Collecte d’informations et social engineering via les réseaux sociaux

Par Rédaction, secuobs.com
Le 04/11/2008

Résumé : Les réseaux sociaux détiennent une quantité importante d'information qu'il est possible d'exploiter. Roelof Temmingh, l'auteur de Maltego, lors de la conférence Hack.lu 2008, explique comment tirer parti de cette connaissance en utilisant son outil.

Cette présentation de Roelof Temmingh a été effectuée lors de la conférence Hack.lu ( lien http externe url:[click] ) qui s’est tenue pendant trois jours au Luxembourg du 22 au 24 octobre 2008. Le sujet avait déjà été évoqué une semaine auparavant lors de la conférence BlueHat ( lien http externe url:[click] ), organisée par Microsoft.

Il était ici mis en avant l’abondance des informations qui circulent librement sur internet via leur utilisation et leur stockage sur des réseaux sociaux par le plus grand nombre, avec des sites comme Facebook ( lien http externe url:[click] ) pour les particuliers ou LinkedIn ( lien http externe url:[click] ) pour les professionnels par exemple.

Ces sites centralisent à eux seuls une base de données d’information personnelles et professionnelles très importante autant par la taille que par la nature sensibles des informations qu'elle contient. Les conséquences seraient surement fort préjudiciables pour beaucoup si elles devaient tomber entre de mauvaises mains.

L’auteur de cette présentation explique comment tirer profit des informations disponibles sur ces sites à l’aide d’un outil qu’il a développé et qui porte le nom de Maltego ; nous vous en avions déjà parlé il y a peu de temps avec la première version ( lien http externe url:[click] ), la seconde est maintenant disponible sur le site officiel du projet ( lien http externe url:[click] ).

Un exemple concret d’utilisation consisterait, à partir d’un nom de domaine comme microsoft.com, à récupérer l’ensemble des plages d’adresses IP utilisées par les alias de ce nom de domaine. La collecte de ces alias servirait ensuite à récupérer le plus d’informations possibles (noms, adresses, numéros de téléphone, adresses e-mails) sur les propriétaires des domaines via des requêtes de type WhoIs ( lien http externe url:[click] ).

Il serait alors possible de voir si ces propriétaires sont inscrits sur des réseaux sociaux et établir une opération de type « social clouding » de leurs connaissances tout en récupérant au passage des photos afin par exemple de réaliser une étude morphopsychologique ( lien http externe url:[click] ).

Il est également possible de récupérer d’autres informations sensibles comme des clefs PGP/GPG ( lien http externe url:[click] ), les professions des personnes concernées et bien d’autres informations encore. Idéalement, cet outil permet d’obtenir de multiples informations de différentes natures afin de préparer au mieux une attaque ciblée de social engineering ( voir notre article - lien http interne url:[click] ).

Le site de Maltego: ( lien http externe url:[click] )