Quelles sont les étapes d’une campagne de phishing ?
1 – Reconnaissance de la victime
- Sélectionnez le domaine de la victime.
- Effectuez une énumération Web en recherchant les portails de connexion utilisés par la victime et décidez lequel vous allez usurper l’identité.
- Utilisez l’OSINT pour trouver des emails.
2 – Préparez l’environnement
- Achetez le domaine que vous allez utiliser pour la campagne de phishing.
- Configurez les enregistrements relatifs aux services de messagerie (SPF, DMARC, DKIM, rDNS).
- Configurez le serveur avec gophish
3 – Préparez la campagne
- Préparer le modèle d’email.
- Préparez la page web pour voler les informations d’identification.
4 – Lancez la campagne !
Qu’est-ce que Gophish ?
Gophish est un framework d’hameçonnage qui simplifie à l’extrême la simulation d’attaques de phishing réelles.
L’idée de Gophish est simple : rendre accessible à tous une formation au phishing de qualité industrielle. Dans ce cas, le terme « accessible » signifie deux choses.
- Abordable – Gophish est un logiciel libre que tout le monde peut utiliser gratuitement.
- Accessible – Gophish est écrit dans le langage de programmation Go. Cela présente l’avantage que les versions de Gophish sont des binaires compilés sans dépendances. En un mot, cela rend l’installation aussi simple que « télécharger et exécuter » !
Préparation et création d’une campagne de phishing
Nous allons suivre le processus de configuration des utilisateurs, des modèles et d’une campagne complète à partir de zéro.
I- La création d’un profil d’envoi
La création d’un profil d’envoi est facile pour cette campagne. Allez à la page « Sending Profiles » et cliquez sur « New Profile ».
N’oubliez pas : Spécifiez toujours le numéro de port lorsque vous configurez un profil d’envoi ! Utilisez le format host:port pour spécifier l’hôte.
Vous devriez obtenir quelque chose qui ressemble à ceci :
Si vous le souhaitez, vous pouvez envoyer un e-mail de test à un autre destinataire sur le domaine utilisé lors de la campagne pour vous assurer que les e-mails sont relayés correctement.
Une fois les paramètres spécifiés, cliquez sur « Save Profile ».
II- Définition de la cible
La première chose à faire avant de lancer une campagne est de déterminer qui cibler. Il existe de nombreuses façons de collecter/générer des adresses électroniques pour des cibles potentielles. Vous pouvez soit récolter des adresses électroniques à partir d’informations publiques en utilisant l’OSINT si vous cherchez à simuler un scénario réaliste.
Maintenant que nous avons notre liste d’utilisateurs, importons-les dans gophish.
Pour ajouter un groupe, naviguez vers la page « Users & Groups » et cliquez sur « New Group » :
Pour ajouter les membres. Il y a deux façons de le faire :
- Ajouter les détails de chaque membre un par un en utilisant les entrées du formulaire.
- Importez en masse le groupe à partir d’un fichier CSV.
III- Création de l’email template
Pour créer le modèle que nous utiliserons pour notre campagne, accédez d’abord à la page « Email Templates » et cliquez sur le bouton « New Template ».
Voici un modèle d’email simple se basant sur des valeurs template de gophish :
{{.FirstName}},
Le mot de passe de{{.Email}} a expiré. Veuillez réinitialiser votre mot de passe ici.
Cordialement,
En parlant de liens, nous devons maintenant ajouter notre lien d’hameçonnage. Mettez en surbrillance le mot « ici » et cliquez sur l’icône de la chaîne dans le menu, ce qui fait apparaître la boîte de dialogue « Lien ». Dans cette boîte de dialogue, nous allons définir le lien sur {{.URL}}, une autre valeur de modèle, afin que notre lien soit automatiquement créé et inséré dans l’e-mail.
Enfin, assurez-vous que la case « Add Tracking Image » est cochée, puis cliquez sur « Save Template ».
IV- Création de la page malveillante
Nous devons définir la page que nous allons cloner pour notre page d’accueil.
Commencez par vous rendre sur la page « Landing Pages » et cliquez sur le bouton « New Page ».
Pour importer un site par URL, cliquez sur le bouton « Import site ».
Après l’importation, vous verrez le HTML s’afficher dans l’éditeur. En cliquant sur le bouton « Source », vous obtenez un aperçu de la page.
Enfin, nous capturerons les données et les mots de passe soumis en cochant les deux options, et nous redirigerons les utilisateurs vers la page web légitime après qu’ils aient soumis leurs informations d’identification.
Enfin, cliquez sur « Save page » pour sauvegarder la page de renvoi.
V- Lancement de la campagne.
Maintenant que nous avons tous les éléments en main, nous pouvons lancer la campagne !
