איסוף כתובות מייל וסיסמאות עם Maltego

בלי כתוביותעם כתוביות

מילון מושגים:

פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.

דומיין - תחום ניהולי משותף של מחשבים ומשתמשים ברשת ארגונית, המנוהל מרכזית. גם שם ייחודי של אתר באינטרנט.

הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.

רשומה - שורה בטבלת מסד נתונים שמרכזת את כל השדות של פריט אחד, למשל כל הפרטים של לקוח יחיד.

שם משתמש - מזהה ייחודי שמשתמש מזין כדי להזדהות במערכת, לרוב יחד עם סיסמה.

איסוף כתובות מייל וסיסמאות עם Maltego

בשיעור זה אנו מדגימים איסוף מודיעין אוטומטי על ארגון בעזרת הכלי Maltego, במטרה להשיג את כתובות המייל של עובדי הארגון כבסיס להתקפת פישינג. אנו מריצים טרנספורמציות שונות לאיסוף כתובות מייל, לומדים על מאגרי הדלפות של סיסמאות באינטרנט, ומתקינים תוסף שמחבר את הכלי לאתר בדיקת הפריצות המפורסם כדי לגלות באילו פריצות השתתפו כתובות המייל שאספנו.

נושאי הסיכום המוצגים בשיעור:

1. התרחיש המתקפה: המטרה היא לתקוף ארגון על ידי שליחת קובץ אקסל עם מקרו מסוכן או וירוס שמתחפה לתמונה בתוך מייל, ולשם כך צריך קודם כל לאסוף מודיעין ולדעת אילו כתובות מייל קיימות לעובדי הארגון.

2. מהו Maltego: כלי מוביל לאיסוף מודיעין באופן אוטומטי, שגם מציג את התוצאות בצורה גרפית יפה ומסודרת.

3. ישות הדומיין והטרנספורמציות: מתחילים מישות של דומיין הארגון, לוחצים עליה קליק ימני ורואים רשימה ארוכה של טרנספורמציות, שהן פעולות אוטומטיות שאפשר להריץ על הישות.

4. כתובות מייל מרשם החברות: מריצים טרנספורמציה שמחפשת כתובות מייל שהארגון השאיר בעת הרשמתו אצל רשם החברות. מתקבלות שתי כתובות בלבד, אחת של חברה חיצונית שלא מעניינת אותנו ואחת מתוך הארגון עצמו, וכתובת אחת אינה הרבה להצלחת התקפה.

5. כתובות מייל משרת PGP: מריצים טרנספורמציה שמחפשת בשרת שמחזיק מפתחות הצפנה לשליחת מיילים מוצפנים, ומקבלים ממנו כמה כתובות מייל של אנשים בארגון.

6. כתובות מייל ממנועי חיפוש: מריצים גם טרנספורמציה שאוספת כתובות מייל מתוך מנועי החיפוש הגדולים, ומריצים את כל הטרנספורמציות לאיסוף מיילים שאפשר.

7. ארגון התצוגה הגרפית: כשמתקבלים הרבה אובייקטים מאותו סוג הכלי מאסף אותם בריבוע אחד כרשימה, רק לתצוגה מסודרת יותר, ובאפשרות האיסופים ניתן להגדיר לאסוף לקבוצה רק מעל מאה פריטים ואז הוא מפזר אותם בחזרה על המסך.

8. המשך התקפה בפישינג: אחרי איסוף הכתובות אפשר לבצע פישינג נקודתי, להתחזות לעובד אחד שכביכול שלח מייל לעובד אחר, כי בכתובת מייל אפשר לזייף את מי השולח, ולקוות שאחד העובדים יפתח את קובץ האקסל הנגוע. מספיק שעובד אחד יפשל מכל אלה שאספנו ואנחנו בתוך הארגון.

9. הרעיון של סיסמאות שהודלפו: אפשר להעמיק את ההתקפה ולנסות למצוא שם וסיסמה של עובד. ההנחה היא שהעובד נרשם עם אותו שם וסיסמה באתרים חיצוניים כמו אתר היכרויות או אתר חדשות, מישהו פרץ לאותם אתרים והדליף את כל המיילים והסיסמאות, והעובד עשוי להשתמש באותה סיסמה גם במקום העבודה.

10. מאגר הפריצות: נכנסים לאתר שמרכז את כל הפריצות לאתרים ברחבי העולם ורואים את ההיקף: בחודש אחד נפרצו אתרים רבים ונגנבו מיליוני רשומות, חלקן עם שם משתמש, מייל וסיסמה מוצפנת וחלקן אפילו עם סיסמה באופן גלוי, כי יש אתרים ששמרו סיסמאות בלי ערבול חד כיווני ובלי הצפנה.

11. מאגר הדאמפים המפורסם: קיימים אתרים שאספו עבורנו את הדאמפים, שהם הסיסמאות שנגנבו בפריצות, והמפורסם שבהם הוא האתר שמאגד אחד עשר מיליארד כתובות מייל שהודלפו ומיליוני מספרי טלפון. שם אפשר לבדוק אם המייל או הטלפון שלנו דלפו וגם להכניס סיסמה ולראות אם האקרים מכירים אותה.

12. המגבלה של האתר: האתר לא מספר איזה שם קשור לאיזו סיסמה, כלומר יש לו את כל המיילים ואת כל הסיסמאות אך הוא לא נותן את החיבור ביניהם כדי שלא ינוצלו לרעה, וזה מצד הטובים.

13. התקנת תוסף הבדיקה: במקום לבדוק מייל אחר מייל באופן ידני, משתמשים בכלי האוטומטי. בכפתור הבית של הכלי מוצגות מאות טרנספורמציות שניתן להתקין, שמתחברות לאתרים שונים ובודקות משם מידע. מאתרים את הטרנספורמציה של אתר בדיקת הפריצות, מתקינים את התוסף וחוזרים לגרף.

14. הרצת הבדיקה על כל הכתובות: בוחרים את כל כתובות המייל שאספנו, לוחצים קליק ימני ומריצים את טרנספורמציית הבדיקה החדשה. התוצאות מתחילות להגיע ומתברר אילו כתובות נפרצו ובאילו אתרים הן היו רשומות.

15. קריאת התוצאות: רואים עובדים שנרשמו עם כתובת המייל של העבודה שלהם באתרים שנפרצו, והתקווה של התוקף היא שאחת הסיסמאות שנגנבו תתאים גם לארגון, כלומר שהעובד משתמש באותו מייל ובאותה סיסמה בכל המקומות ולא החליף את הסיסמה במקום העבודה. יש גם כתובות שלא נפרצו. על כל פריצה אפשר ללחוץ ולקבל עליה מידע, למשל פריצה משנת 2019 שבה נגנבו שש מאות עשרים ושתיים מיליון רשומות שכללו מייל, מיקום גיאוגרפי וטלפון של העובד, ומי שישיג את הדאמפ שלה יקבל את כל הפרטים האלה.

בסוף השיעור אספנו באופן אוטומטי כתובות מייל של עובדי ארגון בעזרת Maltego, למדנו על מאגרי דלפות סיסמאות באינטרנט וחיברנו את הכלי לאתר בדיקת הפריצות כדי לגלות באילו פריצות השתתפו הכתובות שאספנו.

פרקי ההרצאה: איסוף כתובות מייל וסיסמאות עם Maltego

תמלול ההרצאה: איסוף כתובות מייל וסיסמאות עם Maltego

הטקסט המלא של הדקות הראשונות בהרצאה «איסוף כתובות מייל וסיסמאות עם Maltego» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, היום בהרצאה אנחנו רוצים לתקוף את נאסא, לשלוח להם דוח אקסל עם מקרוס מסוכן, לשלוח להם איזה וירוס בתור תמונה, איזה מיילוויר.
00:13
וכדי להצליח במשימה שלנו צריך לאסוף מודיעין, כדי לדעת מה כתובות המייל שיש לנאסא, לעובדים של נאסא, ואין כמו מלטגו כדי לאסוף מודיעין באופן אוטומטי, וגם להציג לנו את זה בצורה גרפית יפה.
00:28
נתחיל מישות של דומיין של מתחם שמות nasa.gov אני לוחץ כפתור ימני על הישות שלנו ויש לנו טרנספורמציות פעולות אוטומטיות שאפשר להריץ יש כאן המון טרנספורמציות אני כותב אימייל אני יכול לבקש כתובות מייל מרשם החברות זה שנאסא נרשמו אצלהם והשאירו כתובת מייל בוא ננסה יש פה שתי כתובות בלבד נראה לי שזה לא משהו הכיוון הזה במיוחד שהכתובת הזאת בכלל לא
00:57
קשורה לנאסא עצמם, שימו לב, זו איזו חברה חיצונית, לא מעניין אותי, את זה אני אשאיר, כי זה לפחות מתוך נאסא דוד גוב.
01:06
כתובת אחת גילינו, לא שזה הרבה בשביל להצליח בהתקפה. בואו ננסה לחפש בשרת PGP, זה שרת שמחזיק מפתחות הצפנה כדי שנוכל לשלוח אימיילים מוצפנים למי שעובד בנאסא.
01:19
בואו נראה אם נגלה משהו. אני רואה פה שחזרו לי כמה כתובות מייל. בואו נחפש עוד משהו, יש פה אימייל אדרסים, כתובות אימייל מתוך מנוע החיפוש, מתוך גוגל או בינג, נעשה את זה.
01:32
שימו לב שהוא אסף לי פה את כתובות המייל ברשימה, כי הוא זיהה שיש לי הרבה אובייקטים מאותו סוג, הוא לא רצה לעשות לי בלאגן על המסך, יכול להיות שיש לי פה עוד דברים.
01:43
אז כל מה שהוא מאותו סוג, אז הוא אוסף בריבוע אחת כרשימה, רק לתצוגה גרפית מסודרת יותר. אבל אין לי פה שום דבר אחר, אז זה פחות מתאים לי, אז אני הולך ל-collections ואומר לו ב-collections רק מעל 100 פריטים, תאסוף לי אותם בקבוצה.
02:00
ואז הוא מפזר אותם חזרה, זה רק תצוגה גרפית שונה של כתובות מייל. אז אנחנו מריצים גם חיפוש מתוך שערת מיילים של PGP, גם מתוך מנוע חיפוש של גוגל או בינג, מריצים את כל איסוף המיילים שאנחנו יכולים.
02:17
עכשיו אני יכול לנסות לעשות פישינג, לתקוף אותם באופן נקודתי, להתחזות כאילו העובד הזה שלח לעובד הזה איזשהו מייל, בכתובת מייל אפשר לזייף מי השולח, ולנסות לעשות פישינג ולקוות שאחד העובדים יפתח את המייל שלי ויעריץ את האקסל שאני אשלח לו שמה,
02:35
ובתוך האקסל יהיה מקרוסים וירוס או מיילוור. מספיק שאחד העובדים יפשל מכל מי שמצאתי ואני בתוך הארגון. אבל אפשר להמשיך גם יותר עמוק עם ההתקפה הזאת, חוץ מהפישינג עצמו.
02:47
בואו ננסה למצוא שם וסיסמה של אחד העובדים פה. יכול להיות שהעובד הזה נרשם עם שם והסיסמה שלו באחד האתרים באינטרנט, נניח באתר היכרויות כלשהו, ומישהו פרץ לאתר היכרויות הזה, או שהוא נרשם באתר חדשות עם המייל הזה ועם הסיסמה שלו, ומישהו פרץ לאתר החדשות הזה והדליף לנו את
03:12
כל המיילים ואת כל הסיסמאות מתוך הפריצה. והתקווה שלי שהעובד הזה שהוא לא כזה מבין באבטחה ישתמש באותה סיסמה גם לאתר חיצוני וגם בתוך העבודה שלו ואם הוא משתמש בכל מקום באותה סיסמה ומישהו פרץ לאתר שהוא נרשם שמה והאקרים גנבו את הסיסמה של האתר ההוא אני אני אוכל להשתמש בסיסמה E בשביל לפרוץ לכאן,
03:39
כי העובד הזה משתמש בכל מקום באותה סיסמה. אז בואו נראה האם הכתובת הזאת הייתה באחת מפרצות שקראו באינטרנט. תסתכלו כמה פרצות קיימות וכמה פרצות כל חודש קורות בכל מיני אתרים.
03:55
אנחנו נכנסים לאתר בריצ' צ'ק ואנחנו רואים שבשנת 2022 בחודש הרביעי פרצו לאתר כזה וכזה וגנבו 21 מיליון רשומות. בכל רשומה היה user name, אימייל, שם שלו וה"ש" של הסיסמה, סיסמה מעורבלת, מוצפנת, כאילו סיסמה לא גלויה.
04:16
יש גם פריצות שהייתה בהן סיסמה באופן גלוי, פשוט האתר שמר סיסמה בלי "ה"ש", בלי ערבול חד-כיווני, בלי הצפנה, ואז מישהו פרץ לאתר הזה וגנב אימייל וסיסמה באופן גלוי.
04:29
תסתכלו, יש הרבה כאלו. וכל זה קורה רק בחודש אחד. תסתכלו כמה אתרים נפרצים כל חודש, כמה רשומות נגנבות כל חודש, ואיזה מידע נגנב בכל פריצה.
04:41
פרצו לדוגמה לאתר הזה, גנבו 14,000 רשומות, שזה נחשב מעט מאוד, וכל רשומה כללה אימייל ופספורט באופן גלוי. זה היה חודש רביעי. בואו נראה מה קרה בחודש השלישי בשנת 2022. תסתכלו כמה נפרץ בחודש השלישי.
04:58
עכשיו, בכל פריצה כזאת אפשר לחפש האם היה דאמפ את המידע שדלף. אז אני יכול ללכת ולחפש באינטרנט איפה הדאמפ.
05:09
דאמפ זה סיסמאות שגנבו מתוך הפריצה הזאת, ויש אתרים שעשו את זה עבורנו כדי שלא נסתבך עם חיפוש ידני. והכי מפורסם ביניהם have I been found האם-neprצתי.com האתר הזה אוסף את הדאמפים מכל הפריצות יש בתוכו 11 מיליארד כתובות מייל שהודלפו אחרי הפריצה.
05:35
גם מיליוני טלפונים שהודלפו אחרי הפריצה. ואני יכול לבדוק האם הטלפון שלי ידוע להאקרים, האם כתובת מייל שלי דלפה דרך אחד האתרים שנפרץ.
05:48
והוא גם אוסף סיסמאות שנפרצו. אז אני יכול להכניס פה את הסיסמה שלי ולראות האם ההאקרים מכירים אותה. אבל מה הם לא עושים? הם לא אומרים לך איזה שם קשור לאיזה סיסמה.
06:00
זאת אומרת שיש להם את כל האימיילים ויש להם את כל הסיסמאות אבל הם לא נותנים לך את החיבור ביניהם שלא תוכל לנצל אותם לרעה. זה החבר'ה הטובים.
06:10
אז אתה יכול להכניס פה אימייל או טלפון שלך ולבדוק האם נפרצת או לא. אתה יכול להכניס פה את הסיסמה שאתה אוהב להשתמש בה ולבדוק האם היא נמצאת במאגר של האקרים או לא.
06:20
אבל אין חיבור בין השניים. עכשיו במקום ללכת וידענית לבדוק מייל מייל, אנחנו בכלי אוטומטי תראו איזה יופי אנחנו בוחרים פה את כל כתובות המייל שבא לנו את כולם לוחצים כפתור ימני ואפשר להגיד לו לבדוק הכל רגע אבל לא התקנו את התוסף הזה טרנספורמציה הזאת עדיין לא מעודכנת אצלנו יש לנו פה home כפתור של home ובכפתור של
06:42
home אנחנו יכולים לראות פה טרנספורמציות כל אלו טרנספורמציות שאפשר להתקין שיודעות להתחבר לכל מיני אתרים ולבדוק משם המידע יש