Setoolkit para la creación de payloads

Buenas noches hackers! En esta entrada con un vídeo explicativo de Rabbit Hutch, se procederá a la creación de payloads y el uso del exploit/multi/handler para estar a la escucha de por un puerto determinado a la espera de una conexión inversa a nuestro host, dentro de una red LAN proporcionada por VMware y en un entorno controlado virtualizado.

SET, proporciona un gran abanico de posibilidades en cuanto a ataques de ingeniería social. Estas herramientas se integran con el framework Metasploit para así garantizar una fase de explotación en el sistema víctima. 

La creación de un payload ejecutable garantiza que ese binario malicioso mediante la ingeniería social, la víctima pueda ejecutarlo y así realizar la conexión hacia nuestro host y la obtención de meterpreter para uso de administración remota del sistema. 

Este payload generado no es FUD, por tanto existen métodos de ofuscación de código ya sea una vez compilado, o desde su código fuente. Para ello esta entrada y este vídeo es un mera introducción a malware, detectado por los diferentes AV's existentes en el mercado. Dentro de poco veremos herramientas que generan troyanos o RAT, completamente FUD o casi. 

Pero básicamente el procedimiento es el mismo. La elección de un payload y su correspondiente exploit. Herramientas como Veil-Evasion permiten la creación de payloads y poder usarlo con el exploit/multi/handler de Metasploit a la espera de la conexión (o payload) inversa dada una dirección IP pública o privada y un puerto determinado. 

También veremos más adelante de forma teórica ataques fuera de la red LAN mediante el uso de NoIP y apertura de puertos en la puerta de enlace o gateway. 

Proof of concept

Un saludo Naivenom

Setoolkit + BeEF

Buenas hackers! En esta PoC os traigo como clonar un sitio web mediante la ingeniería social en un entorno controlado, es decir, virtualizado dentro de la misma red virtual que nos proporciona VMware. La prueba de concepto la podeís encontrar grabada y editada en el canal de Youtube del blog, Rabbit Hutch

Consiste en el uso de SET, una de las herramientas de ingeniería social más potentes en el mundo de la ciberseguridad y el hacking.
También se usa la herramienta BeEF pudiendo mejorar el ataque de ingeniería social mediante la inyección del hook.js, y así usar el framework para usar exploits con la combinación de Metasploit, con el objetivo de obtener información del sistema operativo, cookies, direccionamiento IP, el cliente del navegador etc...

El uso de BeEF para realizar una fase de explotación en el sistema y recolección de información se verá en otros vídeos más adelante en el canal Rabbit Hutch.
Aún así tenemos una buena entrada en el blog sobre el uso de BeEF
Si quereís saber más información sobre este nuevo proyecto visitar la web de Rabbit Hutch

Proof of Concept

Un saludo, Naivenom

Ingeniería Social con SET y Metasploit

Buenas a todxs.

Hoy me estreno en este blog para presentaros una herramienta muy interesante orientada a la Ingeniería Social. Su nombre es SET (Social-Engineering Toolkit) y se encuentra disponible en la distribución Kali Linux.

La demo que vamos a realizar en cuestión, será la clonación (phishing) de la web de Facebook, a la vez que realizamos una infección mediante un applet de Java, que controlaremos posteriormente mediante Meterpetrer de Metasploit.

Ante todo, indicar que como obviamente todxs sabemos, esta actividad es meramente educativa y no debería usarse para cometer actos impuros.

Dicho lo dicho, ¡al turrón!

Lo primero que debemos hacer será ejecutar la herramienta en una terminal con el comando setoolkit y seleccionamos la primera opción del menú que se nos muestra: Social-Engineering Attacks.

En el siguiente menú tomaremos la segunda opción: Website Attack Vectors.

A continuación, se nos mostrarán diferentes tipos de ataques. Nosotros nos centraremos en el primero: Java Applet Attack Method.

Se nos mostrará otro nuevo submenú, donde elegiremos el modo en el que queremos crear el phishing. En este caso, haremos una clonación de una página con la segunda opción: Site Cloner.

Una vez seleccionado, se nos preguntará si vamos a usar NAT/Port Forwarding para nuestro ataque, pero como vamos a realizar la prueba en una red local pondremos: “no”.

Introducimos la IP de la máquina donde estamos albergando el phishing.

En el siguiente menú seleccionamos qué applet vamos a utilizar. Al tratarse de un ejemplo sencillo, no nos complicaremos y tiraremos de un applet de SET (opción 2).

En este punto es cuando introduciremos la web que deseamos clonar. Para esta demo he seleccionado Facebook.

Una vez introducida, la web se clonará y pasaremos a la selección del payload.

Para continuar bajo la premisa del mínimo esfuerzo y máxima eficiencia elegiremos la primera opción: Meterpreter Memory Injection (DEFAULT) y podremos el puerto 443 en escucha:

Dentro de la opción elegida utilizaremos Reverse TCP, para que sea la victima la que se conecte a nosotros.

Llegados a este punto, ¡habemus phishing!

Veremos cómo se levanta el servidor Apache2 para publicar nuestra web (ya sabéis… /var/www/) y a continuación se ejecutará el Framework Metasploit.

Ahora abriremos desde otro equipo (o máquina virtual) que tengamos en nuestra red, la IP dónde tenemos el phishing.

En este punto, si queréis, se podría hacer un DNS Spoofing para redirigir el tráfico de la víctima cuanto intente acceder a facebook.com hacia nuestra IP (entre otras cositas que se os ocurran).

Pero ahora tenemos un problema… “con la iglesia hemos dado, Sancho”.

Según hemos planteado este ataque, si tenemos actualizado Java SE a su última versión, se nos bloqueará la infección mediante el applet (pero mantendremos el phishing, eso sí). Una mala costumbre que tiene Java de no confiar en las firmas autofirmadas…

Para saltarnos este bloqueo tendremos que añadir en la configuración del Panel de Control de Java la IP del atacante. Sí, lo sé… nadie va a infectarse con el applet, pero recordad que tenéis la posibilidad de lanzar vuestro propio applet o utilizar otros tipos de ataques (además es un ejemplo educativo y lo sabéis).

Añadida la IP, procedemos a acceder a través de un navegador fantástico como es IE y aceptamos que somos unos incautos que queremos ser infectados a pesar de la notificación de riesgo de seguridad que nos emiten.

Una vez aceptado e introducidos las credenciales de nuestra cuenta, se nos redirigirá a la página oficial de Facebook, como si nos hubiésemos equivocado al introducir las credenciales y aquí nadie se hubiera comido un bicho rico, rico y con fundamento.

Una vez infectado el sistema de la víctima, en nuestra máquina atacante podremos ver cómo se ha registrado en el Meterpreter una nueva sesión.

Para ver las sesiones activas utilizaremos el comando sessions y para acceder a una de ellas: sessions -i númeroDeSesion.

Para comprobar que todo funciona correctamente, podemos utilizar el comando preferido por los stalkers: screenshot

Et Voilà!

Con esto finiquitamos el Briconsejo de hoy, no olvidéis echar el sustrato, siempre mucho sustrato para los geranios.

“La educación es el arma más poderosa que se puede usar para cambiar el mundo” y no lo digo yo, lo dijo Mandela.


Pablo Lorenzo

Ingeniería Social (II) - Introducción

Buenas hackers!! En esta segunda entrada del volumen Ingeniería Social, os voy a introducir a: ¿Qué es el ingeniero social?. Según a personas que he preguntado, me dicen que no lo saben, otros me dicen que es el método de engañar a una persona para obtener información, ser ingeniero social es conseguir un beneficio economico "for free", o ser un buen actor. El objetivo primordial del ingeniero social es influenciar en la victima, diciendole  lo que la victima quiere escuchar, y esta devolviendole lo que el ingeniero social quiere saber, usando técnicas como manipulación e influencia entre otros.

Según la Wikipedia: "Ingeniería social es la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes informáticos, para obtener información, acceso o privilegios en sistemas de información que les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos. El principio que sustenta la ingeniería social es el que en cualquier sistema "los usuarios son el eslabón débil". En la práctica, un ingeniero social usará comúnmente el teléfono o Internet para engañar a la gente, fingiendo ser, por ejemplo, un empleado de algún banco o alguna otra empresa, un compañero de trabajo, un técnico o un cliente. Vía Internet o la web se usa, adicionalmente, el envío de solicitudes de renovación de permisos de acceso a páginas web o memos falsos que solicitan respuestas e incluso las famosas cadenas, llevando así a revelar información sensible, o a violar las políticas de seguridad típicas. Con este método, los ingenieros sociales aprovechan la tendencia natural de la gente a reaccionar de manera predecible en ciertas situaciones, –por ejemplo proporcionando detalles financieros a un aparente funcionario de un banco– en lugar de tener que encontrar agujeros de seguridad en los sistemas informáticos."

Como vimos en la entrada anterior, la ingeniería social tocan muchos ámbitos de nuestra vida ya sea desde la infancia el cómo un niño tiene capacidad de manipular a sus padres para conseguir lo que quiera, a un ejecutivo para ganarse el ascenso. También psicólogos, médicos, abogados, policías, espías, ciberdelincuentes etc, usan estas técnicas para obtener información, conseguir acceso, manipulación, haciendo que el objetivo actue del modo previsto...
De la misma forma un psicólogo usa sus habilidades para conseguir manipular a su paciente, en busca de acciones positivas y éticas con la necesidad de un cambio en su forma de ser. Una persona mal intencionada puede usar las mismas técnicas para manipular la vulnerabilidad en el elemento humano, y romperla en todos los sentidos. Todas las personas tienen un bug. Un ejemplo es esta escena de Mr.Robot (Spoiler inside!!):

Según lo visto en la escena, Elliot rompe absolutamente a Bill y consigue su objetivo, en este caso "gaining access". Por tanto la ingeniería social no es una rama que digamos sea poca ética, dependiendo del objetivo y los resultados obtenidos se puede decir que es ético o no. También depende del punto de vista. Quizás haya personas que piensen que las técnicas usadas por un psicólogo o un médico no sean las más apropiadas ya que estan influyendo a una persona. O quizás la filosofía de los "hacktivistas", puede parecerles correcto obtener información y mostrarla en los medios de comunicación, de la cúpula de un partido politico por ejemplo o de una multinacional, mientras que haya personas que eso no le parezca ético ya que esta de un modo u otro obteniendo información de manera intrusiva mediante ingeniería social aprovechandose de la vulnerabilidad de una persona y "gaining access" a un sistema informático o infraestructura de la organización empresarial. 
Por tanto, el punto de vista es importante, y es subjetivo dependiendo de la legislación existente en un país en concreto y su sociedad. 

El ingeniero social que combina todas las técnicas que veremos más adelante en la fase psicológica, se puede decir que ha llegado a tal experiencia que puede conseguir lo que desee mediante la manipulación, "pretexting", elicitación, influencia, persuasion etc... Con estas habilidades y además las técnicas usadas en la fase de explotación, el ingeniero social reunirá un conjunto de habilidades y no solo sociales, para conseguir su objetivo ya sea Hacking WiFi, Metasploit, Social Engineering Toolkit, HID Attacks etc.. 
Desafortunadamente, en la actualidad la ciberdelicuencia se esta profilerando de manera exhaustiva constatando que la mayoria de los ataques de ciberdelicuentes usan técnicas de ingeniería social, por ello es importante estudiar con detenimiento esas técnicas, analizarlas y combatirlas. Un ataque podría ser el "physical impersonation" + "malicious insiders". La consecuencia derivada de lo primero, posicionamiento como un empleado o directivo más, de una organización y romper todos los esquemas de ella y hacerla trozos con el espionaje industrial. Es complejo de llevar a cabo, y un estudio minucioso y dedicado. 
En este mismo contexto, este tipo de ataques y el vender información a los competidores esta a la orden del dia. Como administrador de la seguridad de la organización ¿Qué tipo de privilegios dar a cada uno de los empleados? ¿Cómo garantizar la confidencialidad de los datos expuestos a los empleados o directivos y el grado de seguridad? ¿Es fiable o se puede confiar en él? 
Todas estas preguntas, muchas de ellas difícilmente respondibles es una cuestion importante ya que puede hacer mucho daño a la empresa en cuanto a perdidas económicas. Un "insider" experimentado y con el síndrome de "burnout", puede tanto obtener información clasificada dependiendo del grado de seguridad que tenga en la organización, como borrar su rastro y ser totalmente anónimo (lo veremos en la fase de anonimato). Por tanto, ¿qué indicios tiene la policia ante este acto delictivo? Dependiendo de lo cuidadoso que haya sido el "insider", tendrá un tanto por ciento de asegurar su anonimato y su tapadera, la mentira formulada y previamente estudiada al detalle. Obviamente para esto es aconsejable el conocimiento de herramientas de pentesting, tanto para el "insider" como para el policía o perito realizando su análisis forense. 
Por tanto, la educación en la organización empresarial sobre seguridad es importante para saber detectar posibles "insiders", o ataques desde el exterior. Según el ciclo usado por un ingeniero social con fines malintencionados, si se quiere concienciar sobre seguridad, es importante conocer la fase psicológica y OSINT, para evitar dar información a personas con "aparentes" buenas intenciones y no caer en la manipulación, elicitación, influencia y persuasión entre otros. 
Las llamadas telefónicas suelen ser un vector de ataque común donde no existe exposición física e inventandonos una buena historia, nuestra gran mentira y puesta en escena, denominado "pretexting", se puede obtener gran cantidad de información. 
Importante no dar contraseñas, usuarios o correos electrónicos. Hablando con personas que usan ordenadores de forma habitual y usan contraseñas para acceder a cuentas de usuarios alojados en los distintos servidores de base de datos, muchos de ellos usan contraseñas inseguras muy fáciles de predecir montandonos un diccionario en base a un objetivo para realizar un ataque por diccionario.

En este caso el ingeniero social tiene facilidades para saber cuál puede ser su contraseña como el nombre de su mascota, la fecha de nacimiento o lugar u hábitos relacionados a sus hobbies. Y por supuesto esa contraseña las usa en la mayoría de sus cuentas de usuario de las aplicaciones web usadas.
Las aplicaciones web, almacenan datos privados nuestros que pueden ser usados para un análisis de inteligencia previa recolección de información.

Para remediar ataques externos o internos, pero relacionados con la fase de explotación es necesario tener en la organización personal cualificado en sistemas e infraestructuras de redes (sysadmin), con nociones avanzadas sobre seguridad informática.

Pasemos ahora a los tipos existentes de ingenieros sociales. Como se ha mencionado la ingeniería social es una ciencia, fundamentalmente basado en la psicología. Dependiendo del fin que una persona haga del uso de ella, se le podrá considerar ética o no. Volvemos a lo mismo, todo es muy relativo y hay que considerar la sociedad en la que pertenecemos y valorar las actuaciones que cometemos usando esta ciencia. Podemos clasificar al ingeniero social en:

• White hat: Son personas que se dedican al mundo de la seguridad informática en busca de vulnerabilidades en sistemas informáticos, realizando un tipo de auditoría según la demanda de su cliente. El uso de la ingeniería social en este ámbito es muy útil para valorar el nivel de seguridad de una empresa en cuestión, haciéndonos pasar por un ciberdelincuente he intentar "gaining access" en la organización empresarial. Un ejemplo del pentester es planear un ataque de ingeniería social contra una corporación, para conseguir acceso al cuarto de los servidores y "stealing data". Quizás sea más facil para el pentester siempre con consentimiento del cliente, usar la ingeniería social y llegar al cuarto donde se encuentran los servidores. Para ello haciendo uso de "pretexting" nos hacemos pasar por un técnico de una empresa externa y conseguimos acceso a la habitación de servidores y ver un post-it con lo siguiente: root/empresaxxx. Como ya dijimos, nuestra mentira es el aspecto más importante antes del acceso físico del pentester, la preparación psicológica ante una cámara de móvil y grabarnos actuando como un actor metiéndose de lleno en su papel, como si de un técnico informático se tratase. Además de lo anterior, la recolección de información es un proceso vital antes de la explotación física al sitio. El técnico informático tendrá que saber que empleados dependiendo del nivel de seguridad que tengan aportarán más información del lugar. Existen muchos métodos para conseguir el acceso, lo veremos más adelante en el volumen Hacking con Ingeniería Social 
• Ciberdelincuentes: Es aquí en esta clasificación, la más importante para poder conocer en profundidad como actúan estas personas. En la clasificación anterior un White Hat especializado en la ingeniería social (a partir de ahora IS), debe realizar una ardua tarea de investigación para conocer al enemigo, en este caso al ciberdelincuente. Las empresas cada vez más, invierten en más capital para "hardering" sus sistemas e infraestructura de red. Aún así la constante evolución de técnicas hacking, hacen importante el continuo estudio para combatir de alguna manera estos ataques. Contra más conocimientos tenga el ciberdelincuente de sistemas y redes, más fácil le será penetrar en ellos haciendo un uso considerado de la IS. O al revés, un ciberdelincuente experto en la IS, no tendrá que tener tantos conocimientos de sistemas o redes para poder conseguir su objetivo. Existen ciertas desventajas con la IS, y es debido al nivel de anonimato, queda muy expuesto. Lo veremos en detalle en la fase de anonimato, los métodos y el nivel de "paranoia" y presión psicológica que puede tener ese ciberdelincuente. Como ciberdelincuentes, se engloba black hats, "malicious insiders", estafadores y ladrones en la red.
• Espías: Las agencias de inteligencia, forman a sus espías con el objetivo de poder usar la IS para recabar información de sus fuentes. Esas fuentes de información pueden ser SIGINT, HUMINT y OSINT. Al recabar la información, esto se convierte en inteligencia mediante un análisis e interpretación.  El espia o el agente operativo, que hace uso de la IS para operaciones psicológicas o infiltrarse en una organización criminal haciéndose pasar por un miembro de ellos, usa las ramas de la IS que veremos más adelante como la manipulación, influencia o el "pretexting". 
• Vendedores: En una organización empresarial, sus vendedores deben tener dotes de IS para poder vender un producto al cliente de otra multinacional en concreto. Haciendo uso de la elicitación e influencia, sus clientes son víctimas de estas técnicas psicológicas y así el beneficio económico de la empresa. Un ejemplo puede ser el vendedor de una empresa como Lenovo y su cliente la Fnac. 
• Doctores y psicólogos: Los métodos usados en esta clasificación son los mismos pero con otro objetivo muy diferentes, el ayudar a los demás. Al final al cabo hacen uso de la IS como la elicitación y manipulación para hacer creer a su paciente una tendencia positiva hacía su enfermedad. Esto es un aspecto muy positivo ya que incentiva y ayuda al paciente por el camino que ellos determinan.

La defensa es siempre el mejor ataque, por ello es vital hacer uso del conocimiento de personas expertas en el campo de la ciberseguridad, y usar técnicas propias de pentesting de sistemas para realizar auditorías. Un buen pentester con dotes de IS, analizará la seguridad de la organización en busca de vulnerabilidades tanto perimetrales (física), en los sistemas informáticos (lógica), como en los empleados (parte psicológica). Por tanto, bajo mi punto de vista la formación sobre IS, en los pentester es vital, ya que un elevado porcentaje de los ataques provienen mediante el uso de la IS. Para llegar a ser un experto en la ingeniería social, es necesario estudiar e investigar mucho en este campo.

En este volumen de entradas, nos centraremos tanto ofensivamente y defensivamente orientado más al hacking. La primera fase (y la mayoría de todas ellas) psicológica es valida para todos los campos de la IS, pero las siguientes fases estarán orientadas el como actúa un ciberdelincuente y concienciarnos de los ataques y remediarlos. Por ello, todas las entradas futuras serán muy validas, con el objetivo de formar al white hat en su rama de IS, en sus fases de pentesting a empresas, enseñando de forma gratuita (el conocimiento es libre ante amenazas de esta índole) mediante entradas escritas y PoC hechas en vídeos para enseñar las técnicas hacking de anonimato, inteligencia (OSINT) y explotación como la famosa herramienta SET.

Por supuesto, el conocimiento ofrecido en las futuras entradas, servirá para mejorar vuestras destrezas en la comunicación con los demás y en analizar el lenguaje verbal y corporal con vuestros amigos y familias. Explotar los sentimientos de los demás diciendo lo que ella o él quiere escuchar para conseguir un objetivo en concreto o el cómo mejorar la autodefensa para que no te afecten ciertas actuaciones provocadas por una persona mal intencionada para conseguir manipularte o crear cierta influencia en ti, eso es básicamente la ingeniería social.

Un saludo, naivenom

Ingeniería Social (I) - Presentación

Ingeniería Social, es un conjunto de entradas que se irán desarrollando orientado a concienciar a las personas de lo peligroso que es el uso de estas técnicas tanto individualmente a una persona en su vida privada como colectivamente en una organización o infraestructura. Las entradas se irán desarrollando por las fases que desempeñan los expertos en la ingeniería social orientado siempre al hacking, ya que existen otras variantes como las ciencias políticas. Las entradas se publicarán en el blog Fwhibbit.

A lo largo de las entradas se vera el ciclo usado por cualquier ingeniero social para conseguir su objetivo. En la fase psicológica se explicará los métodos más comunes como pueden ser la manipulación, la elicitación, persuasión, "pretexting", impersonation, programación neurolinguística, influencia, lenguaje corporal, "emotional hijacking" etc..

En la fase de anonimato, se detallará las pautas usadas en cuanto a privacidad, anonimato y el uso de Tor (The Onion Router).

En la fase de inteligencia, el ingeniero social necesita recolectar toda la información posible acerca del objetivo por métodos pasivos como el OSINT ¿Qué fuentes son las más factibles? ¿Como organizar dicha información? ¿Qué técnicas psicológicas usar para la recolección? ¿Qué información es útil y cual no?

Otras técnicas que requieren más exposición física o lógica tales como dumpster diving, office snooping, baiting, bribing, shoulder surfing, tailgating etc... Quizás también realizar ataques relacionados con Hacking Web, puede ofrecernos información de una manera más activa y lógica, tales como SQLi y XSS.

En la fase de explotación orientada a la ingeniería social, se explicará las herramientas más usadas en el hacking y la metodología de ataque en un entorno remoto y local, tal como Social engineering Toolkit, Metasploit, Hacking WiFi, MITM attacks, NetHunter, Raspberry Pi, Rubber Ducky etc...

En muchas ocasiones es más sencillo, hackear o explotar vulnerabilidades en la persona que el acceso lógico en servidores o sistemas. Las personas en general por el exceso de confianza que tiene por naturaleza hacia los demás, es factible, y siempre con las habilidades sociales necesarias crear pánico, influencia, manipulación y con creatividad el atacante puede obtener la información del objetivo y conseguir el acceso remoto o físico a la infraestructura u organización empresarial. Un referente clásico es Kevin Mitnick.

El elemento humano es vulnerable y es necesario conocer estas habilidades para concienciarnos en el agujero de seguridad que ello supone y defendernos ante posibles ataques que genera nuestro entorno social.

Hay que aceptar que el elemento humano es vulnerable y existen muchas variables psicológicas y complejidades, que un sistema informático pueda presentar. Es decir, un sistema informático puede ser vulnerable pero actualmente gracias a los expertos en seguridad informática se corrigen esas vulnerabilidades, mientras que el elemento humano con las vulnerabilidades existentes, es complicado de corregirse dependiendo del nivel de concienciación de la sociedad o del personal de una organización.

Muchos ingenieros sociales, usan sus habilidades para obtener un beneficio económico o material. Todo el mundo usa la ingeniería social de un modo u otro, desde un niño a un ejecutivo para ganarse su ascenso. Gobiernos, multinacionales, pequeñas y medianas empresas todo en su conjunto esta implicado en la ingeniería social, es una ciencia. Los ciberdelincuentes también están incluidos en este conjunto.

Por ello una organización empresarial, ¿piensa realmente si es completamente segura ante este tipo de ataques? Mi respuesta es no. Existen muchas variables que son vulnerables tanto en los sistemas e infraestructura de red como en los empleados, y lo lamentable en estos casos es que no hay remedio hasta que sucede un acto malicioso por un "insider" sobornado, manipulado, elicitado por un experto ingeniero social. Los empleados, en definitiva el elemento humano, es el eslabón más débil en la organización.

Un atacante, valora que metodología de ataque es el más eficaz para un objetivo, quizás sea más fácil colocar una Raspberry Pi penetrando físicamente mediante "physical impersonation" en un par de horas, que dedicando 200 horas en desarrollar un exploit o malware en concreto para penetrar en los servidores de la empresa. Quizás como sale en la serie de Mr.Robot es más sencillo usar el exploit perfecto, la vulnerabilidad en el elemento humano.

La pregunta que os puede surgir es, si no existe ningún sistema o metodología de seguridad 100% seguro, entonces ¿Cabe la posibilidad de geolocalizar nuestra organización en algún lugar desconocido sin infraestructura de red, y con personal de seguridad altamente cualificada? No es útil, y menos se puede llevar a cabo. Según las iniciativas empresariales e ideas de negocio, uno de los pilares básicos es geolocalizar nuestra empresa en un entorno altamente urbanizado como la capital de un país con gran demanda y alto índice de consumismo. Una solución factible es la educación de la sociedad en materia de seguridad, en el uso controlado de las redes sociales, cursos ofertados de concienciación para empleados de empresas u organizaciones gubernamentales etc..

Un ejemplo de ataque de ingeniería social podría ser el siguiente:
14.00 P.M, Barcelona.

Juan se encuentra con María en un restaurante de La Rambla. Las apariencias que debe llevar Juan, siempre se considera importante dependiendo del objetivo a perseguir y el nivel adquisitivo, por tanto existen demasiadas variables que dependiendo de la víctima se necesite de una vestimenta u otra.

Ambos se encuentran en una romántica velada a la espera del objetivo marcado. Según la recolección de información, se espera una mujer a las 14.30 P.M, empleada en un banco muy popular.

Es muy típico el robo de bolsos en una mujer y requiere de habilidades sociales y disuasión para poder hacerse con el bolso. Si Juan y María, le dicen a la empleada del banco que le hagan una foto, una tercera persona del equipo (Raúl) podría en ese instante de tiempo en el cual la víctima manipula su smartphone “distraída” robar el bolso con ciertas habilidades y siempre controlando los sentimientos y la adrenalina que ello supone para ser lo más discreto posible.

Una vez alcanzado el objetivo, Juan y María se marchan a dar una vuelta por las calles de Barcelona, pero escuchan voces de histeria. María va hacía la víctima y le pregunta que le sucede. Le explica que le robaron el bolso y tenía todo, la tarjeta de crédito, dinero en efectivo, el DNI, una tarjeta NFC de control de acceso a su trabajo. Mientras María la consuela, le dice que debe llamar al banco para anular la tarjeta pero ese no era el objetivo principal.
Mediante ingeniería social consiguieron una tarjeta NFC muy fácil de clonar para conseguir el "physical impersonation" en las oficinas del banco.
Juan y Raúl en el mismo día consiguieron acceso físico en las oficinas del banco y usar Rubber Ducky
Como podéis imaginar, consiguieron el objetivo señalado, información confidencial e infectar los sistemas informáticos del banco.

Un saludo, Naivenom