Solo como prueba de concepto. Ingeniería Social (otro phishing más)

El otro día hablando con un compañero de trabajo (un saludo Geranio :P) sobre "técnicas de ingeniería social"  me dio una idea para trastear un rato.

La idea era sencilla, como no quería complicarme demasiado, y ahora que está de moda el tema de la crisis y con ella la morosidad, se me ocurrió hacer un correo (phishing) diciendo lo siguiente.

Como veis, el engaño era manifiesto, ya que como señalo en la imagen, no me molesté en absoluto en camuflar ni faltas de ortografía, ni de poner el logo de Pepsi rotado.
Además, al pasar el ratón por encima de los enlaces, se pueden ven claramente el subdominio al que apuntaba dicho enlace.

Iba a poner una imagen del logo de Iberdrola y Gas Natural para darle un toque "más pro", pero quizá me hubiese metido en un lío al usar imágenes de empresas para esto.

Analizando fríamente el asunto, cualquiera podría darse cuenta del engaño, pero creo que al jugar con el tema de facturas sin pagar y la morosidad, la gente, con un nudo en la garganta, pincha donde sea con tal de averiguar que ha pasado.

El mail fue enviado para más inri desde una cuenta de correo de esas que duran minutos, así que, si hubiesen mirado el remitente o las cabeceras de los correos como nos explica Angelucho perfectamente aquí, no habrían caído.

Este "correo" fue enviado a un total de 500 personas y... bueno, una imagen vale más que mil palabras. (El periodo de tiempo ha sido del Viernes 7 de Noviembre - 18:30 al Domingo 9 - 0:00)

Como digo siempre, hay que desconfiar de TODO, ya que cualquiera nos la puede liar. 

En este caso como hago siempre, la web solo disponía de un contador para ver el número de personas que visitaban el enlace, pero de forma similar es como se montan los "grandes phishing", en los que se pueden ver afectados tus credenciales, por poner un ejemplo.

Ahora solo me queda una duda, las 65 personas que no visitaron el enlace, fue porque no vieron el correo?, porque analizaron cabeceras o vieron a donde iban los enlaces?, porque buscaron en Google la empresa y vieron que no existía ni el dominio ni dicha empresa?

Os recomiendo visitar el blog de Angelucho, donde te explica todo sin unos ni ceros, para que cualquier persona sin conocimientos se pueda sentir más segura.

Tened cuidado con los enlaces, ya tenéis un poco más de información sobre como proceder.

Roberto García (@1GbDeInfo)

Creando correo phishing sin herramientas

Hola.

Os dejo una entrada sobre como se puede simular fácilmente un phishing.

Ya se que el tema esta trillado y que todos sabéis perfectamente de que va el tema. Pero para los que no, os dejo un ejemplo.

Ademas, me ha llamado la atención que desde una página de una multinacional aeronáutica, no me dejase hacer el envío.
Os dejo los ejemplos.

Es tan fácil como, en casi cualquier pagina, darle a "enviar noticia a un amigo" y rellenar los campos que muestro.

Le damos a enviar y llegará a nuestra bandeja de entrada de Gmail sin mayor problema. Se lo come con patatas ya que no pasa ni por la carpeta de spam.

Ahora os dejo la imagen de lo que os comentaba al principio. Una empresa española, en la que supongo que han pagado a alguien que SI sabe lo que hace y no permite el envío.

Como veis, sale la advertencia de "se ha producido un error" y no deja realizar el envío.
A pesar de lo que pueda parecer, es muy muy fácil encontrar paginas desde las que se puede personalizar nuestro phishing.

Ahora imaginad que el link realmente apunta a algún sitio malicioso y que nos cuelan un troyano, o cualquier otro malware.

Conclusiones:

• Aunque nos llegue un correo que parece legitimo y a pesar de estar en la bandeja de entrada, no os fiéis de nadie, ni siquiera de vuestros propios contactos.
• Tened cuidado en los enlaces que pincháis, podéis verificar el sitio real donde os va a llevar solo pasando el ratón por encima del link y mirando en la parte de la izquierda de la pantalla.

• Siempre usad la cabeza, un banco JAMAS te va a pedir ningún dato como tu PIN de la tarjeta.

Como dice Angelucho, nosotros somos nuestra peor vulnerabilidad, pero también nuestro mejor antivirus.

Saludos

*Quiero dejar bien claro que el correo que he usado para enviarlo es mio propio y que en ningún caso he pretendido hacer nada malo con esto. Solo es a modo explicativo, nunca para que lo uséis contra nadie.

Como crear un phishing de Caja Madrid

Estaba viendo vídeos de seguridad informática, cuando he topado con uno de Chema Alonso (que raro) hablando sobre los correos phishing de supuestas entidades bancarias en Gmail.

Voy a tratar de explicar lo mismo que Chema en su ponencia sobre Inseguridad de las vías telemáticas. Quiero que quede bien claro que lo único que voy a hacer es reproducir aquí lo que Chema cuenta en el vídeo, en ningún momento pretendo decir que es un artículo mio o que esto lo he sacado yo. Es una copia vil y trapera a su persona xD, usando "mis medios" para explicar lo mismo que nos cuenta el.

Lo primero es tener claro que no debemos abrir jamas un correo del que desconozcamos su procedencia y por descontado, mucho menos hacer "click" en los enlaces del cuerpo del correo. 

Para el ejemplo voy a usar una cuenta mía de Gmail -para poner a prueba la seguridad de su filtro de Spam- y una web cualquiera de esas que nos dejan "enviar la noticia a un amigo". Esto ultimo es bastante sencillo, basta con poner en google "enviaras la noticia a un amigo" y nos devuelve unos cuantos resultados.

Dicho esto, debemos saber la IP del servidor de Caja Madrid para que cuando nos entre un correo de este tipo, enviarlo a la papelera sin pasar por la casilla de salida ni cobrar las 20.000pts.
Esto lo hacemos abriendo una terminal en windows y haciendo una consulta al DNS con nslookup, nos devolverá esto:

 Continuamos diciéndole que nos devuelva los registros en TXT de los servidores de Caja Madrid:

Como se puede observar en la imagen, tecleando set type=txt  y  cajamadrid.es nos devuelve el valor

 "v=spf1 ip4:213.164.164.0/24 -all" en el que podemos ver la IP del servidor de Caja Madrid, así que, si el correo viene desde otra IP, ya sabemos que debemos hacer con el.

Bien, ahora vamos a la parte en la que "creamos" el phising y vemos que sucede en la cuenta de Gmail.
Vamos a usar un servicio, como ya he comentado, de "enviar una noticia a un amigo". 
Como se ve en la imagen nos pide rellenar unos campos, lo que haremos con los datos que pongo:

Como dice Chema en el vídeo, ponemos cosas que no llamen la atención, como "estimado cliento", "sua aconta" y en el link usamos la palabra hacked y para mas inri, le añadimos una postdata que no llame la atención al filtro anti Spam de Gmail, como VIAGRA  : D


Bueno, queda claro que por razones obvias este correo JAMAS debería llegar a la bandeja de entrada de Gmail no?, pues mirad las siguientes imagenes y llorad:

 

No hay mucho mas que añadir, lo que si quiero, es dejar el vídeo de Chema, porque además de este ejemplo hay otro sobre BlindSqli.