Collecte d’informations et social engineering via les réseaux sociaux

Par Rédaction, secuobs.com
Le 04/11/2008

---

Résumé : Les réseaux sociaux détiennent une quantité importante d'information qu'il est possible d'exploiter. Roelof Temmingh, l'auteur de Maltego, lors de la conférence Hack.lu 2008, explique comment tirer parti de cette connaissance en utilisant son outil. - Lire l'article



Cette présentation de Roelof Temmingh a été effectuée lors de la conférence Hack.lu ( lien ) qui s’est tenue pendant trois jours au Luxembourg du 22 au 24 octobre 2008. Le sujet avait déjà été évoqué une semaine auparavant lors de la conférence BlueHat ( lien ), organisée par Microsoft.

Il était ici mis en avant l’abondance des informations qui circulent librement sur internet via leur utilisation et leur stockage sur des réseaux sociaux par le plus grand nombre, avec des sites comme Facebook ( lien ) pour les particuliers ou LinkedIn ( lien ) pour les professionnels par exemple.

Ces sites centralisent à eux seuls une base de données d’information personnelles et professionnelles très importante autant par la taille que par la nature sensibles des informations qu'elle contient. Les conséquences seraient surement fort préjudiciables pour beaucoup si elles devaient tomber entre de mauvaises mains.

L’auteur de cette présentation explique comment tirer profit des informations disponibles sur ces sites à l’aide d’un outil qu’il a développé et qui porte le nom de Maltego ; nous vous en avions déjà parlé il y a peu de temps avec la première version ( lien ), la seconde est maintenant disponible sur le site officiel du projet ( lien ).

Un exemple concret d’utilisation consisterait, à partir d’un nom de domaine comme microsoft.com, à récupérer l’ensemble des plages d’adresses IP utilisées par les alias de ce nom de domaine. La collecte de ces alias servirait ensuite à récupérer le plus d’informations possibles (noms, adresses, numéros de téléphone, adresses e-mails) sur les propriétaires des domaines via des requêtes de type WhoIs ( lien ).

Il serait alors possible de voir si ces propriétaires sont inscrits sur des réseaux sociaux et établir une opération de type « social clouding » de leurs connaissances tout en récupérant au passage des photos afin par exemple de réaliser une étude morphopsychologique ( lien ).

Il est également possible de récupérer d’autres informations sensibles comme des clefs PGP/GPG ( lien ), les professions des personnes concernées et bien d’autres informations encore. Idéalement, cet outil permet d’obtenir de multiples informations de différentes natures afin de préparer au mieux une attaque ciblée de social engineering ( lien ).

Le site de Maltego: ( lien )