Beveiliging onderzoekers Aamir Lakhani en Joseph Muniz hebben aangetoond hoe gemakkelijk het is om een hack-aanval voor te bereiden op een bepaald bedrijf. De onderzoekers hebben de belangrijkste problemen geïllustreerd als het gaat om grotere bedrijven en hun veiligheid. Ze melden dat het anders is dan de typische focus op beveiliging die ligt in een sterk wachtwoordbeleid en goede beveiligingssoftware en hardware.
Met alleen een of twee foto's, een slimme social engineering, en malware, de hackers waren in staat om een U.S. beveiliging van de overheidsinstantie.
De hackers hebben met succes een nep Facebook en LinkedIn-profielen om malware te verzenden die verborgen is in verschillende kerstkaarten. Deze malware werd geüpload naar een kwaadaardige website die de infectie veroorzaakte toen de kerstkaart werd geopend.
Social engineering gebruiken, grappig genoeg, de hackers wisten een medewerker ervan te overtuigen om zelfs een werkende laptop samen met de wachtwoorden en gebruikersnamen naar de nepmedewerker te sturen.
Maar dit was slechts een aspect van de hack. De hackers wisten weg te komen met wachtwoorden, gestolen documenten, en andere belangrijke informatie. Niet alleen dit, maar de hackers hebben er ook vol aan gewonnen “lezen en schrijven” machtigingen op sommige apparaten, waardoor ze Installeer andere malware ook op de computers, als ransomware, bijvoorbeeld.
Hoe Muniz en Lakhani het eraf trokken
Het eerste trap van de hackersoperatie was de voorbereidingsfase. In het, ze hebben foto's aangewezen van een vrouwelijke werknemer genaamd Emily, van een andere organisatie, die niet bepaald technisch onderlegd is en in een restaurant heeft gewerkt niet ver van de faciliteit van het bureau. Toen konden de hackers een valse identiteit creëren door:
- Frauduleus burgerservicenummer.
- Woonplaats.
- Fake University-diploma dat haar een IT-specialist van Texas UC maakt.
- Valse informatie over werken in eerdere banen in het veld.
- Valse telefoon en andere gegevens die Emily in een nepidentiteit kunnen veranderen.
Het tweede podium van de hackers was om de valse identiteit op te bouwen. Ze zijn begonnen met het toevoegen van vrienden met de valse identiteit die niets te maken hebben met de vrouw op de foto om het risico te minimaliseren dat iemand het profiel als nep herkent en het rapporteert.
Verrassend genoeg, enkele uren later slaagden de hackers erin om honderden vrienden in het profiel te verzamelen door ze simpelweg toe te voegen. De hackers slaagden er zelfs in om een van de mensen die het nepprofiel hadden toegevoegd, ervan te overtuigen de persoon ervan te kennen door informatie uit het profiel van het slachtoffer te gebruiken.
Vervolgens hebben de cybercriminelen de status van de persoon als nieuwe werknemer bij de overheidsinstantie bijgewerkt. Dan, ze begonnen mensen toe te voegen die in het bureau werken en ze voegden werknemers toe van verschillende afdelingen, zoals HR, technische afdelingen en anderen.
Zodra de hackers wat publiek hebben opgebouwd, ze hebben de perfecte gelegenheid gecreëerd om hun aanval uit te voeren. Vanaf daar, ze gebruikten malware en richtten zich op de werknemers via social engineering om een succesvolle infectie te veroorzaken.
Wat hieruit kan worden geleerd
Het grootste risico in organisaties is de menselijke factor, dus het is erg belangrijk om altijd te weten welke informatie u openbaar aan anderen hebt vrijgegeven, aangezien deze informatie uw zwakte kan worden, net zoals de hackers deden met Emily's nepprofiel. Het is ook erg belangrijk om het bewustzijn te vergroten en iedereen in een bepaalde organisatie voor te lichten om extra voorzichtig te zijn en altijd het risico te beoordelen in situaties waarin ze zich niet zelfverzekerd voelen.
Ventsislav Krastev
Ventsislav is sindsdien een cybersecurity-expert bij SensorsTechForum 2015. Hij heeft onderzoek gedaan, aan het bedekken, slachtoffers helpen met de nieuwste malware-infecties plus het testen en beoordelen van software en de nieuwste technische ontwikkelingen. Na afgestudeerd Marketing, alsmede, Ventsislav heeft ook een passie voor het leren van nieuwe verschuivingen en innovaties in cybersecurity die gamechangers worden. Na het bestuderen van Value Chain Management, Netwerkbeheer en computerbeheer van systeemtoepassingen, hij vond zijn ware roeping binnen de cyberbeveiligingsindustrie en gelooft sterk in het opleiden van elke gebruiker in de richting van online veiligheid en beveiliging.
Volg mij:
Dank, precies wat nodig is, ik geloof ook dat dit een geweldige website is.
Dit is eigenlijk het soort informatie dat ik heb geprobeerd te vinden.
Fijne dag.