Εβδομάδα 6 — Κοινωνική μηχανική

Παιδαγωγικοί στόχοι

• Να κατανοήσετε τους ψυχολογικούς μοχλούς που εκμεταλλεύεται ένας επιτιθέμενος.
• Να κατασκευάσετε μια ρεαλιστική εκστρατεία phishing, σε εξουσιοδοτημένο πλαίσιο.
• Να χρησιμοποιήσετε το SET (Social Engineer Toolkit) και το BeEF (Browser Exploitation Framework) χωρίς να ξεπεράσετε το κόκκινο όριο.

Οι έξι μοχλοί επιρροής

Η κοινωνική μηχανική στηρίζεται σε γνωστικούς μηχανισμούς προσδιορισμένους από τον Cialdini:

• Εξουσία («Το ζητά η διεύθυνση»).
• Επείγον («Εντός 30 λεπτών»).
• Αμοιβαιότητα («Σας προσφέραμε Χ, μπορείτε...»).
• Κοινωνική απόδειξη («Οι συνάδελφοί σας έχουν ήδη επικυρώσει»).
• Σπανιότητα («Τελευταία ευκαιρία»).
• Συμπάθεια / συνέπεια.

Ένα αποτελεσματικό σενάριο συνδυάζει δύο ή τρία, ποτέ ένα μόνο.

Το ηθικό πλαίσιο — Μη διαπραγματεύσιμο

• Καμία εκστρατεία χωρίς γραπτή εντολή υπογεγραμμένη από τη διεύθυνση.
• Κανένα μήνυμα που στοχεύει την υγεία, το πένθος ή την οικογενειακή κατάσταση ενός προσώπου.
• Υποχρεωτική ενημέρωση των προσώπων που έπεσαν στην παγίδα, χωρίς ατομικό στιγματισμό.
• Δεδομένα που συλλέχθηκαν διαγράφονται στο τέλος της εντολής, κατόπιν αιτήματος.

SET και BeEF

• Το SET αυτοματοποιεί κλασικά σενάρια: κλωνοποίηση πύλης, παγιδευμένο PDF, φορέα credential harvester. Χρήσιμο για ένα lab, να χειρίζεται με προσοχή σε πραγματικό προσωπικό.
• Το BeEF εισάγει ένα hook JavaScript στην πλευρά του browser για να διερευνήσει τι μπορεί να κάνει ένας επιτιθέμενος μετά από ένα κλικ. Χρησιμεύει για να επιδείξει τον αντίκτυπο, όχι για κατασκοπεία.

# Εκκίνηση του BeEF τοπικά (μόνο εργαστήριο).
sudo beef-xss

TP1 — Προς παράδοση αυτή την εβδομάδα

Αναμενόμενο παραδοτέο, με βάση την αναγνώριση που ξεκίνησε στην εβδομάδα 4:

• Χαρτογράφηση του δικτύου εργαστηρίου (hosts, υπηρεσίες, εκδόσεις).
• Τρεις ιεραρχημένες ευπάθειες με αιτιολόγηση (CVSS + EPSS + KEV).
• Ένα σχέδιο επίθεσης για την καθεμία, χωρίς ακόμη εκμετάλλευση.

Μορφή: Markdown ή PDF, περίπου 6 έως 10 σελίδες. Προς κατάθεση μέσω της εικονικής αίθουσας τάξης.