Utilizando Ingeniería Social SETOOLKIT.
La ingeniería social es una metodología de ataque más utilizada en la actualidad
Para la elaboración de esta práctica hemos instalado setoolkit, un framework con distintas herramientas para realizar ingeniería social, también conocido como hacking ético, a modo de educación para que los estudiantes puedan aprender a identificar las herramientas que usan las personas para acceder a información personal a través de métodos poco éticos. También hemos recurrido a instalar el framework Metasploit para Ubuntu, este es requerido si deseamos utilizar la herramienta que nosotros elegimos pues el paquete que se descarga para Ubuntu no cuenta con dicho framework, si usted tiene Kali, no es necesario instalar Metasploit pues esté ya cuenta con ambos frameworks desde la instalación del sistema operativo.
Bueno para empezar ambas maquinas deberán estar conectadas a la misma red de internet.
Abriremos la terminal e ingresaremos el comando:
"Sudo setoolkit".
Posteriormente se nos solicitará ingresar nuestra contraseña, una vez ingresemos la contraseña se desplegará la interfaz del setoolkit dentro de la terminal, donde podremos observar un menú de opción, para realizar la práctica debemos elegir la opción 1, que nos mostrará el siguiente menú de opciones sobre social-engineering attack, en el siguiente menú vamos a elegir la opción 1Spear-phishing attack vectors.
Al elegir esta opción, nos presentarán 3 métodos para realizar el ataque, seleccionamos la opción 2, y luego en el siguiente menú, la opción 13 que nos permitira utilizar un archivo pdf para realizar dicho ataque.
Lo siguiente será elegir entre utilizar un archivo pdf creado o utilizar un pdf en blanco creado por el framework, cualquiera de las dos opciones es válida, pero nosotros utilizaremos la opción 2, lo siguiente será elegir la opción 2 que nos permitirá realizar una conexión inversa al equipo de la victima al abrir el pdf.
Posteriormente nos pedirá que escribamos la ip a la que se le direccionará la información recibida por el payload, el puerto al que se enviará la información, nosotros podremos el puerto 5555 y ahora solo tendremos que esperar a que termine de crearse el archivo pdf junto al payload, una vez creado podemos mantener el nombre del archivo o cambiarlo, elegimos la opción 2 para cambiar el nombre del archivo.
Ya hemos creado nuestro archivo pero para que esto funcione, necesitamos una victima por lo que al terminar la creación del archivo, el framework nos preguntará si queremos enviar el archivo a través de un correo electronico, podemos hacer un envió masivo o unicamente a una sola persona, esto puede ser a consideración de cada quien, en nuestro caso enviaremos el archivo a una sola persona, seleccionamos 1, y volvemos a seleccionar 2 para crear el asunto y cuerpo del correo, escribiremos el asunto del correo, escribimos h para que el correo tenga un formato html, escribimos el cuerpo del correo, algo que sea llamativo para la victima y haga que este abrá el documento, como por ejemplo:
"Felicidades, has sido seleccionado como uno de los 100 ganadores de un premio, gracias por haber visitado nuestra página.
Abre el siguiente archivo pdf para saber como reclamar tu premio, sigue las indicaciones".
Con esto, ya estaremos aplicando ingeniería social. Una vez hayamos escrito el cuerpo del correo pulsamos Ctrl+c para terminar finalizar dicho apartado.
Escribimos el correo al que se lo enviaremos, y luego seleccionamos la opción 1 para utilizar un correo para enviar el mensaje junto al archivo, escribimos el nombre a quien pertenece dicho correo, puede ser un nombre falso y por último escribimos la contraseña de dicho correo.
Escribimos yes para asignarlo como alta prioridad y luego nos preguntaran por el soporte TLS, escribimos no.
Para finalizar nos preguntará si deseamos abrir el listener a través de metasploit, escribimos yes, al finalizar podremos ver el framework de metasploit donde recibiremos los datos al realizar la conexión inversa con el payload, una vez que la victima haya abierto el archivo y el payload se haya ejecutado.
Comentarios
Publicar un comentario