שליחת מייל פישינג - GoPhish

בלי כתוביותעם כתוביות

מילון מושגים:

פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.

תבנית - מבנה בסיסי מוכן שממנו יוצרים פריטים דומים, כמו תבנית עמוד או תבנית מסמך.

SMTP - הפרוטוקול הסטנדרטי לשליחת דואר אלקטרוני בין שרתי דואר.

זיוף - התחזות ברשת בעזרת זיוף זהות, כמו כתובת מקור או שולח, כדי להטעות מערכת או משתמש.

CSV - קובץ טקסט פשוט לאחסון נתונים טבלאיים, שבו הערכים בכל שורה מופרדים בפסיקים.

דשבורד - מסך שמרכז נתונים ומדדים חשובים בתצוגה חזותית, לצורך מעקב וקבלת החלטות במבט אחד.

URL - הכתובת שמזהה משאב באינטרנט, למשל דף אתר, וכוללת פרוטוקול, שם מארח ונתיב.

ספאם - הודעות דואר או מסרים לא רצויים שנשלחים בהמוניהם, לרוב פרסום או ניסיונות הונאה.

שליחת מייל פישינג - GoPhish

בשיעור זה אנו משלימים את הקמת מערכת הפישינג ב-GoPhish, יוצרים דף נחיתה מזויף, מגדירים שרת שליחה, קבוצת קורבנות ותבנית מייל, ומשגרים קמפיין מלא שמדגים כיצד גנבים שם משתמש וסיסמה דרך אימייל.

נושאי הסיכום המוצגים בשיעור:

1. יצירת Landing Page: בתוך GoPhish יוצרים עמוד נחיתה חדש. המערכת מאפשרת לכתוב HTML משלנו או לשכפל אוטומטית אתר אמיתי, למשל עמוד הלוגין של לינקדאין, והיא מביאה את כל הקוד שלו כך שהדף נראה כמעט אחד לאחד כמו המקור, עם כמה תיקונים קטנים בסורס.

2. בניית דף לוגין פשוט: במקום להסתבך עם קוד העתקה מורכב, משתמשים בקוד מוכן ופשוט של דף לוגין מ-w3schools, שבו הזנת שם וסיסמה ולחיצה על כפתור שולחת את הנתונים לשרת. מסבירים שבפישינג אמיתי יש לשכפל את האתר האמיתי, לוודא שהוא באמת מעביר את השם והסיסמה, ולהעיף מה-HTML כל JavaScript שמפריע.

3. תפיסת הנתונים והעברת הקורבן הלאה: מסמנים במערכת capture submitted data כדי לתפוס את השם והסיסמה שהקורבן מזין, ובוחרים לאן להעביר אותו אחר כך. מעבירים אותו ללינקדאין האמיתי, כך שהוא יחשוב שפשוט נכשל ניסיון ההתחברות, ינסה שוב ולא יחשוד בכלום. שומרים את העמוד, שעדיין אינו פעיל עד תחילת הקמפיין.

4. Sending Profile: לפני השליחה מגדירים דרך איזה שרת SMTP יישלחו המיילים. אפשר להקים שרת SMTP מקומי משלנו, אך אז חייבים להיזהר שכתובת ה-IP לא תיכנס לרשימה שחורה, ולכן במציאות עושים זאת ממכונה וירטואלית בענן שאם נשרפת כתובתה לא אכפת. בהדגמה משתמשים בשרת ה-SMTP החיצוני של Hotmail או Outlook.

5. הגדרות השרת החיצוני: בהגדרות של Outlook נכנסים ל-Sync Email ומעתיקים משם את שם שרת ה-SMTP עם פורט 587, מציינים את שם השולח ואת שם המשתמש לצורך הזדהות, ומזינים סיסמה. מסבירים שעם שרת SMTP מקומי שלנו היינו יכולים להתחזות לכל כתובת שנרצה, אך שרת חיצוני מאכף אבטחה מוגברת ומונע זיוף השולח.

6. App Password: הניסיון הראשון לשליחת מייל בדיקה נכשל עם שגיאת authentication, כי השרת לא מקבל את הסיסמה הרגילה של החשבון. הפתרון הוא להיכנס לניהול האבטחה של חשבון מיקרוסופט וליצור App Password, סיסמה ייחודית המיועדת בדיוק לאפליקציות ששולחות מכתבים, ולהזין אותה בפרופיל השליחה במקום הסיסמה הרגילה.

7. פתרון בעיות שליחה: גם אחרי הסיסמה החדשה מופיעה שגיאת invalid address, משום שהמערכת לא מאשרת התחזות ללינקדאין בכותרת המכתב מול שרת חיצוני. מוותרים על שדה ההתחזות, משאירים רק את ה-smtp from, והשליחה עוברת בהצלחה. שומרים את הפרופיל.

8. User Groups: יוצרים קבוצת נמענים חדשה. אפשר לייבא רשימה מקובץ CSV או אקסל או להקליד ידנית. לכל קורבן מגדירים שם פרטי, שם משפחה, כתובת אימייל ותפקיד, והפרטים האלה משמשים להלבשה בתוך תבנית המכתב. בהדגמה משתמשים בכתובות אימייל זמניות מאתר Temp Mail לשני קורבנים, וכך ניתן לבנות רשימה ענקית של יעדים.

9. Email Template: יוצרים תבנית מכתב עם שם השולח, נושא ותוכן. התוכן לא נכתב מאפס אלא מועתק ממייל אמיתי שקיבלנו מלינקדאין בג'ימייל, בעזרת אפשרות Show Original שמציגה את המייל המקורי ב-HTML מלא, מעתיקים אותו כולו בעזרת ה-copy to clipboard, מייבאים אותו לתבנית, והשינוי היחיד הוא החלפת הלינקים כך שבמקום להוביל לאתר המקורי הם יובילו אל דף הנחיתה המזויף שלנו. אפשר גם לצרף קבצים למכתב, ושומרים את התבנית.

10. הרצת הקמפיין והדשבורד: יוצרים קמפיין חדש שמקשר יחד את כל הרכיבים, איזה תבנית מייל לשלוח, לאילו קבוצות, דרך איזה פרופיל שליחה, ואיזו כתובת URL של דף הנחיתה, ומשגרים. הדשבורד מציג בזמן אמת כמה מיילים נשלחו, כמה נפתחו, כמה קליקים נעשו, כמה הגישו נתונים וכמה דיווחו על ספאם. הלינקים בתוך כל מייל מובילים לאותו אתר אך עם מזהה ייחודי לכל קורבן, כך שאפשר לדעת בדיוק מי פתח, מי לחץ ומי הזין פרטים. בהדגמה הקורבן שלחץ על הלינק הגיע לדף המזויף, הזין את שמו וסיסמתו, הועבר בשקט ללינקדאין האמיתי בלי לשים לב, וב-view details של הקמפיין אנו רואים בדיוק באיזו שעה ואיזה שם משתמש וסיסמה נגנבו, וכך בדיוק פועלים האקרים ששולחים ספאמים וגונבים פרטי התחברות של אנשים תמימים.

סיכמנו את הקמת מערכת פישינג מלאה ב-GoPhish, מדף הנחיתה המזויף שתופס את הנתונים, דרך פרופיל השליחה עם App Password, קבוצת הקורבנות ותבנית המייל שהועתקה ממייל אמיתי, ועד להרצת הקמפיין וניתוח התוצאות בדשבורד. זה הכל, תודה רבה.

פרקי ההרצאה: שליחת מייל פישינג - GoPhish

תמלול ההרצאה: שליחת מייל פישינג - GoPhish

הטקסט המלא של הדקות הראשונות בהרצאה «שליחת מייל פישינג - GoPhish» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם בהרצאה הזו אנחנו ניצור דפי אינטרנט מזויפים בתוך גו פיש בוא נתחיל מדף נחיתה לאן הלקוח צריך להגיע פה בלנדינג פייג' אני עושה ניו פייג' נותן לו שם נניח לינקדין לנדינג פייג' ועכשיו אני יכול לכתוב פה html או לשכפל אוטומט אתר מסוים אני עושה שכפול אתר הוא שואל
00:25
אותי איזה אתר אתה רוצה לשכפל ואני אומר לוגין של לינקדין המקורי הוא הולך לשמה ומביא את כל הקוד שלהם ותראו איזה יופי.
00:34
זה נראה אחד לאחד כמו המקור. זאת אומרת היוזר שמגיע יראה את זה בדיוק כמו האתר המקורי. בואו תראו איך הוא נראה האתר המקורי. ככה הוא נראה.
00:45
איך אתר פישינג שלי ייראה? תסתכלו טוב טוב. אחד לאחד אותו דבר פה. אתם רואים? האמת שצריך לעשות פה כמה תיקונים, צריך לעשות סורס ולתקן פה כמה דברים, אבל אין לי כוח להתעסק בזה. אני אקח משהו יותר פשוט.
00:59
במקום האתר הזה אני אמחק את כל הסורס הזה אני אמחק את הכל ואני אקח קוד הרבה יותר פשוט מ-w3school יש פה קוד מוכן לדף לוגין כזה יפה למה אני מעדיף אותו כי הוא הרבה יותר פשוט כי אין לי כוח להסתבך בתכנות אז אני אקח דוגמה מוכנה שכשעושים לוגין וכותבים פה איזשהו שם ואיזושהי סיסמה כפתור של לוגין שולח את זה
01:24
פשוט לשרת אז אני צריך את הקוד הזה אצלי כמובן שאם אתם עושים פישינג אמיתי תשכפלו את הלינקדין האמיתי ותראו שהוא באמת מעביר לכם את השם והסיסמה ולא JavaScript מפריע לכם אם משהו מפריע אתם צריכים להעיף אותו מתוך html נעשה capture submitted data מידע שהלקוח ירשום כאן בתוך הלוגין הזה כמובן שאני רוצה להוציא אותו כולל סיסמאות ואחרי שהוא מסיים לאן יעביר את הלקוח הוא יכול להעביר
01:55
אותו לגוגל הוא יכול להעביר אותו ללינק דין האמיתי לאן להעביר את הלקוח אחרי דף פישינג שבו הוא הזין שם וסיסמה באתר המזויף שלי מה אני עושה עם הלקוח הלאה אז אני מעביר אותו ללינק דין האמיתי נניח הוא יחשוב שהוא לא תפס לו שם והסיסמה אז ינסה עוד פעם וייכנס ולא יחשוד בכלום נלחץ save page יש לנו פה עמוד נחיתה מוכן העמוד הזה לא פעיל עד שלא נתחיל קמפיין
02:21
מסע הכיבוש שלנו אבל לפני הקמפיין אנחנו חייבים עוד להגדיר כמה דברים כמו אימייל טמפלייט איזה אימיילים אנחנו נשלח ללקוחות ולפני כן צריך להגדיר גם דרך איזה שרת אנחנו שולחים את המיילים האלו סנדינג פרופיילס אז אני לוחץ סנדינג פרופיילס עושה ניו פרופייל ומגדיר מי זה שרת smtp שלי לשליחת מכתבים
02:44
אתם יכולים להקים שרת smtp על המחשב שלכם רק תיזהרו שכתובת IP שלכם לא תיכנס לרשימה שחורה לכן מי שעושה את זה במציאות עושה את זה מתוך מכונה וירטואלית בענן, שאם כתובת IP שלא תישרף, לא אכפת לו.
03:00
אני כותב שזה יהיה הוט-מייל, שזה outlook.com, וכאן בתוך ההוט-מייל שלי למעלה יש לי Settings, ובתוך ה-Settings יש לי פה View All Outlook Settings, כאן בתוך החלון של ההגדרות אני מחפש סינק אימייל, ובתוך הסינק אימייל יש לי פה את הפרטים של שרת SMTP שלי.
03:22
זה השרת שדרכו מותר לי לשלוח מכתבים, אימיילים החוצה. אז אני מעתיק את השם שלו port587 ומכניס אותו כאן, .2587.
03:34
מה השם שיופיע על האימייל? אני חייב לשים את השם הזה, כי זה היוזרניים שלי כאן בתוך ה-hotmail, או שהיום קוראים לו outlook.com. בקיצור, כאן אני שם את היוזרניים שלי, כאן אני שם יוזרניים לצורך הזדהות, זאת אומרת זה מה יופיע על אימייל, למעלה וזה איך אני אזדהה מול השרת הזה עקרונית הייתי יכול פה לכתוב משהו אחר נניח יכולתי
03:58
לכתוב פה לינקדאין ובסוגריים משולשים את הכתובת האימייל האמיתית שלי זה מה שיופיע ללקוח למעלה בתוך המייל ואת הסיסמה שלי לאות מייל הכנסתי פה את הסיסמה שלי אמרתי לו ignore certificate errors אם יש איזושהי בעיית התחברות תתעלם ממנה ובוא נעשה send טסט אימייל, ננסה לשלוח אימייל דרך השרת הזה, דרך ה-SMTP הזה, נראה שזה בכלל עובד,
04:24
הוא שואל אותי למי לשלוח, אני אומר לי info.practicue.info.strudel.practicue.com, נניח ל-CTO, send, בואו נראה אם זה יצליח, טוב חברים, אני רואה שיש פה שגיאה, authentication unsuccessful, זה אומר שהוא לא אימת אותי בצורה נכונה, כי הוא לא רוצה סיסמה רגילה שלי ל-outlook,
04:45
הוא רוצה שאני אצור לו סיסמה מיוחדת לאפליקציה הזאת, ל-SMTP הזה. אז אני צריך ללכת לאקאונט שלי, accountlive.com, ופה יש מנאג', ניהול שלו, מנאג' של כל ה-Security.
05:00
ככה זה נראה. כאן אני מכניס את הסיסמאות שלי, את האימון דו-שלבי שלי, את כל הפרטים של הניהול של אקאונט שלי במיקרוסופט.
05:10
ואם נרד למטה, נראה כאן App Passwords, סיסמאות לאפליקציות וזה בדיוק מיועד למייל אפס אלו ששולחים כל מיני מכתבים ואני צריך פה ליצור סיסמה ייחודית לאפליקציה הזאת שהיא לא תשתמש בסיסמה הרגילה שלי אני עושה קריאיט ניו אפ פסוורד אחרי הסרט אני אעשה רימוב דרך אגב והנה הסיסמה שחיכיתי לה
05:34
כל כך הרבה זמן לאפליקציה בוא נכניס את זה פה בתוך ההגדרות של סנדינג פרופיילס פה בתוך הסיסמה הזאת נכניס אותה כאן ונעשה עוד פעם send test email והפעם הוא נותן לי הודעה אחרת invalid address כנראה שהוא לא מוכן שאני אתחזה ללינקדין בכותרת של המכתב בואו נוריד את זה נשאיר רק את ה-smtp from
05:58
ננסה עוד פעם ו-email send הצלחנו לשלוח אימייל זהו אני עושה save profile שומר אותו כאשר השינוי היחיד שעשיתי שהכנסתי פה סיסמה שמיועדת לאפליקציות ולא סיסמה רגילה של Outlook אז אחרי שהגדרנו את הסנינג פרופייל אנחנו יכולים להגדיר יוזרים שיקבלו את האימיילים שלנו.
06:21
יוזרס גרופס בוא נעשה קבוצה חדשה נקרא לה לינקדין אימיילס אני יכול לייבא רשימה מתוך קובץ CSV מתוך קובץ אקסל או להקיש ידנית טוב בוא נעשה כאילו יש לנו פה קורבן ראשון ולקורבן הראשון הזה נפתח תיבת אימייל טמפ אימייל ניכנס לטמפ אימייל נעתיק את הכתובת הזאת שהוא קיבל כאן, כרגע אין לו אף אימייל,
06:46
ונכניס פה את השם שלו, את השם משפחה שלו, את כתובת האימייל שלו ואת התפקיד שלו. איך אנחנו פונים אליו? זה סתם שטויות, זה להלביש בתוך השבלונה של המכתב. מה קורה לקורבן השני שלנו?
06:59
גם במחשב של הקורבן השני נפתח דפדפן, נכתוב תם אימייל, וגם כאן קיבלנו כתובת אימייל זמנית, נעתיק אותה וגם נכניס אותה לפה, נקרא לזה b1 b2 כתובת מייל ולא יודע איזה תפקיד יש לו נניח cto וככה אני יכול לעשות רשימה ענקית של קורבנות שיקבלו את האימייל שלי דרך אגב לא כתבנו עדיין את האימייל אימייל טמפלייט
07:24
עוד לא עשינו בואו נעשה את זה עכשיו נעשה אימייל טמפלייט הוא שואל אותי איזה מכתב נשלח נניח לינקדאין אימייל עכשיו הוא שואל אותי מי השולח כמובן שאם זה לא היה הוטמייל אלא שרת שאני הקמתי אצלי פה מקומית הייתי יכול להתחזות למי שאני רוצה לכתוב כאן איזה כתובת שבא לי ובגלל שאני
07:45
משתמש ב-SMTP חיצוני יש להם אבטחה מוגברת ואני לא יכול לזייף פה את השם מה הנושא של אימייל ומה הגוף שלו מה התוכן שלו את זה אני רוצה להעתיק מתוך אימייל אמיתי שקיבלתי בג'ימל שלי מתוך לינקדין אמיתי אני רוצה להעתיק מכאן את כל הנתונים קודם כל זה הנושא שלו אני עושה קופי על
08:08
הנושא שלהם חוזר חזרה ומעתיק אותו as is לכאן אני צריך להכניס את הטקסט או html במקום לעשות את כל זה ידני אני יכול ללחוץ אימפורט אימייל ולתת לו פה את האימייל המקורי בוא נעשה את זה נלך כאן לג'ימל שלי אני לוחץ על שלוש נקודות האלו פה בצד תפריט עזר ויש כאן למטה show
08:31
אוריג'נל לראות את הגרסה המקורית שלו ואני מקבל פה למטה את כל האימייל בצורת html מקורי כמו ששלחו לי אותו אני מעתיק את כל זה עד הסוף יש פה כפתור מוכן copy to clipboard מעתיק אותו וכמו שהוא מכניס אותו לכאן רק מחליף לינקים שבמקום שהם ילכו לאתר המקורי שילכו לדף המזויף שלי זאת אומרת בתוך האימייל הכל ייראה אותו דבר אבל לינק יוביל ללנדינג
08:59
פייג' שלי לדף המזויף שלי זה שעשינו אותו לפני כן אני עושה אימפורט ואני רואה שהאימייל נראה אחד לאחד אותו דבר כמו המקור אתם רואים זה בדיוק אותו דבר אני גם יכול להוסיף פיילס לצרף עוד קבצים שאני רוצה לאימייל אני כרגע לא אצרף שום קובץ ועושה סייף טמפלייט אז אני אסכם לכם מה הגדרנו
09:21
הגדרנו לנדינג פייג' את העמוד המזויף של לינקדין הגדרנו סנדינג פרופייל דרך איזה שרת שולחים את האימיילים שלי דרך איזה SMTP. השתמשתי בהוט-מייל אבל הייתי יכול לעשות את זה על השרת המקומי שלי ואז לא היו לי כל מיני מגבלות.
09:38
עשינו User Groups למי שולחים את האימיילים שלנו, מי הם הקורבנות שלנו ו-Template איזה אימייל לשלוח.