Realizando Simulação de Phishing com GoPhish

Visão Geral

GoPhish é um framework de simulação de phishing de código aberto usado por equipes de segurança para conduzir campanhas autorizadas de conscientização sobre phishing. Ele oferece gerenciamento de campanhas, criação de modelos de e-mail, clonagem de páginas de destino e relatórios abrangentes. Esta habilidade abrange a implantação do GoPhish, a criação de cenários de phishing realistas e a análise dos resultados da campanha para medir e melhorar a resiliência organizacional.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de simulação de phishing com gophish
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança agendados ou atividades de auditoria
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Binário do GoPhish ou imagem Docker (https://github.com/gophish/gophish)
• Servidor SMTP ou relay para envio de e-mails de teste
• Autorização por escrito da gerência para simulação de phishing
• Lista de e-mails alvo (aprovada pelo RH)
• Certificado SSL/TLS para páginas de destino
• Python 3.8+ para scripts de automação

Conceitos Chave

Arquitetura do GoPhish

• Painel de Administração: Interface Web para gerenciamento de campanhas (porta padrão 3333)
• Servidor de Phishing: Serve páginas de destino e rastreia cliques (porta padrão 80/443)
• Configuração SMTP: Perfil de envio de e-mail de saída
• Motor de Campanha: Orquestra a entrega de e-mail, rastreamento e relatórios

Componentes da Campanha

1. Perfil de Envio: Configuração do servidor SMTP para e-mail de saída
2. Modelo de E-mail: O conteúdo do e-mail de phishing com rastreamento
3. Página de Destino: A página falsa para onde os usuários são direcionados
4. Grupo de Usuários: Destinatários alvo para a campanha
5. Campanha: Combina todos os componentes com agendamento

Fluxo de Trabalho

Etapa 1: Implantar o GoPhish

# Docker deployment
docker pull gophish/gophish
docker run -d --name gophish -p 3333:3333 -p 8080:80 gophish/gophish

# Or binary deployment
wget https://github.com/gophish/gophish/releases/latest/download/gophish-v0.12.1-linux-64bit.zip
unzip gophish-v0.12.1-linux-64bit.zip
chmod +x gophish
./gophish

Etapa 2: Configurar o Perfil de Envio

• Nome: "Servidor de E-mail Interno"
• E-mail de Origem SMTP: awareness-test@yourdomain.com
• Host: smtp.yourdomain.com:587
• Nome de Usuário/Senha: Credenciais da conta de serviço
• Habilitar TLS

Etapa 3: Criar Modelo de E-mail

• Use cenários realistas: redefinição de senha, notificação de TI, atualização de RH
• Inclua o pixel de rastreamento do GoPhish: {{.Tracker}}
• Inclua o link de phishing: {{.URL}}
• Personalize com {{.FirstName}}, {{.LastName}}, {{.Position}}

Etapa 4: Criar Página de Destino

• Clone a página de login legítima usando o recurso de importação do GoPhish
• Habilite a captura de credenciais (apenas para testes autorizados)
• Configure o redirecionamento para a página de treinamento após o envio
• Adicione certificado SSL para HTTPS

Etapa 5: Importar Usuários e Lançar Campanha

• Importe CSV com: Nome, Sobrenome, E-mail, Cargo
• Defina o agendamento da campanha (envios escalonados para evitar detecção)
• Lance e monitore em tempo real

Etapa 6: Analisar Resultados com process.py

Use o script de automação para extrair dados da campanha via API do GoPhish e gerar relatórios analíticos detalhados.

Ferramentas e Recursos

• GoPhish: https://getgophish.com/
• Documentação da API do GoPhish: https://docs.getgophish.com/api-documentation/
• GitHub do GoPhish: https://github.com/gophish/gophish
• Evilginx2 (para testes avançados de AiTM): https://github.com/kgretzky/evilginx2
• King Phisher: https://github.com/rsmusllp/king-phisher

Validação

• Implante com sucesso o GoPhish e acesse o painel de administração
• Crie e envie um e-mail de phishing de teste para uma caixa de correio de teste
• Capture credenciais simuladas na página de destino
• Gere relatório de campanha com taxas de abertura/clique/envio
• Redirecione usuários para treinamento de conscientização após interação