1.7 דרכים נוספות הרצאה

אז עדיין לא הצלחתם? יש עוד כמה דברים שאפשר לעשות.

פישינג (Phishing)

מה זה פישינג?

פישינג הוא שיטת תקיפה בה התוקף מתחזה לגורם אמין (כגון בנק, ספק שירותים או קולגה) כדי להערים על המשתמש ולגרום לו למסור מידע רגיש, להוריד קובץ זדוני או ללחוץ על קישור המוביל לאתר זדוני.

סוגי פישינג:

• Spear Phishing – תקיפה ממוקדת כלפי אדם או חברה ספציפית תוך שימוש במידע אישי כדי לשפר את האמינות.
• Whaling – תקיפה ממוקדת על מנהלים בכירים בארגון.
• Vishing (Voice Phishing) – הונאה קולית דרך שיחות טלפון.
• Smishing (SMS Phishing) – שליחת הודעות טקסט המכילות קישורים זדוניים.

דוגמאות לפישינג:

• שליחת מייל המתחזה למחלקת ה-IT של החברה עם בקשה לאימות סיסמה.
• הודעת SMS מזויפת מהבנק המבקשת פרטי התחברות.
• קישור בתוך מייל שמוביל לאתר הנראה זהה לאתר אמיתי אך אוסף נתוני התחברות.

מהי הנדסה חברתית?

פישינג היא פעולה אחת מתוך הנדסה חברתית, אם תוכניות באג-באונטי יש הנדסה חברתית זה בדרך כלל רק פישינג, אך שווה שתכירו עוד טכניקות שיש תחת הנדסה חברתית.
הנדסה חברתית או social engineering (SE) היא מניפולציה פסיכולוגית המשמשת להערים על אנשים כדי שיחשפו מידע רגיש או יבצעו פעולות שמועילות לתוקף.

טכניקות נפוצות:

1. Pretexting – יצירת סיפור אמין כדי לקבל גישה למידע.
2. Baiting – שימוש בפיתויים כגון דיסק און קי עם ווירוס שהושאר במקום ציבורי.
3. Tailgating – כניסה פיזית לארגון ע"י התחזות לעובד או ספק.
4. Impersonation – התחזות לאדם בכיר בארגון כדי לבקש מידע מאחרים.

דוגמאות להנדסה חברתית:

• תוקף מתקשר לשירות הלקוחות של חברה ומתחזה לעובד כדי לאפס סיסמה.
• אדם לא מוכר נכנס למשרדי החברה בטענה שהוא טכנאי מחשבים.
• עובד מקבל מייל דחוף מהמנכ"ל (שזויף) עם בקשה לבצע העברת כספים.

איך להגיע לרשתות של חברה מסוימת עם פישינג?

שלב איסוף מידע (Reconnaissance)

• אוסינט: OSINT (Open Source Intelligence) – חיפוש מידע ציבורי על הארגון (אתר החברה, LinkedIn, פורומים וכד').
• הנדסה חברתית – התחזות למועמד לעבודה, ספק או גורם פנימי כדי להשיג מידע.
• זיהוי טכנולוגיות בשימוש – בדיקת דומיינים, כתובות IP ושרתי מייל.

שלב יצירת נקודת כניסה

• שליחת מייל פישינג עם קובץ מצורף זדוני או קישור מזויף.
• הצבת דיסק און קי נגוע עם וירוס (USB Rubber Ducky) במשרדי החברה.
• שיחות טלפון כדי לאסוף מידע על מערכות ושירותים בשימוש.

טכניקת domain takeover

קשה לעשות פישינג נכון, כי לרוב אנשים מסתכלים על הקישורים שהם מקבלים במייל או בsms ויודעים לזהות שהדומיין שרשום הוא לא דומיין של החברה שאותה אנחנו תוקפים, ויודעים לזהות כשאנחנו מנסים לזייף אתר של החברה.
ניתן להשתמש בטכניקת domain takeover כדי לגנוב דומיין רשמי של החברה או שהיה בעבר ובכך לבלבל את הנתקף.

תהליך הDomain Takeover הוא תהליך שבו תוקף משתלט על דומיין או תת-דומיין של ארגון בשל תצורה שגויה או נטישת שירותים. ניצול פרצה זו מאפשר לתוקף להפנות משתמשים לאתרים זדוניים, לבצע פישינג, להשתלט על תיבות דואר ולבצע מתקפות נוספות כמו התחזות לארגון.

סוגי Domain Takeover

1. Subdomain Takeover

כאשר דומיין משויך לשירות חיצוני (כגון AWS, Heroku, GitHub Pages) אך השירות כבר אינו פעיל, ניתן להשתלט עליו על ידי רישום מחדש של השירות או ניצול DNS לא תקף.

2. Expired Domains

כאשר ארגון שוכח לחדש דומיין, תוקף יכול לרשום אותו מחדש ולהשתמש בו כדי להפיץ תוכן זדוני או לתפוס תיבות מייל הקשורות לדומיין.

3. Dangling DNS Records

רשומות DNS שמפנות לכתובת לא תקפה מאפשרות לתוקף לתפוס את השליטה על שירותים מסוימים על ידי רישום מחדש של השירות.

הנה כלים שיכולים לעזור לכם לזהות תתי-דומיינים בחברה והאם הם פגיעים לtakeover

1. Subfinder – איתור סאב-דומיינים

subfinder -d example.com

כלי זה סורק את הדומיין ומחזיר רשימה של סאב-דומיינים פעילים.

2. Amass – מיפוי סאב-דומיינים מתקדמים

amass enum -d example.com

Amass משתמש במקורות שונים כדי לזהות תת-דומיינים פגיעים.

3. Subjack – זיהוי סאב-דומיינים שניתן להשתלט עליהם

subjack -w subdomains.txt -t 50 -timeout 30 -ssl -c fingerprints.json

כלי זה סורק תת-דומיינים לא תקפים ומזהה אם ניתן להשתלט עליהם.

4. Aquatone – זיהוי נכסים עם DNS לא תקין

cat subdomains.txt | aquatone -ports 80,443

הכלי Aquatone מאפשר לבצע ניתוח גרפי של הממצאים ולהציג דומיינים חלשים.

5. Takeover – בדיקת השתלטות בפועל

takeover -d example.com

כלי זה בודק האם ניתן להשתלט על סאב-דומיינים כתוצאה מרשומות DNS פגיעות.

תהליך ביצוע Domain Takeover

1. זיהוי תת-דומיינים של היעד באמצעות Subfinder ו-Amass.
2. בדיקה אם יש שירותים נטושים באמצעות Subjack ו-Aquatone.
3. ניסיון להשתלט על שירותים לא תקפים באמצעות רישום מחודש או יצירת שירות מתאים.
4. ניצול ההשתלטות לצורך פישינג או התחזות

אם מצאתם domain takeover בחברה מסויימת, נהוג לקבל גם על כך bounty.