Bonjour,

Shad0w et moi même avons décidé de vous faire un petit article sur le Social Engeeniring (SE) et sur les risques qu'il engendre.


Qu'est ce que le SE?

C'est tout simplement la manière d'obtenir des informations qui ne devraient pas êtres vu, en se faisant passer pour une personne qui y a accés, comme un FAI, un ami...


Comment les pirates s'en servent?

C'est simple, souvent, quand on veut s'attaquer à une grosse entreprise, on peut être envoyer par une entreprise concurrente, qui veut espionner ou couler cette dernière, nous avons donc les coordonnées de l'entreprise cible.
Ensuite, il suffit de connaître le nom des employés a quoi cela nous sert?
Facile, pour savoir leurs adresse e-mail et leurs envoyer un mail comme quoi, ils doivent tous envoyer leurs pass, leurs IP et d'autres infos (pour le styles, pour mieux les tromper) a une adresse donner: ******@admin-du-reseau par exemple et en leurs disant que c'est la nouvelle adresse, le temps qu'il réagissent, un ou deux employés vous auront déjà maillé les pass................

Attaque de Mail Box

Certaines personnes utilisent de fausse adresses mails pour voler les mot de passe de boite email, toutes différentes suivant la cible. Par exemple pour caramail, il suffit de se créer un login du type services_abonnes Alors faites très attention aux emails que vous recevez car aucun hébergeur ou service ne vous demandera votre mot de passe car ils sont accessibles via leur base de données.


L'attaque de sites.


Savez vous que quand vous faites un site, les données tel que le numéro de téléphone, vôtres adresse.......
Sont visible au publique?!
Allez faire un tour sur www.whois.net
Il suffit de rentrer l' URL cible et pouf!!! une mine d'infos.........
Dis donc, il y a un numéro de téléphone là?
Le réflexe du pirate, sera de vous appeler en se faisant passer pour l'hebergeur par exemple, ou faire pareil mais avec un mail, en vous demandant de justifier vos passwd, le script PHP, si vous êtes fort en sécurité de site ou pas.......
Ensuite, rien de plus facile que d'attaquer un ennemi que l'on connaît bien ;)

Vous avez compris que le SE n'a de limite que votre imagination, grâce a ça, vous pourrez avoir pleins d'infos, très utiles, et développer plein d'autres technique, on peut même par exemple lors d'un Idle host scann, attendre qu'une personne se connecte, lui téléphoner (sur son portable si elle a pas l'adsl) l'occuper, et pendant qu'elle ne génère aucun trafique, se servir de ça machine pour nôtre scann...

Beaucoup pensent que les connaissances de Kevin Mitnick étaient très limitées.. En effet, comme on peut le voir dans le film "cybertraque", il utilise beaucoup de social engineering, par exemple pour avoir la configuration d'un serveur de la société cible.
En général, les Hackers ne lancent pas d'attaque à l'aveugle ("Blind Attack"), il est préférable de faire un repérage du terrain, une prise d'empreinte, du fingerprinting exactement.

Le SE à proprement parler ne fait pas parti des techniques de hacking, il est seulement un support car utilisable par tous. Il suffit de savoir parler :)



Toutes ces techniques, je les ai testé sur des amis, et elles ont toutes réussies, face à ce genre d'attaque, la seule solution est d'être prudent.

SyNoruS & Shad0w -:- Team SH member