Quels sont les outils nécessaires à la mise en place d’un scénario d’ingénierie sociale ?

Nous avons pu voir dans notre précédent article que la préparation d’un scénario d’ingénierie sociale passe par une recherche minutieuse d’informations sur sa cible. Cette recherche peut être complétée par la dissémination de fausses informations afin de renforcer la crédibilité de la démarche.

Pour mettre à profit la préparation effectuée tout en gardant à distance la cible il est nécessaire d’utiliser des outils numériques. Il s’agit des outils de communication que vous utilisez au quotidien. Ces outils sont simplement paramétrés et détournés pour tromper l’interlocuteur.

Quels sont les outils nécessaires à la mise en place d'un scénario d'ingénierie sociale ?

Anonymisation de la connexion internet

La recherche de l’anonymat sur Internet peut avoir de nombreuses motivations légitimes. En Europe, l’internaute peut simplement chercher à préserver son droit au respect de sa vie privée tel qu’il est inscrit dans la Convention de sauvegarde des Droits de l’homme et des Libertés fondamentales en son article 8. Les journalistes trouveront dans l’anonymat un moyen de protéger leur travail et leurs sources. Ailleurs dans le monde l’anonymat sur Internet peut être une question de survie pour des dissidents politiques. L’anonymat sur Internet étant légitime et légal, il est naturel de trouver différents outils permettant d’y parvenir.

Dans le cas qui nous concerne il s’agit d’agir sans que la cible ou les forces de l’ordre ne parviennent à remonter à la véritable identité de l’interlocuteur. Pour cela il faut un système sans frais, simple à mettre en place, utilisable depuis la plupart des connexions internet et qui ne laisse pas apparaître une localisation géographique fiable.

Serveur proxy

Un serveur proxy est un élément d’un réseau informatique qui sert d’intermédiaire entre un navigateur web et Internet. Il s’agit d’un élément de sécurité du réseau. Son but est généralement d’accélérer la navigation vers les pages web populaires en conservant leurs données en cache. Il peut également servir à filtrer le contenu rendu accessible aux postes obligés de passer par lui.

Un proxy peut être anonymisant s’il ne conserve aucune trace de l’émetteur de la requête. Pour l’utilisateur il est risqué de se fier aux proxys anonymes. En effet rien ne permet d’avoir la certitude qu’aucun journal de connexion n’est archivé sur les serveurs.

Point d’accès WiFi public ou cybercafé

Il s’agit de la solution la plus facile en mettre en œuvre lorsque l’on se trouve dans une grande agglomération. Cependant cette méthode laissera apparaître la zone géographique depuis laquelle les connexions sont effectuées et, à l’instar des fournisseurs d’accès internet, les points d’accès WiFi et les cybercafés, entités donnant accès collectivement à Internet, sont également dans l’obligation de conserver des données d’identification des personnes qui se sont connectées à travers leur réseau. Ces éléments associés au visionnage des images provenant de vidéo-protection peuvent mettre à mal l’anonymat recherché.

L’utilisation seule d’un point accès WiFi public ou d’un cybercafé ne répond donc pas à notre problématique.

Tor ou le routage en oignon

Tor, initialement conçu par le laboratoire de recherche de la marine américaine pour protéger les communications gouvernementales, est un réseau en oignon d’anonymisation. Contrairement à l’utilisation d’un proxy, Tor transmettra l’information via une multitudes de nœuds, serveurs ou ordinateurs personnels, avant de l’acheminer à son destinataire final.

Ce système présente l’avantage de brouiller sa localisation géographique. En effet, le point de sortie de l’information peut se situer aussi bien dans son pays, sur le même contient ou à l’autre bout de la planète. Il peut être utilisé depuis sa connexion personnelle bien que l’association avec un accès WiFi public puisse rajouter une couche d’anonymat.

De nombreuses discussions portent sur la sûreté du réseau Tor. Il ne faut pas exclure la possibilité que l’ordinateur initial soit identifié, notamment par des entités possédant leurs propres serveurs nœuds.

Le déploiement sur une machine personnelle est facilité par l’existence d’un package portable Tor Browser. Ce package contient le logiciel Tor, l’interface graphique Vidalia permettant de contrôler Tor et le navigateur web Firefox.

Site web

Dans la préparation d’un scénario d’ingénierie sociale il sera peut être nécessaire de disposer d’un site web afin de duper la cible et lui faire croire qu’elle s’adresse à son interlocuteur habituel. C’est typiquement le cas du phishing bancaire qui renvoi le client vers un faux site imitant à l’identique le site officiel de la banque.

La réalisation de ce faux site pourrait être faite en partant de zéro mais nécessiterait des connaissances techniques et mettrait son auteur face à un risque d’erreurs, comme la présence de fautes d’orthographe.

HTTrack Website Copier

HTTrack est un aspirateur de sites web sous licence libre. Il permet de télécharger un site internet cible en reproduisant son arborescence complète sur son ordinateur. Simple d’utilisation, il ne nécessite qu’un dossier local de destination et l’adresse du site distant à aspirer.

Nous allons tenter d’aspirer le site Internet destiné aux clients particuliers de la Société Générale situé à l’adresse https://particuliers.societegenerale.fr/. Sans paramétrage particulier nous créons un nouveau projet, nous renseignons le chemin de base en indiquant un dossier local situé sur notre disque dur et copions l’adresse citée précédemment dans la partie « Adresse Web : (URL) ». Il suffit de cliquer sur « Terminer » pour lancer l’aspiration. Nous stopperons de force le processus au bout de cinq minutes.

Un clic sur l’index du site aspiré en local, file:///D:/Temp/SocGen/SocGen/particuliers.societegenerale.fr/index.html, permet de constater que le thème de Noël actuellement en place sur le site original est parfaitement conservé. L’inscription d’un code client à huit chiffres fait bien apparaître le clavier permettant de renseigner le mot de passe. Il faudra ensuite forcer l’enregistrement du code client et du mot de passe en local pour pouvoir les conserver et les récupérer ultérieurement.

Ingénierie sociale : résultat de l'aspiration du site de la Société Générale par HTTrack

Résultat de l’aspiration du site de la Société Générale par HTTrack

Courrier électronique

La gestion du courrier électronique occupe 25% de la journée de travail d’un salarié. En 2009 on estimait qu’un utilisateur émettait et réceptionnait en moyenne 167 messages par jour. Ce chiffre devrait atteindre 219 messages en 2013. On comprend alors que le courrier électronique a une place centrale dans nos communications quotidiennes. Pour initier le contact avec une cible sans pour autant éveiller ses soupçons il faut veiller au type d’adresse utilisé. Deux solutions se présentent à nous. La première repose sur la falsification de l’émetteur et la seconde sur l’utilisation d’une adresse pouvant porter à confusion.

Utilisation d’un fake mail

Cette méthode consiste à utiliser un des nombreux service en ligne permettant d’envoyer un courrier électronique en modifiant l’identité de l’expéditeur. Nous choisirons pour l’exemple le site https://emkei.cz/.

Dans un premier temps il suffit de renseigner les champs en prenant soin d’indiquer dans les parties « From Name » et « From E-mail » les données censées duper la cible.

Ingénierie sociale : Fake Mail - http://emkei.cz - formulaire

Fake Mail – http://emkei.cz – formulaire

Dans cet exemple nous choisirons un destinataire disposant d’une adresse auprès d’un des prestataires gratuits les plus populaires : Gmail.

Ingénierie sociale : Fake Mail - arrivée du message dans la boîte de réception de Gmail

Fake Mail – arrivée du message dans la boîte de réception de Gmail

Ingénierie sociale : Fake Mail - Gmail - lecture

Fake Mail – Gmail – lecture

La réception et la lecture de ce courrier électronique à l’expéditeur modifié n’attire pas l’attention. Le courrier passe le filtre anti-spam et est même affiché dans la partie « Importants » renforçant ainsi sa crédibilité.
Seul une étude de l’en-tête complet laisse apparaître la supercherie. Cette vérification, effectuée via l’interface web de la messagerie, ne sera pas à la portée d’un utilisateur de base :

Ingénierie sociale : Fake Mail - Gmail - en-tête

Fake Mail – Gmail – en-tête

La consultation de la messagerie sur mobile croît rapidement, 61% des internautes lisent leur courriers électroniques sur mobile en 2017 (étude annuelle SNCD). Il est intéressant de constater que la version Android de l’application Gmail ne permet pas de consulter l’en-tête complet des message reçus. De ce fait il est impossible d’effectuer cette vérification.

Ingénierie sociale : Fake Mail - Gmail Android - réception et lecture

Fake Mail – Gmail Android – réception et lecture

L’utilisation d’un fake mail permettra donc de transmettre à sa cible un lien malveillant mais si l’on désire entamer une conversation elle n’aura pas d’adresse valide pour émettre une réponse.

Utilisation d’une adresse gratuite

Les sociétés proposant des adresses électroniques gratuites sont légions sur la toile. Les plus connues sont Yahoo! Mail, Gmail et Hotmail. L’adresse mail est composée de l’identifiant choisi par l’utilisateur parmi ceux encore libres, de l’arobase et enfin du nom de domaine :

Identifiant @ NomDeDomaine.TLD

Ingénierie sociale : LaBanquePostale-clients@laposte.net

LaBanquePostale-clients@laposte.net

L’identifiant devra se rapprocher du nom de la société pour laquelle il faut se faire passer. Le choix des noms de domaines sera plus limité car lié à l’offre gratuite disponible. Certains sont à proscrire comme hotmail.com qui est très utilisé par les adolescents. Le tout nouveau outlook.com qui renvoi au sérieux du logiciel éponyme ou le très français laposte.net sont des options raisonnables.

Numéro de téléphone virtuel

Un échange de courrier électronique ne suffira pas toujours à convaincre l’interlocuteur. Ce dernier cherchera à confirmer l’envoi d’une commande ou à se rassurer avec un moyen de communication qu’il pense maîtriser. Les lignes portables commençant par 06 ou 07, bien que permettant un relatif anonymat dans leurs versions prépayés, ne répondent pas à cet objectif. En effet, l’interlocuteur ne pourra pas situer géographiquement son correspondant. Un numéro dont le préfixe est géographique sera plus efficace. Ces numéros sont gérés par de nombreuses sociétés inconnues du grand public. Certaines d’entre elles mettent à disposition des numéros à préfixe géographique qui seront routé vers un numéro de mobile ou vers l’étranger. Ces systèmes destinés aux travailleurs itinérants peuvent être mis à profit à d’autres fins.

Par exemple, le service eVoice de la société j2 Global propose des numéros français de type 01.70.XX.XX.XX. Cette société se trouve en Irlande. Les numéros sont gérés en France par Verizon. Ce système ne garantit pas l’anonymat de l’utilisateur mais rend difficile son identification par les autorités judiciaires françaises.

Fax sur internet

Dans le même esprit que pour les numéros de téléphone virtuels il existe une multitude de services gratuits permettant d’obtenir un numéro de fax à préfixe géographique et qui renverrait les documents reçus sur celui ci en format PDF sur une ou plusieurs adresse de courrier électronique.

Ingénierie sociale : monf@x.com - paramétrage des adresses mails

monf@x.com – paramétrage des adresses mails

La préparation terminée, lançons l’attaque par ingénierie sociale !

Une fois la cible documentée et, les outils numériques permettant de mettre en œuvre les techniques d’ingénierie sociale tout en conservant son anonymat maîtrisés, il est possible de lancer le scénario établi.