Trustwave’deki güvenlik araştırmacıları, hedefleri çok sayıda sosyal medya ağında geniş bir ölçekte bulmak için yüz tanıma teknolojisini kullanan yeni bir açık kaynak aracı yayınladı.
Dublajlı Sosyal Eşleme Aracı, yüz tanıma aracı, isimleri ve resimlerine dayanarak, Facebook, Instagram, Twitter, LinkedIn, Google+, Rus sosyal ağ sitesi VKontakte ve Çin’in Weibo ve Douban’ı dahil olmak üzere sekiz sosyal medya platformunda hedefleri otomatik olarak arar.
Aracın yaratıcıları, sosyal haritacıların sosyal mühendislik saldırılarına karşı kalem test edicilerine ve kırmızı takım arkadaşlarına yardımcı olması için Sosyal Haritaper istihbarat toplama aracı geliştirdiklerini iddia ediyor.
Adlar ve resimlerin aranması manuel olarak gerçekleştirilebilmesine rağmen, Social Mapper bu tür taramaları çok daha hızlı ve “yüzlerce veya binlerce kişi ile toplu bir ölçekte” otomatik hale getirmeyi mümkün kılar.
Trustwave , aracın ayrıntılarını içeren bir blog yayınında , “Çevrimiçi istihbarat toplamanın gerçekleştirilmesi zaman alıcı bir süreçtir, genellikle bir kişinin çeşitli sosyal medya sitelerinde çevrimiçi varlığını bulmaya çalışarak başlar .”
Sosyal Mapper Açık Kaynak İstihbarat Aracı Nasıl Çalışır?
Ancak, “Ya yüzlerce veya binlerce kişi ile toplu bir ölçekte otomatikleştirilip, yapılabilirse?”
Sosyal Eşleyici, üç aşamadan geçerek çalışır:
Aşama 1 – Araç, verdiğiniz girişe dayalı olarak bir hedef listesi (bir ad ve resimden oluşur) oluşturur. Liste bir CSV dosyasındaki linkler, bir klasördeki resimler veya LinkedIn’de bir şirkete kayıtlı kişiler aracılığıyla sağlanabilir.
Aşama 2 – Hedefler işlendikten sonra, Social Mapper’ın ikinci aşaması, çevrimiçi olarak hedefler için sosyal medya sitelerini otomatik olarak aramaya başlar.
Araştırmacılar, aracın gece boyunca iyi bir internet bağlantısıyla çalıştırılmasını önermektedir çünkü arama 1000 kişi için 15 saatten fazla zaman alabilmektedir ve önemli miktarda bant genişliği kullanmaktadır.
Sahne 3-Aramadan sonra, Sosyal Eşlemleyicinin üçüncü aşaması, hedef listenin profil sayfalarına bağlantılar içeren bir e-tablo gibi raporlar oluşturmaya veya sonuçları hızlı bir şekilde kontrol etmek ve doğrulamak için fotoğrafları da içeren daha görsel bir HTML raporuna başlar.
Neler Yapılabilir?
Bu sonuç, son derece sofistike phishing kampanyaları veya istihbarat toplamalarını kolaylaştırmak için mükemmel olsa da, Trustwave, güvenlik uzmanlarına ve etik korsanlara, müşterilerinin güvenliğini test etmek için kötü adamlarla aynı araçları sunarak yardımcı olacağını söylüyor.
Ancak, araç artık açık kaynakta mevcut olduğu için, kötü aktörler veya istihbarat ajansları da dahil olmak üzere herhangi bir kişi, yüz tanıma teknolojisini, önceden toplanmış bilgi birikimine karşı aramak için kendi gözetim araçlarını oluşturmak için yeniden kullanabilir.
Şirket, daha sonra “sadece hayal gücünüzle sınırlı” olan Sosyal Haritacı’nın nefret dolu ses kullanımını ana hatlarını çizmeye devam etti.
“Friend” hedeflerine sahte sosyal medya profilleri oluşturun ve daha sonra indirilebilir kötü amaçlı yazılımlara veya kimlik bilgisi çeken açılış web sayfalarına bağlantılar gönderin.
Trick, e-postalarını ve telefon numaralarını makbuzlarla açıklamayı hedefler ve “kimlik avı, hile veya parıldama” ifadesine dönüşür.
Her sosyal medya platformu için özel kimlik avı kampanyaları oluşturun, hedefin bir hesabı olduğundan emin olun ve profil resmini e-postaya ekleyerek bunları daha gerçekçi hale getirin. Daha sonra şifre yeniden kullanım için şifreleri yakalayın.
Çalışanların erişim kartı rozetlerini arayan hedef fotoğrafları görüntüleyin ve bina iç mekanlarına kendinizi tanıtın.
Bu kulağa korkunç geliyor ama Trustwave araştırmacıları, etik haritalama için Social Mapper’ın kullanılmasını vurguladı.
Trustwave, Social Mapper’ı GitHub’da kullanıma sunmuş ve herkese ücretsiz olarak sunmuştur.