El propósito del documento es demostrar los pasos necesarios para realizar un ataque de phising

Resumen:

El propósito del documento es demostrar los pasos necesarios para realizar un ataque de phising con las herramientas SET y Metasploit incluidas en la distibución de Kali

Introducción:

El phishing es un ataque de ingeniería social, que tiene como objetivo engañar personas, en vez de generar implementaciones técnicas sofisticadas, tal como lo explica Greg Aaron investigador del Anti-Phishing Work Group mismo organismo que declaro al 2016 como el peor año de este tipo de ataque en la historia con un total de 1,220,523. En México en el mismo año la Condusef declaro cerca de 78,788 posibles casos de robo de identidad relacionados con el phishing. La gran mayoría de estos incidentes están relacionados a correos electrónicos donde los atacantes simulan ser entidades bancarias en ellos solicitan proporcione datos relacionados con su cuenta, según Condusef el monto reclamado ascendió a  3, 244 millones de pesos. Una de las características del éxito de este tipo de taque es por la simplicidad con la cual pueden ser ejecutados tal como lo aborda Howard F. Lipson en un documento del 2002 titulado Tracking and Tracing Cyber-Attacks: Technical Challenges and Global Policy Issues del cual tomo la siguiente gráfica:

En la gráfica se expone claramente la situación de los ataques donde debido a la gran cantidad de herramientas disponibles y su sofisticación, ya no se requiere que los atacantes cuenten con grandes conocimientos para conducir ataques efectivos. Como a continuación se demuestra se pueden realizar con facilidad por medio de herramientas que están disponibles a todo el público.

Ataque mediante SET (Social-Engineering Toolkit)

Es una de las herramientas con las que cuenta la distribución de Kali y está diseñado especialmente diseñado para realizar ataques contra el elemento humano, la forma de realizarlo es:

1. Ejecutar la aplicación de SET ubicada dentro de Herramientas de Ingeniería Social de Kali. Una vez ejecutada se abrirá una sesión de terminal

En el menú que se despliega se deberá de elegir la opción 1 la cual ejecutará ataques de ingeniería social

1. Dentro del menú de ataques de ingeniería social deberemos de elegir la opción 2  “Website Attack Vector”

1. Dentro del menú deberemos de elegir la opción 3 “Credential Harvester Attack Method” el cual permite obtener las credenciales de la victima

1. Realizado el paso anterior se nos mostrarán tres opciones, para este ejercicio utilizaremos la opción 2 la cual permitirá realizar un clon de una página la cual se nos recomienda sea la que contenga los campos de autentificación  

1. La aplicación nos solicitará que le proporcionemos  la dirección del atacante, la cual deberá ser la dirección ip del equipo donde estemos ejecuntando el SET, asi como la url de la página a clonar, para nuestro ejercicio pondremos http://www.facebook.com 

1. La aplicación realizara una copia de la dirección que le proporcionamos (http://www.facebook.com ) y abre un puerto donde escuchará la información captada por la página falsa.

1. Una vez que la víctima trata de autentificarse la aplicación capta su información y la redirige a la página original donde, desde la perspectiva de la víctima, algo fallo y deberá de volver a ingresar la información logrando el acceso a la página, en muchos de los casos sin advertir que fue tacada. Por otra parte, la aplicación nos entregara la información que la víctima capturo

En este ejemplo la víctima se autentifico como “axxa@demo.com” y su contraseña es “demo1234”

Ataque mediante Metasploit

Metasploit es otra de las herramientas contenidas dentro de la distribución de Kali a mi jucio no es tan sencilla de operar como SET puesto que equiere de mayor interaccion de comandos

La forma de realizar un ataque es la siguiente:

1. Se ejecutará la cual se encuentra en la barra de herramientas, una vez ejecutada la aplicación se deberá de utilizar el comando: “use auxiliary/server/capture/http_basic”   el cual activará el módulo de recolección de credenciales de autentificación provocando que la mayoría de navegadores soliciten una credencial por medio de un pop-up.

1. Por medio del comando “set REALM” estableceremos el nombre del supuesto dominio que solicita la autentificación para nuestro ejercicio utilizaremos el nombre de Banamex  

1. Ahora deberemos de formar la url con la cual se atraerá a la víctima esto se realiza por medio del comando “set URIPATH /” e iniciamos por medio del comando “run”

Con lo que iniciara la escucha del puerto 80 y recolectando la información del pop-up que se desplegaría en el navegador

...