsunaga

Diretor Técnico da NSWorld, entusiasta da área hacking, desenvolvedor hacker ético, formado em Segurança da Informação.

1 comentário

Por meio de ataques de phishing Hacker admite ter sequestrado IDs da Apple - NSW · abril 8, 2019 às 2:40 pm

[…] Veja aqui assuntos da série Phishing:Vamos falar de Phishing?Criando Phishing com Setoolkit […]

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *