Conduzindo Campanha de Simulação de Spearphishing

Aviso Legal: Esta habilidade é apenas para fins de testes de segurança autorizados e educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.

Visão Geral

A simulação de spearphishing é um vetor de ataque de engenharia social direcionado usado por equipes vermelhas para obter acesso inicial. Ao contrário de campanhas de phishing amplas, o spearphishing usa inteligência derivada de OSINT para criar mensagens altamente personalizadas visando indivíduos específicos. Esta habilidade abrange o desenvolvimento de pretextos, a construção de payloads, a configuração da infraestrutura de e-mail, a execução da campanha e o rastreamento de resultados.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a condução de campanha de simulação de spearphishing
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança agendados ou atividades de auditoria
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Desenvolver pretextos convincentes adaptados ao pessoal alvo específico
• Criar payloads "armados" que contornem os controles de segurança de e-mail
• Configurar a infraestrutura de entrega de e-mail com configuração adequada de SPF/DKIM/DMARC
• Executar campanhas de phishing com rastreamento e métricas em tempo real
• Documentar resultados para relatórios de engajamento e melhoria da conscientização de segurança

Mapeamento MITRE ATT&CK

• T1566.001 - Phishing: Spearphishing Attachment
• T1566.002 - Phishing: Spearphishing Link
• T1566.003 - Phishing: Spearphishing via Service
• T1598.003 - Phishing for Information: Spearphishing Link
• T1204.001 - User Execution: Malicious Link
• T1204.002 - User Execution: Malicious File
• T1608.001 - Stage Capabilities: Upload Malware
• T1608.005 - Stage Capabilities: Link Target
• T1583.001 - Acquire Infrastructure: Domains
• T1585.002 - Establish Accounts: Email Accounts

Fluxo de Trabalho

Fase 1: Desenvolvimento de Pretexto

1. Revisar descobertas de OSINT para perfis de pessoal alvo
2. Identificar eventos organizacionais atuais (fusões, projetos, novas contratações)
3. Selecionar tema de pretexto (helpdesk de TI, benefícios de RH, comunicação de fornecedor, solicitação executiva)
4. Criar modelos de e-mail com pistas apropriadas de urgência e autoridade
5. Criar páginas de destino que espelhem a marca da organização alvo

Fase 2: Desenvolvimento de Payload

1. Selecionar tipo de payload com base nos controles de segurança do alvo:
   • HTML smuggling para contornar gateway de e-mail
   • Documentos habilitados para macro (se macros não estiverem bloqueados)
   • Arquivos ISO/IMG contendo payloads LNK
   • Arquivos OneNote com scripts incorporados
   • Códigos QR vinculando a páginas de coleta de credenciais
2. Testar payload contra o stack de segurança conhecido do alvo
3. Implementar técnicas de ofuscação de payload
4. Configurar callback para infraestrutura C2

Fase 3: Configuração da Infraestrutura

1. Registrar domínio convincente que se pareça com o original
2. Envelhecer o domínio e construir reputação (mínimo de 2 semanas recomendado)
3. Configurar registros SPF, DKIM e DMARC
4. Configurar relay SMTP com GoPhish ou servidor de e-mail personalizado
5. Implantar páginas de coleta de credenciais com certificados SSL
6. Configurar pixels de rastreamento e rastreamento de cliques

Fase 4: Execução da Campanha

1. Enviar e-mails de teste para verificar entrega e renderização
2. Lançar campanha em ondas (evitar envio em massa)
3. Monitorar taxas de entrega de e-mail e aberturas em tempo real
4. Rastrear cliques em links e envios de credenciais
5. Implantar payloads para usuários que interagem com e-mails de phishing
6. Capturar capturas de tela e evidências para relatórios

Fase 5: Análise Pós-Campanha

1. Calcular métricas da campanha (taxa de entrega, taxa de abertura, taxa de cliques, taxa de captura de credenciais)
2. Identificar usuários que relataram phishing ao SOC
3. Documentar a evasão dos controles de segurança de e-mail
4. Mapear comprometimentos bem-sucedidos para o MITRE ATT&CK
5. Compilar descobertas para o relatório de engajamento

Ferramentas e Recursos

…