Hacking y phishing con Social-Engineer Toolkit

 

www.onlinetis.com

El "Social-Engineer Toolkit" (SET) es un conjunto de herramientas de código abierto, creado y escrito por Dave Kennedy. Está diseñado para realizar pruebas de penetración y auditorías de seguridad enfocadas en el área de la ingeniería social.

¿Qué es la ingeniería social?

La ingeniería social es la práctica de obtener información confidencial, acceso a sistemas o privilegios elevados, manipulando a los usuarios legítimos de un sistema. El objetivo principal es explotar la parte más vulnerable de la seguridad: el factor humano.

Usos y funcionalidades de SET:

• Pruebas de penetración: Los profesionales de la seguridad utilizan SET para simular ataques de ingeniería social y evaluar la vulnerabilidad de una organización. Esto les permite identificar debilidades en los empleados, procesos y políticas, y tomar las medidas correctas para fortalecer su seguridad.

• Ataques de phishing: Permite clonar páginas web para engañar a los usuarios y robar sus credenciales.

• Envío de correos electrónicos y SMS falsos: Facilita el envío de mensajes que parecen provenir de fuentes legítimas, con el fin de persuadir a la víctima a que revele información o haga clic en enlaces maliciosos.

• Creación de "payloads" (cargas útiles): Permite generar archivos maliciosos disfrazados de archivos inofensivos para infectar equipos.

• Integración con Metasploit: SET se complementa con otras herramientas de seguridad como Metasploit, lo que permite realizar ataques de ingeniería social más avanzados.

Es importante destacar que, aunque SET es una herramienta poderosa para profesionales de la seguridad, su uso indebido es ilegal y puede tener consecuencias penales.

 

Aviso importante

Antes de proceder, es fundamental entender que el uso del Social-Engineer Toolkit (SET) y cualquier herramienta similar para realizar ataques sin consentimiento explícito y por escrito del propietario del sistema es ilegal y tiene graves consecuencias legales. La información proporcionada a continuación tiene fines educativos y de concienciación sobre la ciberseguridad, para que los profesionales puedan entender y mitigar los riesgos. El uso de esta herramienta debe ser exclusivamente ético y responsable.

Instalación de Social-Engineer Toolkit

El SET está preinstalado en distribuciones de seguridad como Kali Linux, lo que facilita su acceso. Si no estás usando Kali Linux, los pasos de instalación son los siguientes:

En sistemas Linux:

1. Actualizar el sistema: Asegúrate de que tu sistema está actualizado y tienes los paquetes necesarios como git y python3.

   Bash

   sudo apt-get update
   sudo apt-get install git python3-pip
   

2. Clonar el repositorio: Descarga el código fuente de SET desde su repositorio oficial en GitHub.

   Bash

   git clone https://github.com/trustedsec/social-engineer-toolkit/ set/
   

3. Acceder al directorio: Navega al directorio donde se clonó la herramienta.

   Bash

   cd set
   

4. Instalar dependencias: Instala todas las librerías de Python requeridas.

   Bash

   pip install -r requirements.txt
   

5. Ejecutar el instalador: Ejecuta el script de instalación para completar el proceso.

   Bash

   sudo python3 setup.py
   

Utilización del Social-Engineer Toolkit

Una vez instalado, puedes iniciar SET desde la terminal.

Iniciar SET:

En la mayoría de los casos, puedes iniciar la herramienta simplemente escribiendo:

Bash

sudo setoolkit

O, si no está en tu PATH:

Bash

sudo python3 /ruta/al/directorio/set/setoolkit

Menú de opciones:

Al iniciar SET, serás recibido por un menú interactivo. Las opciones principales suelen ser:

1. Social-Engineering Attacks (Ataques de Ingeniería Social): Esta es la opción más utilizada y ofrece una variedad de vectores de ataque.

2. Penetration Testing (Fast-Track): Ofrece funcionalidades para pruebas de penetración más rápidas.

3. Third Party Modules (Módulos de Terceros): Permite integrar otras herramientas.

4. Update the Social-Engineer Toolkit (Actualizar SET): Mantén la herramienta al día.

5. Update SET configuration (Actualizar configuración): Modifica la configuración.

6. Help, Credits, and About (Ayuda, Créditos y Acerca de): Información sobre la herramienta.

7. Exit (Salir): Para cerrar la herramienta.

Ejemplo de un ataque de phishing con SET (Clonación de un sitio web):

Este es uno de los usos más comunes de SET y sirve como un buen ejemplo de su funcionamiento.

1. Selecciona la opción de ataques de ingeniería social:

   • En el menú principal, elige 1) Social-Engineering Attacks.

2. Selecciona el tipo de ataque:

   • A continuación, elige 1) Spear-Phishing Attack Vectors.

3. Selecciona la técnica de phishing:

   • Escoge 2) Website Attack Vectors.

4. Selecciona la técnica de clonación:

   • Selecciona 3) Credential Harvester Attack Method. Esta opción crea una página web falsa que captura credenciales de usuario.

5. Escoge el método de clonación:

   • Ahora, elige 2) Site Cloner. Esto te permite clonar cualquier sitio web.

6. Introduce la URL a clonar:

   • El programa te pedirá que ingreses la URL del sitio que deseas clonar (ej. https://www.google.com).

7. Configura el listener:

   • SET te preguntará si quieres crear un listener (un proceso que espera la conexión de la víctima). Elige yes.

8. Ejecución del ataque:

   • SET clonará el sitio web, creará un servidor web en tu máquina y te proporcionará una URL para enviar a la víctima.

   • Cuando la víctima acceda a la URL y envíe sus credenciales, estas serán capturadas y guardadas en un archivo de registro.

Ética y responsabilidad

Es vital recordar que SET es una herramienta de prueba de penetración. Su propósito es ayudar a las organizaciones a identificar vulnerabilidades y mejorar sus defensas. El uso de esta herramienta sin permiso es un delito grave y puede resultar en penas de prisión y multas sustanciales. Utilízala de manera ética, en un entorno de laboratorio controlado y con la debida autorización.