Phising con SET y Gophish

Disclamer: Todas las pruebas, ejemplos, códigos y/o explicaciones que aquí se exponen tienen un ámbito didáctico. Se rechaza cualquier actividad ilícita generada por lo expuesto en este escrito.

Cuando hablo de sitio web “malicioso” me refiero, por ejemplo, a una suplantación de un portal web que solicite unas credenciales. De esta forma, cuando un posible usuario introduzca dichas credenciales, estas quedarán registradas.

Esta prueba de concepto utiliza las herramienta SET y Gophish; y consta de dos partes. En primer lugar, crearemos un sitio web “malicioso” con la herramienta SET. En segundo lugar, distribuiremos este sitio web mediante GoPhish.

Esto mismo es lo que haremos con la herramienta SET (o Social-Engineer Toolkit). Esta aplicación la podemos encontrar en un Kali Linux, y es muy útil para realizar clonados de sitios web. Es decir, en este ejemplo, se utilizará para clonar el sitio web de Twitter (o también llamado por algunos “X”…).

Por ello, en primer lugar iniciamos la herramienta ejecutando “setoolkit”:

Social-Engineering Attacks > Website Attack Vectors > Credential Harvester Attack Method

Y seleccionamos “Site cloner”. Ahora nos solicita una serie de datos referentes al sitio web y la IP de la máquina de vuelta, que tenemos que completar.

La herramienta es muy intuitiva, y para distribuir este correo, podemos seleccionar la opción de plantillas (Email Templates) para crear una nueva.

Lo siguiente que haremos es crear un perfil (Sending profiles). Desde aquí seleccionamos los datos referentes al envío del correo. Esto es, el servidor que lo envía y el “From”.

Igualmente, si se observa con atención, el “from” seleccionado es “twitler.com”. Si se mandara directamente con el dominio oficial, el correo sería fácilmente rechazado, en cambio, al escribir un dominio parecido, pero no igual, es posible tener mas opciones.

El siguiente paso, es crear el usuario donde se va a enviar el correo (Users & Groups). Esto es seleccionar la cuenta de correo destino y una información sobre el nombre:

Aun así, siempre se trata de evolucionar en ambos sentidos, y herramientas como SET y GoPhish, pueden ser de gran ayuda hacia empresas que quieran enseñar a sus empleados los riesgos existentes. De aquí también la razón de estos post, que no son creados para hacer el mal, si no para enseñar y aprender.

Y vosotros, ¿Cómo de cansados estáis de recibir phishing? ¿Habíais probado antes SET y Gophish? Dejadnos vuestros comentarios 🙂