Фишинговый сайт создать: Фишинг вконтакте

Содержание

Как быстро создать фишинг сайт – Telegraph

darkmagazin.info

Weeman это именно тот инструмент для быстрого создания фишинг сайта. Лично для меня он имеет очень важную функцию, а именно мультиплатформенность и да на termux он работает.

Приступим

Сначала давайте рассмотрим зависимости

1. python 2.7

2. pip2

3. python-dev

И приступаем к установке

Сначала надо клонировать его к себе на ПК:

git clone https://github.com/evait-security/weeman.git

Перейдем в директорию weeman

cd weeman

И запускаем weeman.py

sudo python2 weeman.py

После запуска видим такую картину:

Итак начнем создание фишинг сайта:

Сначала выберем наш сайт

set url https://www.facebook.com

Выберем порт

set port 8080

И напишем куда после этого будет направлять пользователя

set action_url https://www.facebook.com

И запуск

run

Потом если кто-то зайдет и введет свои данные мы увидим примерно такую картину

email => @darkmagazin

pass => @darkmagazin

Для того, чтобы подложить жертве этот сайт мы можем воспользоваться приложением вроде Ettercap или LanGhost для совершения атаки посредника. Благодаря этому, мы получим возможность перехватывать и анализировать его трафик и даже отправлять собственный трафик в его компьютер. Другими словами, из-за того, что он подключился к нашей точке доступа, мы получили полный контроль над всеми входящим и исходящим данными. Если он действительно загружает детское порно, мы это увидим.

Кроме этого, мы сможем перехватывать электронные письма и пароли к другим приложениям и сетям. При желании, мы даже можем внедрить в его систему meterpreter или другое приложение для прослушки, если хотим получить больше информации.

Ettercap

Ettercap – open source утилита для анализа безопасности компьютерных сетей. Основное предназначение которой – MITM атаки (Man In The Middle attacks – атаки типа “человек по середине”). Имеет возможность sniffing of live connections, фильтрация контента на лету, а так же много других интересных возможностей. Поддерживает как активные, так и пассивные вскрытия протоколов и включает большое количество функций для анализа сети и узла.

Более подробную информацию, можно найти на официальном сайте Ettercap.

Установка/Настройка Ettercap

Скачать и установить Ettercap можно из исходников – здесь. В качестве альтернативы можно воспользоваться следующей командой:

apt-get install ettercap-gtk ettercap-common

Прежде чем приступать к выполнению, выполним небольшую настройку. Открываем файл /etc/etter.conf:

nano /etc/etter.conf

Находим в нем вот эти строки и раскомментируем их:

# if you use iptables:
 redir_command_on = "iptables -t nat -A PREROUTING -i %iface -p tcp --dport %port -j REDIRECT --to-port %rport"
redir_command_off = "iptables -t nat -D PREROUTING -i %iface -p tcp --dport %port -j REDIRECT --to-port %rport"

После того, как все перечисленные выше операции сделаны, запускаем Ettercap. Однако у некоторых, в том числе и у меня, Ettercap работать не будет. Будут появляться ошибки вида “SEND L3 ERROR“. Чтобы такие ошибки не появлялись, воспользуйтесь следующей командой:

# echo "1" &gt; /proc/sys/net/ipv4/ip_forward
# cat /proc/sys/net/ipv4/ip_forward

Теперь все должно работать нормально и ошибки не должны выскакивать.

Перехват паролей

Для начала посмотрите на архитектуру сети (см. рисунок ниже), которая будет использоваться. Это нужно для того, чтобы вы хорошо понимали, что и от куда берется:

Запускаем Ettercap:

# ettercap -G

Перед нами появится окно приложения, как показано ниже

Щелкаем по кнопке Sniff -> Unified sniffing. После этого выбираем интерфейс, который используется. У меня это eth0:

В верхнем меню нажимаем кнопки Hosts – Scan for hosts

Теперь опять щелкаем Hosts – Hosts list. Появится окно, как показано на рисунке ниже:

Здесь нам нужно выбрать цели, т.е. выбрать машину, которая будет выступать в качестве “жертвы” и шлюз. Как видно из архитектуры сети, которую используем, в качестве “жертвы” выступает машина с IP-адресом = 192.168.1.3. Ну а в качестве шлюза IP-адрес = 192.168.1.1. Поэтому выбираем 192.168.1.3 и нажимаем кнопку Add to Target 1. Теперь щелкаем 192.168.1.1 и нажимаем кнопку Add to Target 2.

Далее щелкаем Mitm – ARP poisoning. После этого выбираем Sniff remote connections:

Нажимаем ОК. Осталось только запустить. Для этого нажимаем на кнопку Start – Start sniffing.

Sniffing запущен. Осталось подождать, когда пользователь будет вводить свои данные, например от почтового аккаунта:

Как только он ввел свои логин/пароль и успешно вошел на свой почтовый ящик, злоумышленник также успешно перехватил его логин и пароль:

HTTP : 94.100.184.17:443 -&gt; USER: <strong>my_testing_akk</strong>  PASS: <strong>my_secret_password</strong>  INFO: http://mail.ru/

Как видите ничего сложного в этом нет.

Вся информация предоставляется командой DarkMagazin
darkmagazin.info

новый уровень фишинга в Интернете

SocialFish Script for everyone | Взлом с помощью ngrok

SocialFish – скрипт, который написан для создания фишинговых страниц. Очень легкий способ взлома страниц в социальных сетях. Скрипт написан на языке программирования Python и очень легко кастомизируется под любые нужды создания фишинговых страниц. Всё, что следует добавить, это пункт выбора в самом коде, а также страницу, которую вы хотите использовать. Сделать это можно очень легко, просто зайти на нужную страницу и скопировать её код, вставить его в предварительно созданный файл index.html.

Фишинг – техника компьютерного взлома, которая используется в Интернете. Для этого создается идентичная страница входа официального сайта и сохраняются логи полей входа, такие как логин и пароль.

Ngrok – защищенные интроспективные туннели с помощью инструмента разработки веб-хоста localhost и средства отладки. Он используется в скрипте SocialFish для того, чтобы вам не пришлось покупать хостинг и закидывать туда свой сайт. Следует понимать, что URL страницы будет выглядеть не лучшим образом, по этому придется подумать и использовать социальную инженерию. С учетом того, что очень малое количество людей слышали про ngrok – это будет не сложно.

Запуск SocialFish | Зависимости и возможности

Для корректной работы скрипта, вам потребуется установить следующие компоненты:

Python 3.x
pip3
wget from Python 3.x
huepy from Python 3.x
PHP
sudo

Следует заметить, что если вы используете Kali Linux, то достаточно будет запустить обновление и все зависимости будут автоматически установлены. SocialFish тестировался на следующих операционных системах:

Kali Linux – Rolling Edition
Linux Mint – 18.3 Sylvia
Ubuntu – 16.04.3 LTS
MacOS High Sierra

Хочется заметить, что если вы используете Windows 10, то вам не нужно устанавливать Kali Linux отдельно, так как вы можете установить Kali Linux на Windows 10 в пару кликов. Это не занимает много времени, а с учетом того, что графическая оболочка для работы скрипта не нужна, всё будет удобно и легко.

Для того, чтобы установить скрипт для фишинга, просто скопируйте следующую команду в терминал:

git clone https://github.com/UndeadSec/SocialFish.git

После того, как всё склонируется, выполните следующие команды для запуска:

cd SocialFish

sudo apt-get install python3-pip -y

sudo pip3 install -r requirements.txt

python3 SocialFish.py

Список доступных страниц перед вами, однако не забывайте, что это не все возможные варианты и вы можете легко добавить нужную вам страницу с помощью редактирования кода.

+ Facebook:

Traditional Facebook login page.

+ Google:

Traditional Google login page.

+ LinkedIn:

Traditional LinkedIn login page.

+ GitHub:

Traditional GitHub login page.

+ Stackoverflow:

Traditional Stackoverflow login page.

+ WordPress:

Similar WordPress login page.

+ Twitter:

Traditional Twitter login page.

+ Instagram:

Traditional Twitter login page.

+ Snapchat:

Traditional Snapchat login page.

+ VK:

Traditional VK login page.

+ Steam:

Traditional Steam login page.

Подписывайтесь на обновления сайта, а также наш Telegram.

Фишинговые письма, ссылки и сайты

В последнее время снова участились случаи фишинга в сети. Фишинг (англ. phishing, от fishing – рыбная ловля, выуживание) – это разновидность мошенничества в интернете, целью которого является получение логина и пароля пользователя, данных его банковских карт и счетов. В основном, используется метод проведения массовых рассылок от имени популярных компаний и организаций.

Фишинг основан на том, что зачастую пользователи не знают простого факта, что сами сервисы не рассылают писем с просьбами сообщить свои учётные данные, пароль и прочую личную информацию.

Фишинговые ссылки

Это ссылки на мошеннические интернет-ресурсы, чаще всего на копии сайтов известных организаций, банков, интернет-магазинов, социальной сети и т.д. Перейдя по такой ссылке вы попадаете на ресурс, где вас разными приемами пытаются заставить ввести свой логин и пароль.

Обычно такие ссылки вам присылают по почте или в личном сообщении, например, в социальных сетях. Это или прямые ссылки, перейдя по которым вы попадаете на сайт, который почти ничем не отличается от настоящего, или ссылки с редиректом (переадресацией), перейдя по которым вы перенаправляетесь на другие сайты и в конечном итоге попадаете на ресурс мошенников. Попав на такой сайт, вы можете сразу и не понять, что находитесь в ловушке, а мошенники тем временем пытаются из вас выудить нужную им информацию в виде логина и пароля.

Существует несколько видов фишинговых ссылок:

Прямая – ссылка ведет на ту же страницу, что и ее адрес.

С редиректом – ссылка ведет вас сначала на один сайт, потом перенаправляет на другой, потом на третий и т.д.

Скрытая – ссылка внешне выглядит правильно, но в реальности ведет на фишинговую страницу.

Письмо с фишинговой ссылкой

Фишинговый сайт

Это сайт, который полностью или частично скопирован с оригинального, но таковым не является. Целью таких сайтов является хищение логина и пароля, который вы используете на оригинальном сайте. Пользователь переходит по фишинговой ссылке и видит перед собой обычный портал, которым постоянно пользуется. Ничего не подозревая вводит свои логин и пароль, которые сразу же становятся известны злоумышленникам.

Такие сайты внешне полностью копируют оригинальные, но если присмотреться к адресу в адресной строке, то вы увидите в нем ошибку:

Обычно, сначала создается копия сайта, затем пользователям отправляется информационное письмо о том, что на сайте произошел какой-то сбой или приводится другая веская причина, в связи с которой вы должны войти в свой аккаунт. Вы переходите по ссылке, вводите логин и пароль… и вы в лапах злоумышленников.

Защита от фишинга

Все современные браузеры обладают возможностью информирования пользователей о подозрительном сайте. Называется эта функция «Антифишинг». Поэтому всегда поддерживайте версию своего браузера в актуальном состоянии, постоянно устанавливая последние обновления. Также, в браузеры уже бывает встроен дополнительный механизм защиты от фишинга.

Любой современный антивирус обладает функцией предупреждения и блокировки перехода на сомнительный портал. Пользуйтесь самыми последними антивирусными решениями.

Борьба почтовых служб с помощью специальных спам-фильтров, которыми обрабатывается электронное письмо перед тем как попасть к пользователю.

Существует много разных технических способов защиты от фишинга, но «слабое звено» в этой цепи – сам пользователь, его любопытство и невнимательность позволяют мошенникам эффективно применять методы социальной инженерии.

Нужно быть внимательным к тому где и что вы вводите.

Не переходите по странным и не проверенным вами ссылкам.

Обязательно обращайте внимание на адрес в адресной строке страницы, на которой вы в данный момент находитесь, ведь адрес http://facebook.sait.com на самом деле он является фишинговой составляющей сайта sait.com.

Если вы случайно ввели свой логин и пароль на ресурсе злоумышленников и только потом заметили, что это обман, то сразу же зайдите на настоящий сайт и измените те данные, которые вы вводили – пароль, по возможности логин, секретные вопросы для восстановления данных. Также, обязательно сообщите о том, что произошло в службу поддержки ресурса.

Обычно порталы делают рассылку о попытке взлома пользовательских аккаунтов и о том, что пользователи могут получить письмо с мошеннической ссылкой.

По материалам сайтов: 4upc.ru, kaspersky.ru, habr.com

Фишинговый сайт. Защита от фишинговых сайтов

Фишинг – один из самых популярных видов мошенничества в интернете. Фишинговых сайтов становиться все больше с каждым годом. Что такое фишинговый сайт и как защитить себя от фишиновых сайтов Вы узнаете в этой статье.

Что такое фишинговый сайт

Фишинговый сайт – сайт, который полностью или частично копирует дизайн другого сайта, с целью хищения конфиденциальных данных пользователя (логин, пароль, номер счета, почтовый адрес и т.д.). Человек, которых зашел на фишинговый сайт, вводит свои конфиденциальные данные, а злоумышленник крадет их.

Фишинговые сайты очень распространены, так как позволяют достаточно легко и просто получить Ваши данные. Злоумышленнику не нужно подбирать пароль к Вашему аккаунту или взламывать сайт. Достаточно направить человека на фишинговый сайт, а дальше пользователь сам введет свои данные. Создать фишинговый сайт для человека, немного разбирающегося в Web-программирование, не составит труда.

Как работают фишинговые сайты

В основном, людей привлекают на фишинговые сайты, отправив им ссылку, якобы от лица фирмы или сайта. Ссылку могут отправить на почту, на страницу в соц. Сети и т.д. Как правило, ссылку маскируют рекламной акцией или скидками.

Вам на почту может прийти письмо, в котором Ваш банк говорит, что у Вас заблокирован аккаунт или что сейчас увеличились кредитные ставки. Содержание письма может быть любым, главное, что бы человек перешел по ссылке, которая непременно есть в письме.

Перейдя по ссылке, человек попадает на фишинговый сайт, который очень похож на настоящий сайт. Он вводит данные для авторизации (входа на сайт) и злоумышленник получает эти данные.

Фишинговые сайт имеют очень похожий адрес, как и настоящий сайт. Фишинговый адрес отличается от настоящего адреса сайта на один символ. Например: odnaklassniki.ru, twitter.com. Человек не замечает отличия адресов и смело вводит свои данные.

Защита от фишинговых сайтов

Установите антивирус

Многие антивирусы имеют базы фишинговых сайтов, а так же проверяют сайт на наличие вредоносного кода, перед открытием. Антивирус просто не позволит Вам перейти на сайт злоумышленника. Выбрать хороший антивирус Вам поможет рейтинг антивирусов. К сожалению, фишинговые сайты появляются очень быстро, так что антивирус может не успеть внести сайт в базу.

Будьте внимательны

Не нажимайте на сайтах на рекламные блоки и баннеры, лучше вообще заблокируйте рекламу на сайтах. Если Вы получили письмо где Вам говорят, что Вы что-то выиграли, хотя вообще не знаете о таком розыгрыше или не участвовали в нем, удалите это письмо. Халявы в интернете нет. Никогда не заполняйте анкеты, если они есть в письме.

Если Вам приходит письмо, якобы от банка, почтовый системы, системы электронных платежей, социальной сети, то внимательно проверьте адрес сайта, который указан в ссылке к письму. А лучше зайдите на сайт, введя его название в поисковую систему, или введите адрес сайта вручную. Поисковые машины ведут борьбу с фишингом и никогда не выдадут сайт злоумышленника в начале поисковой выдачи.

Обновляйте интернет браузер

Популярные интернет браузеры сами блокируют подозрительные сайты, так что обновляйте свои интернет браузеры, как только выходит новая версия. Обновив браузер, Вы обновите механизм защиты от фишинга.

Следите за своими счетами

Регулярно просматривайте свои счета и электронные деньги. Смотрите отчеты, когда заходили на Ваш аккаунт, сколько денег снимали. Злоумышленники могут получить Ваши данные и снимать небольшие суммы, так что Вы не заметите. Если с Вами такое случилось, то незамедлительно меняйте пароль на аккаунт и сообщите администрации сайта, что Вас обворовывают.

Заключение

Фишинговые сайты являются распространенной угрозой Вашей безопасности в интернете. Их довольно много и кража Ваших личных данных может обернуться для Вас большими финансовыми потерями. Следуйте советам этой статьи, и Вы сведете к минимуму возможность перейти на фишинговый сайт.

Если Вы знаете новые и интересные способы защиты от фишинговых сайтов, то поделитесь или в комментариях.

Что такое фишинг и фишинговые сайты, как создать фишинговый сайт

Что такое фишинг в интернете

Фишингом, что в переводе с английского означает «ловля», называют незаконную деятельности в сети, направленную на выявление личных данных. Это может приводить к потере контроля над банковскими счетами, аккаунтами в социальных сетях и прочее.

Киберпреступник создает интерфейс, визуально схожий с ресурсом, который запрашивает идентификационные данные (например, логин и пароль) для входа в систему.

Чтобы стимулировать потенциальную жертву, мошенник использует привлекательный текст рекламного характера, прилагаемый к ссылке. Он может обещать денежное вознаграждение первым посетителям или сообщать им, что они уже что-то выиграли, а для получения приза необходимо перейти по ссылке и подтвердить свою личность. Такой подход направлен на то, что окрыленный радостью человек поспешно выполнит все требования и эта стратегия, к сожалению, нередко оправдывает ожидания преступников. Одной из причин такого хода развития событий называют низкую осведомленность пользователей интернета о подобных махинациях.

Что такое фишинговый сайт

Отличительным признаком недоброжелательного ресурса послужит его путь в адресной строке, несоответствующий тому сайту, который был запрошен пользователем. Например, так выглядит главная страница Vk:

Если данная страница отображается по другому адресу, скорее всего, это фишинговый сайт, владелец которого надеется на ввод персональных данных, которые впоследствии будут отправлены ему.

В такой ситуации стоит покинуть страницу или ввести ложные данные – получив неверные логин и пароль, мошенник не сможет зайти на страницу пользователя и получить доступ к личным сообщениям и другим конфиденциальным данным.

Фишинговый сайт выдают некоторые особенности:

субдомены URL-адреса сайта интерпретируются справа (где находится корневой домен) налево. К примеру, для vk.com главным доменом служит com, внутри которого находится vk. Адрес vk.com.forum.me скорее всего окажется ссылкой на фишинговый сайт;
веб-страница, которая отправляет персональные данные на сервер, должна иметь протокол https, вместо http. Данная технология шифрует передаваемые данные, поэтому даже в случае их перехвата злоумышленником, он получит набор ни о чем не говорящих ему символов. В базу данных сайта также заносится закодированная информация, чтобы никто не мог получить к ним доступ кроме владельца, которому предоставляется ключ для дешифровки;
современные браузеры также снабжены технологиями обнаружения мошеннических сайтов. В таких случаях они предупреждают пользователя о потенциальной угрозе.

После получения подобного уведомления стоит как можно скорее покинуть небезопасный ресурс.

Внимательность, а также вышеописанные факторы помогут избежать посещения нежелательных сайтов и предотвратят хищение личных данных.

Для создания поддельного ресурса необходимо максимально точно скопировать его интерфейс, для чего могут понадобиться такие инструменты как HTML/CSS и в большинстве случаев JavaScript. Использование данных языков поможет воссоздать внешний вид, например, главной страницы Вконтакте.

После этого нужно создать серверную часть, которая будет перенаправлять введенные пользователем логин и пароль в базу данных, находящуюся под контролем мошенника. После этого он сможет войти в аккаунт Вконтакте своей жертвы и получить доступ к личной информации.

Важным фактором является регистрация доменного имени, которое будет максимально похоже на адрес подлинного ресурса. Тогда гораздо более вероятно, что пользователь передаст конфиденциальные данные до того, как обнаружит попытку их хищения.

Как создать фишинговую страницу с помощью Kali

В этой статье вы узнаете, как создать фишинговую страницу с помощью Kali Linux.

Здесь, мы попытаемся создать клон страницы, которая будет выглядеть и вести себя как страница входа в систему для сбора данных жертвы с использованием Social Engineering Toolkit.
По сути, мы перенаправим браузер жертвы на наш сервер. Этот дублированный сервер будет содержать указанную клонированную веб-страницу, которая взаимодействует и ведет себя как оригинал, и одна из лучших функций этой страницы заключается в том, что эта страница будет сохранять данные для входа в систему на нашем локальном диске вместо публикации данных на исходном сервере.

ПРИМЕЧАНИЕ. Эта статья предназначена только для образовательной цели, сайт не несет ответственности за любую незаконную деятельность, выполняемую пользователем.

Давайте начнем.
Открываем терминал (Ctrl+Alt+t) и вводим:

ifconfig

Эта команда покажет ваш IP адрес, запомните его.
Далее, запускаем Social Engineering Toolkit:

setoolkit

Соглашаемся и вводим y.

Теперь мы попадаем в меню SET.

Как показано на скриншоте, выбираем 1. Далее будет похожее меню и нужно будет напечатать 2 (Website Attack Vectors). В следующем меню печатаем 3 (credential Of Victim).

Вы увидите это меню:

Мы хотим получить логин и пароль жертвы, поэтому нам нужно сделать клон оригинальной страницы.
Чтобы начать клонирование, нажмите «2» и вы увидите похожий текст.

На изображении выше, вы могли заметить прямоугольник зеленого цвета. В окне вы найдете сообщение «Tabnabbing: Your IP Address», где вам нужно ввести свой IP-адрес. (Для того чтобы узнать IP-адрес, введите «ifconfig»)

Обратите внимание, что если вы неправильно указали IP-адрес вашего компьютера, этот метод не будет работать.
Итак, после ввода вашего правильного IP-адреса, нажмите ввод.

Теперь он попросит вас ввести URL веб-страницы, которую вы хотите клонировать, как показано ниже.

Здесь я ввел «http://www.facebook.com», так как хочу украсть данные учетной записи Facebook. Программа сообщит, что работает над клонированием сайта, и займет немного времени.

Программа автоматически настроит и запустит веб-сервер. Также нужно, чтобы IP адрес был белый.

Этот сервер будет обрабатывать браузер клиента, который посещает наш IP-адрес, он увидит нашу клонированную страницу, которая будет выглядеть как оригинальный веб-сайт. На этом этапе, чтобы увеличить вероятность успеха, можно сократить свой IP-адрес с помощью таких служб, как ADF.LY, Binbox, Goo.gl и т. д. Как только вы введете свой IP-адрес на этих сайтах для сокращения, они предоставят вам короткую ссылку, и все, что вам нужно сделать, это просто отправить эту сокращенную ссылку своей жертве.
Когда жертва посетит URL-адрес, который вы ей отправили, она увидит ту же страницу, URL которой вы ввели для клонирования в программе.

Жертва будет думать, что это оригинальная страница и когда жертва введет свои учетные данные, вы увидите эту информацию в /var/www/harvester , как показано на скриншоте ниже.

После открытия этого текстового файла вы увидите логин и пароль в формате, указанном ниже.

Как отличить официальный сайт от мошенников: советы от REG.RU

В преддверии праздничных праздничных распродаж вместе со всей ecommerce-отраслью активизируются мошенники. Они регистрируют сотни фишинговых доменов, имитирующих магазины популярных брендов. Как же понять какой ресурс безопасен, а на каком могут оставить вас ни с чем? Сегодня расскажем, как можно распознать сайт-фальшивку.

Что случилось?

Под конец года практически все интернет-магазины объявляют скидки — всевозможные «чёрные» дни недели, на которых можно купить вещи, технику или подарки к Новому году и Рождеству.

Во время распродаж также обостряется проблема мошенничества в Сети: злоумышленники «объявляют скидки» и создают липовые сайты. Как сообщает СМИ, в этом году всего за один день в Рунете зарегистрировали 192 сайта, которые маскируются под домены популярных магазинов с помощью преписки “OFF”. Например, FAMILIYA-OFF.RU вместо FAMILIYA.RU. Эксперты утверждают, что они будут использованы для фишинговых ресурсов.

Фишинг (от английского слова “fishing” — рыбалка, рыбная ловля) — вид интернет-мошенничества, когда злоумышленники пытаются получить личные данные пользователей.

Проще говоря — сайты мошенников сделаны для «ловли» невнимательных покупателей, которые будут массово закупаться во время распродаж. Используя такие сайты-клоны, аферисты могут получать доступ к личным банковским картам пользователей, а потом обнулять их счета. Или получать деньги за товар, существующий только на страницах липового сайта.

Согласно данным Службы кибербезопасности Сбербанка, 48% людей, которые получают письма от неизвестных источников, переходили на фишинговые ресурсы, где вводили свои логины, пароли и данные карт.

Если вы совершите покупку на сайте мошенника, то отстоять свои права в суде будет практически невозможно. Всё дело в том, что между фейковым магазином и покупателем ожидаемо нет письменного договора, кассового чека или другого подтверждения покупки. Всё что остаётся — проявлять бдительность и наловчиться распознавать ресурсы-подделки. Этому и будем учиться сегодня.

Как определить сайт мошенника?

Создатели фишинговых ресурсов отвлекают покупателя от изучения страницы и поиска каких-либо признаков подделки. Поэтому мошенники отслеживают «хайповые» темы и пытаются играть на человеческих эмоциях. И тут их целый спектр: можно надавить на жадность и предложить выиграть крутой гаджет или денежный приз, можно сыграть и на чувстве страха. Например, сайт может предложить проверить, не числится ли банковская карта в реестре украденных хакерами данных. И для этого всё, что нужно — ввести ваши данные.

Итак, как распознать фишинговый сайт? Рассказываем!

Проверьте SSL-сертификат

Это самая простая проверка, которую можно выполнить, если веб-ресурс кажется подозрительным. В первую очередь смотрите на наличие SSL-сертификата — есть ли заветная буковка “s” после http или нет. Кроме того, обратите внимание на изображения «замочка» в адресной строке, есть ли он.

Безопасное соединение с сервером особенно актуально при передаче конфиденциальной информации и персональных данных, например, паспортных. А вот если сайт начинается на «http://» — это повод усомниться в оригинальности страницы.

К сожалению, вместе с развитием технологий, развивают свой арсенал и мошенники. И сегодня им не составит труда получить действительный SSL-сертификат даже для подделки. Поэтому, чтобы точно удостовериться в правомерности ресурса придётся капнуть чуть глубже.

Нажмите на «замочек», чтобы узнать подробные сведения о сертификате:

Важно проверить тип сертификата. Если вы видите OV или EV сертификат — это 99,999% гарантия того, что перед вами сайт-оригинал. Это же докажет, что указанная в сведениях организация, для которой выдали сертификат — не подделка.

DV-сертификат (Domain Validation) — базовый уровень сертификата, который подтверждает существование домена, но не подтверждает существование организации.
OV-сертификат (Organization Validation) — сертификат, который подтверждает существование организации.
EV-сертификат (Extended Validation) — эффективное и престижное решение, которое активно применяется в онлайн-бизнесе.

Обратите внимание на провайдера (вендора/УЦ — удостоверяющего центра). Сегодня существует возможность самостоятельно получить бесплатный SSL-сертификат на проекте Let’s Encrypt (LE), он выпускается на 3 месяца и далее требует продления. Если вы видите, что перед вами сайт с LE-сертификатом — задумайтесь, довольно часто их выбирают мошенники, чтобы вызвать доверие пользователей. Мошенники вряд ли будут связываться с авторитетным УЦ да ещё и платить за то, что можно получить бесплатно.

Никогда, никогда, никогда не переходите на сайт, если браузер сообщает вам о проблемах или о том, что УЦ, выдавший сертификат, неизвестен браузеру.

Запомнили? Поехали проверять сайт дальше. 🙂

Посмотрите на доменное имя

Злоумышленники часто пытаются регистрировать похожие домены. Поэтому, важно внимательно присмотреться к названию сайта. Если в домене ошибка или опечатка — вас обманывают.

На что же стоит обратить внимание при проверке домена:

Пытаясь запутать пользователей, злоумышленники часто заменяют буквы символами — например, цифра «1» вместо буквы “I”: ONL1NE , а не ONLINE.

Имя сайта-клона может быть максимально приближено к реальному написанию бренда, но иметь незначительные опечатки. Например, вместо ONLINE.SBERBANK.RU можно увидеть ONLLINESBERBANK.RU или ONLINE.SBRBANK.RU — тут вам и замена букв, и пропуск символов.

Некоторые могут правильно написать домен, но использовать для этого иной алфавит. В таком случае буквы в адресной строке выглядят как латинские, но на самом деле название сайта набрано на алфавите другого языка. Обнаружить такую подделку тяжелее всего.

Также стоит обратить внимание на доменную зону — фейковый сайт может располагаться в нестандартной для компании зоне, например, REG.SUPPORT, REG.BILLING вместо REG.RU.

Узнайте, кто владеет сайтом

Другой способ отличить подделку — посмотреть, когда зарегистрирован домен. Если вы попали на ресурс крупного бренда с многолетней историей, то высока вероятность, что это безопасный сайт.

Кстати, проверить подозрительные сайты можно в REG.RU, используя сервис История Whois.

К сожалению, это не гарантия. Совсем недавно исследованием поделилась международная компания Group-IB, специализирующаяся на предотвращении кибератак. Хакеры создали схему, по которой через кражу легальных доменных имен проводили фишинговые атаки на россиян. Их жертвами стали владельцы сайтов, которые забыли продлить свой домен. Мошенники следят за такими именами и в нужный момент размещают свой контент через процедуру «перехвата». В результате и на оригинальных ресурсах стала возможна кража денег, данных банковских карт или рассылка писем с вредоносными вложениями.

Профилактика против «угона» домена достаточно проста — достаточно следить за сроком оплаты своего хостинга и вовремя его продлевать. А посетителям ресурсов важно быть внимательными и проверять подозрительные сайты по всем возможным параметрам, например описанным в этом материале.

Посмотрите на ошибки

Отличной уликой против обманщиков может стать проверка содержания сайта. Создание веб-ресурса — это проект, в который разные команды вкладывают огромное количество времени и энергии. Поэтому ошибки и опечатки там если и встречаются, то редко. Чего не скажешь о мошеннических ресурсах.

Если на сайте слишком много грамматических ошибок, изображений с низким разрешением, в целом устаревший дизайн или слишком много рекламы, то, скорее всего, вы попали на сайт-копию. Просмотрите несколько страниц с товарами на предмет ошибок, проверьте правильное написание названия организации. Также стоит обратить внимание на поехавшую вёрстку и неправильное использование цветов в дизайне.

Проверьте платёжные формы

Если для регистрации на сайте вас просят указать данные банковских карт, логин и пароль от вашей почты — закройте эту страницу немедленно.

Также посмотрите на наличие ссылок на странице. Если при клике на них вас перебрасывает на непохожие на оригинальный сайт страницы, то вы попали «в лапы» мошенников. Просто закройте вкладку и ни в коем случае не вводите персональные данные в платёжную форму.

Также злоумышленники в качестве систем оплаты часто используют Яндекс.Кошельки или QIWI-кошельки. Если при выборе оплаты вас перебрасывает на такой сервис, лучше лишний раз всё перепроверить, чтобы не оплатить «несуществующую» покупку.

Найдите пользовательские соглашения

Проверьте, есть ли на сайте пользовательское соглашение, условия оплаты и доставки, если они предусмотрены, а также политики обработки персональных данных. Тут важно проверить не только их наличие, но и сам текст. В пользовательском соглашении не должны быть указаны сторонние компании, которые не имеют отношения к сайту.

Также стоит проверить контактные телефоны и публично размещённые реквизиты компании (адрес, фирменное название). Запомните: через сайт продавец реализует дистанционную продажу товаров или услуг , а значит он обязан указать на сайте базовые реквизиты о себе как продавце (фирменное наименование, адрес местонахождения, ИНН и так далее). Не нашли ничего из этого? Срочно закрываем сайт.

Спросите у Google

Компания Google разработала инструмент для проверки сайтов. Достаточно ввести в форму адрес сайта и вы получите информацию о безопасности ресурса.

Почитайте отзывы

Проверяйте отзывы о магазине в Сети, особенно если компания позиционирует себя крупным игроком рынка.

а) Если интернет-магазин интегрирован в Яндекс.Маркет, то вы увидите отзывы о нём. На этой площадке они проходят очень плотную проверку на свою подлинность фирменными алгоритмами Яндекс.Маркета, а «левые», накрученные отзывы — сразу же отсеиваются.

б) Существует множество ресурсов с реальными отзывами, например, Отзовик или Лохотрона.нет. На них точно можно распознать сайт-фальшивку, потому что в выдаче старый и очевидный фишинг сидит с заниженными оценками, а в комментариях бунтуют и негодуют пользователи.

в) Независимые отзывы можно найти на форумах и в группах соцсетей этого магазина. Если вы видите живую переписку в настоящем времени (этого года или месяца условно) — ставьте плюсик в копилку подлинности сайта.

Что делать, если вы всё же отправили пароли или данные карточки?

Если вы всё же попались на удочку мошенников, но вовремя это поняли — ваши данные ещё можно спасти.

Первым делом — поменяйте пароли, которые вы успели указать. Сделать это нужно максимально быстро. И не забудьте заменить пароли на других сайтах, если вы использовали одинаковый шифр.

Если вы отправили свои платёжные данные, то обязательно свяжитесь со службой безопасности банка. Как правило, банки просто заблокируют на время платежи с вашей карты, что позволит сохранить деньги.

Как пожаловаться на сайт мошенников?

Предположим, что вы всё-таки попали на фишинговый сайт, но сумели вовремя распознать его. Тогда вы можете помочь компаниям и поисковым системам заблокировать этот ресурс, чтобы другие люди не пострадали.

Свяжитесь с администраторами оригинального сайта

Передавать информацию о мошенническом ресурсе можно и нужно владельцам оригинального сайта (если бренд, под который маскируются злоумышленники, существует). На всех официальных сайтах есть раздел «Контакты» или «Помощь», в которых можно найти электронную почту компании. Далее, нужно заполнить форму обратной связи и поделиться информацией о фишинговом сайте. Электронные адреса оригинальных компаний обычно начинаются со слов “support” или “info”.

Например, в REG.RU есть отдельный блок «Сообщить о нарушении», в котором вы сможете узнать, куда стоит обратиться, если ваши права были нарушены в международных зонах или в доменах .RU/.РФ/.SU.

Сообщите поисковой системе

У Google и Яндекс есть специальные формы, через которые можно пожаловаться на фишинговые сайты. Нужно потратить всего лишь минуту времени, чтобы помочь защитить других пользователей от обманщиков.

Профилактика: как защитить себя от мошенников

Установите антивирус. Если вы всё ещё не установили антивирус — сделайте это сейчас! Во всех крупных антивирусах есть встроенная проверка на фишинг, достаточно только её настроить и включить.

Оформите виртуальную карту для покупок онлайн. Такая карта не имеет физического носителя и выпускается только в цифровом виде. Привязана она к вашему основному счёту, но имеет другие реквизиты. Используя такую карту, вы не «светите» свои личные данные.

Подключите двухфакторную аутентификации. Двойная защита на сервисах, запрашивающих проверку захода в личный кабинет по двум параметрам: через логин, пароль и, например, по коду смс.

Используйте браузеры Chrome, Safari, Firefox. Они уже имеют антифишинговую защиту.

И снова — сохраняйте бдительность. Надеемся, вы поняли, что к сайтам нужно относиться с осторожностью.

⌘⌘⌘

Надеемся, что наш пост поможет вам защитить себя от мошенников. И, конечно же, желаем вам удачных покупок не только в чёрную пятницу, но и всегда!

Создайте фишинговую страницу из 29 сайтов за считанные минуты.

Введение

Фишинг Атака в Интернете постоянно растет. Большинство хакеров работают с этими фишинговыми страницами, чтобы узнать ваши учетные данные. Этот тип атак осуществляется путем простой отправки ссылок и провоцирования жертвы на переход по ссылке. Основная цель этой атаки — украсть имя пользователя и пароли, банковские реквизиты и другую конфиденциальную информацию. Недавнее разоблачение фишинговых атак на AirBNB было продемонстрировано исследователем этического взлома Международного института кибербезопасности.

Сегодня мы покажем вам, как создать фишинговую страницу из 29 различных веб-сайтов за минут. Zphisher — это инструмент, который можно использовать для создания фишинговых страниц и отправки жертве для кражи конфиденциальной информации.

Окружающая среда

O S: Kali Linux 2019.3 64 бит
Версия ядра : 5.2.0

Установка

 root @ kali: / home / iicybersecurity # git clone https: // github.com / htr-tech / zphisher
 Клонирование в zphisher ...
 удаленный: Перебор объектов: 39, готово.
 удаленный: Подсчет объектов: 100% (39/39), готово.
 remote: Сжатие объектов: 100% (38/38), готово.
 удаленный: всего 873 (дельта 17), повторно используется 2 (дельта 0), повторно используется пакет 834
 Прием объектов: 100% (873/873), 9,69 МиБ | 1,28 МБ / с, готово.
 Разрешение дельт: 100% (346/346), выполнено.

Используйте команду cd для входа в каталог zphisher

 root @ kali: / home / iicybersecurity # cd zphisher /
 корень @ kali: / home / iicybersecurity / zphisher #

Затем используйте команду для изменения режима доступа

 root @ kali: / home / iicybersecurity # chmod + x zphisher.ш
корень @ kali: / home / iicybersecurity #

Теперь используйте команду для запуска инструмента

Zphisher

Здесь мы видим 29 фишинговых модулей, возьмем четыре верхних модуля.

Google

Выберите вариант 3 для Google, а затем выберите 2.
При создании этой страницы мы выберем вариант LocalHost для размещения страницы на нашем локальном компьютере с целью тестирования.
Мы также покажем, как можно создать эту страницу, чтобы поделиться ею с жертвой в Интернете с помощью обратного прокси.Это будет сделано на следующих фишинговых страницах.

Google Фишинговая ссылка

Теперь у нас есть фишинговая ссылка, и мы можем протестировать ее на нашей машине.
Когда мы откроем это на нашем компьютере, он попросит ввести учетные данные, и страница будет похожа на исходную учетную запись Gmail.

Фишинговая страница

Мы видим, как фишинговая страница захватывает учетные данные.

Учетные данные потерпевшего

Здесь мы видим учетные данные жертвы.

Instagram

Выберите вариант 2 для Instagram
Теперь выберите обратный прокси-сервер, который будет использоваться для сбора учетных данных обратно на вашу хакерскую машину. Мы будем использовать ngrok.io

Instagram Phishing Link

Теперь у нас есть фишинговая ссылка, и мы отправляем эту фишинговую ссылку жертве через Интернет по электронной почте или через какой-либо мессенджер.

Фишинговая страница

Мы видим, как фишинговая страница захватила учетные данные жертвы.

Учетные данные потерпевшего

Netflix

Теперь выберите вариант 5, Netflix и выберите вариант захвата трафика.

Фишинговая ссылка Netflix

Итак, мы получили фишинговую ссылку и отправили эту фишинговую ссылку жертве.

Фишинговая страница Netflix

Здесь мы видим фишинговую страницу Netflix

Учетные данные жертвы

Здесь мы получили данные для входа в систему жертвы.

Paypal

Выберите опцию 6, Paypal и выберите опцию захвата трафика.

Paypal Фишинговая ссылка

Итак, мы получили фишинговую ссылку и отправили эту фишинговую ссылку жертве.

Paypal фишинговая страница

Здесь мы видим фишинговую страницу PayPal

Учетные данные жертвы

Здесь мы получили логин жертвы

Заключение

Таким образом злоумышленники могут украсть наши учетные данные и другую конфиденциальную информацию.Мы стали более безопасными при переходе по любым ссылкам.

Специалист по кибербезопасности с более чем 18-летним опытом работы в отрасли. Работал над проектами с AT&T, Citrix, Google, Conexant, IPolicy Networks (Tech Mahindra) и HFCL. Постоянно держать мир в курсе того, что происходит в зоне кибербезопасности.

Установите пользовательское содержимое вкладки HTML для автора на странице своего профиля

Как хакеры легко создают фишинговые сайты

Среди всех существующих киберугроз фишинг, вероятно, самый простой вид атаки, на которую вы можете попасть.От вредоносной рекламы, которая перенаправляет вас на сайт с поддельным логином, до классических цепных сообщений, которые могут отправлять вам ваши родственники. Кто угодно может стать их жертвой, и хакеры могут легко создать эти фишинговые сайты.

Однако не все фишинговые сайты созданы равными. Допустим, вы работаете на клиента и с вами заключили контракт на оценку того, насколько осведомлены о безопасности его сотрудники. Это ситуация, когда вы можете настроить фишинговый сайт, который автоматически регистрирует их учетные данные, например, на веб-сайте интрасети, который они размещают.Методы, использованные в этой статье, должны помочь вам определить, какие пользователи попались в вашу «ловушку».

Это всего лишь пара сценариев, и вы всегда должны помнить, что фишинг может быть преступлением . Итак, A LWAYS спрашивает разрешения у вашего клиента перед созданием такого фишингового веб-сайта . Береженого Бог бережет!

Еще раз, этот вид фишинг-атаки должен выполняться ТОЛЬКО С РАЗРЕШЕНИЯ ВАШЕГО КЛИЕНТА. Мы даем только знания.Однако ответственность ВСЕ ВАШИ .

Мы НЕ несем ответственности за любые незаконные действия, которые вы совершаете, зная об этом.

Позвольте повторить. Если вы совершите какое-либо преступление, используя эти знания, ВСЯ ОТВЕТСТВЕННОСТЬ ЕСТЬ ВАША.

Итак, теперь, когда у вас есть разрешение на создание фишингового веб-сайта, и мы установили, что вы не будете использовать его для какой-либо незаконной деятельности; давайте продолжим и на самом деле покажем вам, как это построить.

В нашем руководстве мы будем копировать Facebook. В основном из-за того, что это, пожалуй, самый распространенный веб-сайт для фишинговых схем. Сначала мы перейдем на главную страницу Facebook.

Чтобы получить исходный код для формы входа, просто щелкните правой кнопкой мыши в любом месте страницы и выберите Просмотреть исходный код страницы .

Откроется новая вкладка, показывающая полный исходный код HTML для главной страницы. Затем давайте скопируем исходный код, сначала щелкнув правой кнопкой мыши и выбрав Выбрать все .

Затем снова щелкните правой кнопкой мыши и выберите Копировать .

Затем откройте текстовый редактор (мы используем Leafpad) и вставьте только что скопированный исходный код.

Теперь сохраните файл. В нашем случае мы назвали его facebook_login.html . Если вы работаете в Windows, не забудьте изменить тип файла с (.txt) на Все файлы . В противном случае имя файла будет facebook_login.html.txt , а мы этого не хотим!

Не забудьте установить кодировку символов UTF-8, поскольку это рекомендуемый параметр, чтобы гарантировать правильное распознавание всех символов.

Как только все будет проверено, сохраните файл.

После получения исходного кода нам нужно найти форму входа. Для этого нажмите Ctrl + F , чтобы открыть окно поиска. Введите action = и нажмите Введите .

Вы увидите, что он выделен. Однако может быть немного сложно перемещаться по файлу, поскольку он отображается в данный момент.

Мы рекомендуем вам включить параметр Перенос слов , расположенный в меню «Параметры».

Перемещайтесь вперед и назад с помощью клавиш со стрелками, чтобы вернуться к просмотру текста. Мы выделили параметр action = , чтобы вы могли заметить, что он равен URL-адресу цели, на которую будет отправлена форма.

Имейте это в виду, так как он нам понадобится немного позже.

По нашему мнению, самым простым языком для хранения полученных учетных данных является PHP. Вот почему мы выбрали его для создания фишингового скрипта для нашей копии веб-сайта Facebook.

Пример ниже можно рассматривать как макет, который можно изменить в соответствии с вашими потребностями. Собственно, дальше мы его изменим.

Обратите внимание, как мы использовали сетевую функцию заголовка, а также параметры файловой системы fopen и fwrite. Если вы новичок в PHP или хотите узнать больше о каждой из этих функций, вы можете посетить предыдущие ссылки, а также руководство по PHP.

Теперь сохраните этот файл под именем login_post.php или с любым другим именем, если расширение его файла — .php , который необходим для его успешного выполнения. Как было сказано ранее, если вы работаете в Windows, не забудьте изменить тип файла с (.txt) на Все файлы .

Вернитесь к HTML-файлу, который мы создали ранее, и Cut URL, который назначен параметру action = формы.

Затем вернитесь к сценарию и удалите часть строки facebook.com внутри функции заголовка.

Если вам нужно, не забудьте активировать опцию Word Wrap, как мы это делали раньше.

После упаковки он должен выглядеть примерно так.

Обратите внимание, как переменная $ handle создает / открывает файл с именем log.txt , не стесняйтесь изменять его на более информативное имя. Мы изменили его на creds_log.txt , но вы можете использовать любое имя, какое захотите.

Если добавить к документу небольшой интервал и табуляцию, это выглядит так.

Не забудьте сохранить файл.

Теперь, когда скрипт PHP готов, нам нужно загрузить его куда-нибудь, где мы сможем хранить учетные данные, которые мы собираем через нашу фишинговую страницу.Есть множество вариантов, таких как SiteGround или HostGator; а также несколько бесплатных (по цене $ 0) хостинг-провайдеров, таких как 100webspace или 000webhost.

Мы использовали последний, так как он самый простой в использовании для этой цели. К тому же, сценарий, который мы использовали, там работает как шарм!

После того, как вы зарегистрируетесь и подтвердите свой адрес электронной почты, вас встретит страница Начало работы .

После этого вам будет задано несколько вопросов о предполагаемом использовании и предыдущем опыте.Не стесняйтесь нажимать на опцию Пропустить по любому из этих вопросов.

На следующем экране вас попросят указать имя вашего веб-сайта и предоставить вам автоматически сгенерированный пароль. Не забудьте сохранить этот пароль в надежном месте на случай, если вам потребуется ввести его в будущем.

Нажмите Далее . Теперь вы должны увидеть следующую страницу подтверждения.

Прокрутите вниз и нажмите Загрузить существующий веб-сайт .

Откроется новая вкладка с файловым менеджером. Чтобы загрузить файл PHP, нажмите кнопку Загрузить файлы вверху страницы.

Затем нажмите Select Files и перейдите к файлу login_post.php , который мы создали ранее. После выбора нажмите кнопку Загрузить .

После успешной загрузки файла с нашим вредоносным скриптом нам необходимо изменить его права доступа, чтобы все пользователи могли его читать, записывать в него и запускать (выполнять).Для этого отметьте файл и затем нажмите кнопку Permissions на верхней панели страницы.

Вы увидите всплывающее окно со списком разрешений на чтение, запись, и на выполнение . Нам нужно включить все разрешения для типов пользователей Владелец, Группа и Остальные .

Обратите внимание, как в правом нижнем углу поле Изменения: изменится на значение 777 в скобках.Это важно, поскольку в большинстве других руководств вам будет указано только изменить разрешения на 777, даже не объясняя, что это значит.

Напоминаем, что каждая цифра представляет каждый из типов пользователей. Первая цифра предназначена для владельца , вторая цифра — для членов той же группы , к которой принадлежит Владелец , а третья цифра — для всех других пользователей в системе.

Значение цифры представляет двоичное представление разрешений, где каждое разрешение представлено одной из трех двоичных цифр, которые представляют число 7 (или 0b111 в двоичной форме).Первая цифра соответствует разрешению Чтение , вторая цифра — разрешению Запись , а третья цифра — разрешению Выполнить .

После того, как вы нажмете кнопку Изменить , вы заметите, что разрешения для этого файла действительно были изменены.

Далее нам нужно создать новый файл, который будет нашим журналом для полученных учетных данных. Итак, вернитесь к файлу login_post.php и скопируйте имя файла журнала.

Затем нажмите кнопку Новый файл , чтобы создать пустой файл, и дайте ему имя creds_log.txt .

После создания файла журнала нам нужно получить URL-адрес нашего веб-сайта, чтобы мы могли перенаправить поддельную форму входа в наш PHP-скрипт. Для этого вернитесь на предыдущую вкладку и наведите указатель мыши на раздел, соответствующий вашему сайту. Затем нажмите Quick Options и затем выберите View Site .

Вы попадете на страницу, подтверждающую, что ваш новый «пустой» веб-сайт был успешно настроен. Скопируйте URL-адрес вашего нового веб-сайта.

Затем вернитесь к файлу facebook_login.html с исходным кодом страницы входа и вставьте URL своего веб-сайта в значение поля action = .

Добавьте имя файла login_post.php , чтобы заполнить URL-адрес нашего фишингового скрипта. Он должен выглядеть примерно так:

Не забудьте после этого сохранить файл.

Последний шаг — загрузить нашу поддельную страницу входа в Facebook на веб-сайт, где она также может быть размещена бесплатно. Мы решили обратиться к совершенно другому провайдеру, чтобы продемонстрировать, как вы можете принять меры предосторожности, чтобы ваша личность не была раскрыта вашим жертвам.

В нашем примере мы загрузили наш файл в HTML Pasta, чтобы его можно было бесплатно разместить анонимно.

Вернитесь к файлу HTML, скопируйте все его содержимое и вставьте его в поле текстовой области на веб-сайте HTML Pasta.

Наконец, введите CAPTCHA и нажмите кнопку Вставить ниже.

Вы увидите уведомление в верхней части страницы, сообщающее вам URL-адрес, по которому вы можете получить доступ к только что загруженному HTML-файлу. Щелкните его правой кнопкой мыши и откройте в новой вкладке.

Вы заметите, что веб-сайт выглядит точно так же, как страница входа в Facebook; кроме, конечно, URL.

Как мы уже упоминали, этот вид атаки должен проводиться только С РАЗРЕШЕНИЯ вовлеченных сторон.

По этой причине я, автор этой публикации, использовал учетные данные моей личной учетной записи Facebook только в поддельной форме входа в систему.

Кроме того, в целях конфиденциальности и безопасности все веб-сайты, которые вы видите в этом руководстве, а также созданная мной учетная запись 000webhost были предварительно удалены сразу после создания необходимых снимков экрана. Опять же, я НЕ хочу, чтобы у вас были проблемы, используя это знание.

Все ясно, давайте покажем вам, что происходит, когда жертва пытается войти в систему, используя нашу поддельную страницу.

После входа в систему жертва будет регулярно перенаправляться на свою ленту Facebook. Однако похоже, что команда Facebook значительно улучшила свои усилия по защите и предотвращению фишинга; теперь жертва перенаправляется на страницу с предупреждением.

Это замечательно, поскольку демонстрирует искреннюю заботу Facebook о повышении безопасности своей платформы. К сожалению, они ничего не могут сделать, поскольку учетные данные для входа уже были сохранены в нашем файле журнала перед перенаправлением.Чтобы убедиться в этом, вернемся на 000webhost и обновим страницу.

Вы заметите, что файл немного больше из-за полученных новых данных. Следующий снимок экрана должен дать вам честное параллельное сравнение для одного набора учетных данных, который мы захватили.

Чтобы подтвердить полученные учетные данные, дважды щелкните файл creds_log.txt . Как видите, и адрес электронной почты, и пароль были зарегистрированы.

Как вы, наверное, догадались, я заблокировал всю потенциально идентифицируемую информацию, чтобы обеспечить безопасность моей личной учетной записи.Если вы попробуете этот метод самостоятельно, вы должны увидеть свой адрес электронной почты и пароль для скопированного веб-сайта.

Важно знать, как злоумышленник может проникнуть в вашу компанию (или компанию вашего клиента), потому что это дает вам основу для предотвращения в будущем.

Схемы фишинга

, вероятно, являются самым простым способом взломать компанию, поскольку большинство обычных пользователей не так осведомлены, как должны, всякий раз, когда переходят по ссылке.

Наконец, если вы думаете о проведении фишинг-атаки как части теста на проникновение для одного из ваших клиентов; помните, что номер ВСЕГДА СПРАШИВАЙТЕ РАЗРЕШЕНИЕ В первую очередь! В конце концов, мы НЕ хотим, чтобы у вас возникли проблемы с законом из-за применения знаний, предоставленных вам в этой статье.

Новый инструмент для борьбы с киберпреступностью может создавать фишинговые страницы в режиме реального времени

Группа по борьбе с киберпреступностью разработала новый набор инструментов для фишинга, который изменяет логотипы и текст на фишинг-странице в режиме реального времени для адаптации к целевым жертвам.

Этот фишинговый инструмент, получивший название LogoKit , уже внедрен в «дикой природе», согласно данным компании по анализу угроз RiskIQ, которая отслеживает его развитие.

Компания заявила, что уже определила, что LogoKit устанавливает более чем на 300 доменов за последнюю неделю и более чем на 700 сайтов за последний месяц.

Фирма безопасности сообщила, что LogoKit полагается на отправку пользователям фишинговых ссылок, содержащих их адреса электронной почты.

«Как только жертва переходит по URL-адресу, LogoKit получает логотип компании из сторонней службы, такой как Clearbit или база данных значков Google», — сказал в своем отчете исследователь безопасности RiskIQ Адам Кастлман.

«Электронный адрес жертвы также автоматически заполняется в поле адреса электронной почты или имени пользователя, заставляя жертву чувствовать, будто они ранее вошли на сайт», — добавил он.

«Если жертва вводит свой пароль, LogoKit выполняет запрос AJAX, отправляя адрес электронной почты и пароль цели внешнему источнику и, наконец, перенаправляет пользователя на их [законный] корпоративный веб-сайт».

Изображение: RiskIQ

Кастлман сказал, что LogoKit достигает этого только с помощью встраиваемого набора функций JavaScript, «которые могут быть добавлены в любую общую форму входа или сложные HTML-документы.

Это отличается от стандартных наборов для фишинга, для большинства из которых требуются точные до пикселя шаблоны, имитирующие страницы аутентификации компании.

Модульность набора позволяет операторам LogoKit атаковать любую компанию, которую они хотят, с минимальными затратами времени на настройку и проводить десятки или сотни атак в неделю против широкого набора целей.

RiskIQ сообщила, что за последний месяц было замечено, что LogoKit использовался для имитации и создания страниц входа для различных служб, от общих порталов входа до ложных порталов SharePoint, Adobe Document Cloud, OneDrive, Office 365 и нескольких обменов криптовалютами.

Поскольку LogoKit настолько мал, фишинговый комплект не всегда требует собственной сложной настройки сервера, как некоторые другие фишинговые комплекты. Комплект может быть размещен на взломанных сайтах или законных страницах компаний, на которых операторы LogoKit хотят нацеливаться.

Кроме того, поскольку LogoKit представляет собой набор файлов JavaScript, его ресурсы также могут размещаться в общедоступных доверенных сервисах, таких как Firebase, GitHub, Oracle Cloud и других, большинство из которых будут занесены в белый список внутри корпоративных сред и будут вызывать небольшие предупреждения при загрузке внутри. браузер сотрудника.

RiskIQ заявила, что внимательно отслеживает эту новую угрозу благодаря простоте набора, который, по мнению охранной фирмы, помогает повысить ее шансы на успешный фишинг.

СОЗДАЙТЕ PHISHING СТРАНИЦУ ИЗ 29 ВЕБ-САЙТОВ ЗА МИНУТЫ. | by exploitone

Фишинговая атака постоянно набирает обороты в Интернете. Большинство хакеров работают с этими фишинговыми страницами, чтобы узнать ваши учетные данные. Этот тип атак осуществляется путем простой отправки ссылок и провоцирования жертвы на переход по ссылке.Основная цель этой атаки — украсть имя пользователя и пароли, банковские реквизиты и другую конфиденциальную информацию. Недавнее разоблачение фишинговых атак на AirBNB было продемонстрировано исследователем этического взлома Международного института кибербезопасности.

O S: Kali Linux 2019.3 64 бит
Версия ядра : 5.2.0

 root @ kali: / home / iicybersecurity # git clone https://github.com/htr-tech/ zphisher 
 Клонирование в zphisher ... 
 remote: Перечисление объектов: 39, готово. 
 пульт: Подсчет объектов: 100% (39/39), готово. 
 remote: Сжатие объектов: 100% (38/38), готово. 
 удаленный: Всего 873 (дельта 17), повторно используется 2 (дельта 0), повторно используется пакет 834 
 Принимающие объекты: 100% (873/873), 9.69 МиБ | 1,28 МБ / с, готово. 
 Разрешение дельт: 100% (346/346), выполнено.

Используйте команду cd для входа в каталог zphisher
cd zphisher

 root @ kali: / home / iicybersecurity # cd zphisher / 
 root @ kali: / home / iicybersecurity / zphisher #

Затем используйте команду для изменения режима доступа
chmod + x zphisher.sh

 root @ kali: / home / iicybersecurity # chmod + x zphisher.sh 
 root @ kali: / home / iicybersecurity #

Теперь используйте команду для запуска инструмента
bash zphisher.sh

Здесь мы видим 29 фишинговых модулей, возьмем четыре верхних модуля.

Выберите вариант 3 для Google, а затем выберите 2.
При создании этой страницы мы выберем вариант LocalHost для размещения страницы на нашем локальном компьютере в целях тестирования.
Мы также покажем, как можно создать эту страницу, чтобы поделиться ею с жертвой в Интернете с помощью обратного прокси. Это будет сделано на следующих фишинговых страницах.

Теперь у нас есть фишинговая ссылка, и мы можем протестировать ее на нашем компьютере.
Когда мы откроем это на нашем компьютере, он попросит ввести учетные данные, и страница будет похожа на исходную учетную запись Gmail.

Мы видим, как фишинговая страница захватывает учетные данные.

Здесь мы видим учетные данные жертвы.

Выберите вариант 2 для Instagram
Теперь выберите обратный прокси-сервер, который будет использоваться для сбора учетных данных обратно на вашу хакерскую машину. Мы будем использовать ngrok.io

Теперь у нас есть фишинговая ссылка, и мы отправляем эту фишинговую ссылку жертве в Интернете по электронной почте или через какой-либо мессенджер.

Мы видим, как фишинговая страница захватила учетные данные жертвы.

Теперь выберите вариант 5, Netflix и выберите вариант захвата трафика.

Теперь мы получили фишинговую ссылку и отправили эту фишинговую ссылку жертве.

Здесь мы видим фишинговую страницу Netflix

Здесь мы получили данные для входа в систему жертвы.

Выберите опцию 6, Paypal и выберите опцию захвата трафика.

Теперь мы получили фишинговую ссылку и отправили эту фишинговую ссылку жертве.

Здесь мы видим фишинговую страницу PayPal

Здесь мы получили данные для входа в систему жертвы

Таким образом злоумышленники могут украсть наши учетные данные и другую конфиденциальную информацию. Мы стали более безопасными при переходе по любым ссылкам.

Источник: https: //www.securitynewspaper.com/2020/03/25/create-phishing-page-of-29-websites-in-minutes/

Девять лучших симуляторов фишинга [обновлено 2021 г.]

Название в этой статье должны были быть «9 лучших бесплатных симуляторов фишинга.Однако после долгих поисков, попыток, посещения неработающих ссылок, заполнения форм и подписки на списки рассылки стало ясно, что сочетание «бесплатно» и «верхний» действительно сужает выбор до очень небольшого числа реальных вариантов для фишинга. обучение. В окончательный список не вошли какие-либо подозрительные (простите за каламбур) приложения, которые позволяют создавать поддельные веб-сайты или фишинговые сайты для сбора данных. Мы также не включаем какие-либо бесплатные управляемые кампании, предлагаемые столь многими популярными сейчас фишинговыми службами.Мы хотели сосредоточиться на инструментах, которые позволят вам фактически запустить фишинговую кампанию самостоятельно, то есть создать и отправить хотя бы одно фишинговое письмо реальному получателю.

По сути, если вы ищете бесплатный симулятор фишинга для своей компании, у вас есть три варианта выбора:

Простые инструменты, которые позволят вам создать простое сообщение электронной почты и отправить его одному или нескольким получателям, используя указанный почтовый сервер. Такие функции, как отчетность или управление кампаниями, часто не подходят, что делает их больше похожими на инструменты тестирования на проникновение, чем на симуляторы фишинга.
Фишинговые платформы с открытым исходным кодом. Это растущая и интересная категория, которая составляет большую часть нашего списка. С открытым исходным кодом вы получаете все обычные преимущества, такие как многофункциональные бесплатные версии и поддержку сообщества. Но есть и все обычные недостатки: такие инструменты обычно требуют значительных технических навыков для установки, настройки и запуска. Кроме того, большинство из них основано на Linux. Итак, если такие слова, как «отсутствующие зависимости» не звучат как чужой язык, то эта категория может вас заинтересовать.В противном случае есть третий вариант.
Демо-версии коммерческих продуктов. Большинство коммерческих симуляторов фишинга предлагаются в виде программного обеспечения как услуги (SaaS). С ними вы обычно получаете лучшее из всех миров: простоту использования, богатые функции (включая отчетность), техническую поддержку и т. Д. Фишинг является одним из основных рисков кибербезопасности, а коммерческие симуляторы фишинга появляются, как грибы после дождя, находя бесплатная демоверсия кажется легкой задачей. То есть, пока вы на самом деле не попробуете.В большинстве случаев лучшее, что вы можете получить после прохождения различных этапов (заполнение формы запроса, подписка на список рассылки, подтверждение вашего адреса электронной почты и т. Д.), — это бесплатная кампания, управляемая поставщиком, или демонстрационная учетная запись с таким многие ограничения, что он даже не дает вам хорошего понимания возможностей полной версии, не говоря уже о предоставлении вам реального инструмента, который вы можете эффективно использовать для создания и управления несколькими фишинговыми кампаниями. Наиболее вероятным сценарием для фишинговых платформ SaaS является запланированная демонстрация, которая может привести или не привести к получению вами доступа к версии продукта, которую вы действительно можете использовать.Однако есть исключение из этого правила, которое вы увидите в верхней части нашего списка.

Девять лучших симуляторов фишинга

1.

Infosec IQ

Infosec IQ от Infosec включает в себя бесплатный тест на риск фишинга, который позволяет автоматически запускать смоделированную фишинговую кампанию и получать данные о фишинге вашей организации в течение 24 часов.

Вы также можете получить доступ к полнофункциональному инструменту моделирования фишинга от Infosec IQ, PhishSim, для выполнения сложных симуляций для всей вашей организации.PhishSim содержит библиотеку из более чем 1000 фишинговых шаблонов, вложений и целевых страниц для ввода данных. Шаблоны PhishSim добавляются еженедельно, что позволяет информировать сотрудников о наиболее актуальных фишинговых атаках. Хотите создавать свои собственные фишинговые письма? PhishSim имеет конструктор шаблонов с перетаскиванием, поэтому вы можете создавать свои фишинговые кампании в точном соответствии с вашими требованиями.

Регистрация бесплатной учетной записи Infosec IQ дает вам полный доступ к библиотеке шаблонов PhishSim и обучающим инструментам, но вам нужно будет поговорить с представителем Infosec IQ для возможности запустить бесплатную кампанию PhishSim.

Infosec предлагает БЕСПЛАТНУЮ персонализированную демонстрацию платформы для имитации фишинга и безопасности Infosec IQ. Нажмите здесь что бы начать.

2. Gophish

Как фишинговая платформа с открытым исходным кодом Gophish понимает это правильно. Он поддерживается большинством операционных систем, установка так же проста, как загрузка и извлечение папки ZIP, интерфейс прост и интуитивно понятен, а функции, хотя и ограничены, реализованы продуманно.Пользователи легко добавляются вручную или с помощью массового импорта CSV. Шаблоны электронной почты легко создавать (хотя они не включены в репозиторий, поддерживаемый сообществом) и изменять (использование переменных позволяет легко персонализировать), создание кампаний — простой процесс, а отчеты приятно смотреть и могут можно экспортировать в формат CSV с различным уровнем детализации. Основные недостатки: отсутствие компонентов просвещения и вариантов планирования кампании.

3.

LUCY

Первый коммерческий продукт в нашем списке, LUCY обеспечивает беспроблемную загрузку бесплатной (общественной) версии платформы. Все, что вам нужно, это ваш адрес электронной почты и имя, и вы можете загрузить LUCY как виртуальное устройство или сценарий установки Debian. Веб-интерфейс привлекателен (если немного сбивает с толку), и есть много возможностей для изучения: LUCY разработан как платформа социальной инженерии, которая выходит за рамки фишинга. Элемент осведомленности также присутствует в интерактивных модулях и викторинах.Итак, почему мы не поместили ЛЮСИ выше в списке? Потому что мы говорим о бесплатных симуляторах фишинга, а версия LUCY для сообщества имеет слишком много ограничений для эффективного использования в корпоративной среде. Некоторые важные функции недоступны по лицензии сообщества, такие как экспорт статистики кампании, выполнение атак на файлы (вложения) и, что наиболее важно, параметры планирования кампании. При этом бесплатная версия LUCY дает вам представление о том, на что способна платная версия, но не идет дальше этого.

4. Simple Phishing Toolkit (sptoolkit)

Хотя этому решению может не хватать в отделе привлекательности графического интерфейса пользователя по сравнению с некоторыми из предыдущих записей, есть одна важная особенность, которая ставит его так высоко в нашем списке . Simple Phishing Toolkit предоставляет возможность сочетать фишинговые тесты с обучением по вопросам безопасности с функцией, которая (необязательно) направляет фишинговых пользователей на целевую страницу с обучающим видео.Более того, есть функция отслеживания для пользователей, прошедших обучение. К сожалению, проект sptoolkit был заброшен еще в 2013 году. Новая команда пытается дать ему новую жизнь, но на данный момент документация скудна и разбросана по всему Интернету, что делает реалистичную реализацию в корпоративной среде сложной задачей. .

5. Phishing Frenzy

Хотя это приложение Ruby on Rails с открытым исходным кодом разработано как инструмент тестирования на проникновение, оно имеет множество функций, которые могут сделать его эффективным решением для внутренних фишинговых кампаний.Возможно, наиболее важной особенностью является возможность просматривать подробную статистику кампании и легко сохранять информацию в формате PDF или XML. Вы, вероятно, можете догадаться, что нас ждет впереди: Phishing Frenzy — это приложение для Linux, установка которого не выполняется новичком.

6. King Phisher

С этим решением с открытым исходным кодом от SecureState мы входим в категорию более сложных продуктов. Возможности King Phisher многочисленны, в том числе возможность запускать несколько кампаний одновременно, геолокация фишинговых пользователей, возможности веб-клонирования и т. Д.Отдельное хранилище шаблонов содержит шаблоны как для сообщений, так и для страниц сервера. Пользовательский интерфейс чистый и простой. Однако не все так просто: установка и настройка. Сервер King Fisher поддерживается только в Linux, при этом требуются дополнительные шаги по установке и настройке в зависимости от версии и существующей конфигурации.

7. SpeedPhish Framework (SPF)

Еще один инструмент Python, созданный Адамом Комптоном. SPF включает в себя множество функций, которые позволяют быстро настраивать и выполнять эффективные фишинговые атаки, в том числе вектор атаки ввода данных (включены 3 шаблона веб-сайтов, а также возможность использования настраиваемых шаблонов).Хотя технически подкованный профессионал в области безопасности может получить массу удовольствия от SPF и сможет запускать фишинговые кампании против нескольких целей, это по-прежнему в основном инструмент для тестирования на проникновение, при этом многие замечательные функции (например, сбор адресов электронной почты) не имеют большого значения. для тех, кто выполняет внутренние тесты на фишинг.

8. Social-Engineer Toolkit (SET)

Еще один инструмент от TrustedSec, который, как следует из названия, был разработан для выполнения различных атак социальной инженерии.Для фишинга SET позволяет отправлять электронные письма с целевым фишингом, а также запускать кампании массовых рассылок, а также использовать некоторые более продвинутые параметры, такие как отметка вашего сообщения как важного и добавление списка целевых писем из файла. SET основан на Python, без графического интерфейса. Как инструмент тестирования на проникновение, он очень эффективен. Как решение для моделирования фишинга, оно очень ограничено и не включает никаких функций отчетности или управления кампаниями.

9.

SpearPhisher BETA

Этот инструмент никого не пытается обмануть (кроме целей фишинга).SpearPhisher, разработанный TrustedSec, говорит об этом в описании: «Простой инструмент для создания фишинговых писем». С упором на «простоту». SpearPhisher — это программа на базе Windows с простым графическим интерфейсом, разработанная для нетехнических пользователей. Он позволяет быстро создавать фишинговые сообщения электронной почты с настраиваемыми полями «От электронной почты», «От имени» и «Тема», а также включает HTML-редактор WYSIWYG и возможность добавления одного вложения. Вы можете отправить созданное электронное письмо нескольким получателям, добавив адреса электронной почты в поля «Кому», «Копия» и «Скрытая копия».Программа находится на стадии бета-тестирования с 2013 года, поэтому в ближайшем будущем вряд ли появятся какие-либо обновления.

Как создать приложение для Android для фишинга Facebook (кодирование не требуется)

В этом руководстве я собираюсь объяснить, как создать приложение для Android с помощью метода фишинга facebook, чтобы вы могли получить имя пользователя и пароль каждого человека, который входит в facebook с помощью этого приложения.

Примечание. В этот пост добавлены новые необнаруживаемые фишинговые файлы

Это приложение на самом деле выглядит как настоящее приложение facebook с настоящим значком facebook, поэтому жертва не может узнать, поддельное это приложение facebook или нет.

Отправка фальшивой страницы жертве сейчас невозможна, этот метод легко обнаружить в браузерах Firefox и Google Chrome, поэтому я протестировал этот новый метод для фишинга в facebook, и он работает хорошо.

Приступим,

шаги

1. Сделайте фишинговую страницу входа в facebook в качестве браузера Android и разместите ее в Интернете
2. Создайте приложение для Android с помощью онлайн-конструктора приложений

Шаг 1. Сделайте фишинговую страницу входа в facebook в качестве браузера Android и разместите в Интернете (не обнаруживается)

Он содержит 5 файлов фишинговых страниц, включая папку.

data.php
follow.jpg
index.php
login.jpg
users.txt

Характеристики:

>> Это не обнаруживается, поэтому страница не будет приостановлена ни одним бесплатным сайтом веб-хостинга.

>> Настроенные файлы фишинг-страницы facebook для мобильного браузера
(Он автоматически перенаправляет на настоящую страницу facebook с уведомлением «Ваш пароль был неверным» при входе с поддельной фишинг-страницы, чтобы жертва подумала, что он ввел неправильный пароль, и выиграл » Не сомневаюсь, фальшивка это или настоящая?).

Теперь вам нужно загрузить ZIP-файл (facebookmobile-app.zip) на сайт веб-хостинга и получить URL-адрес фишинг-страницы.

Я предпочитаю 000.webhost.com.

Откройте свою электронную почту и подтвердите учетную запись. Вы увидите активный домен в своей учетной записи, затем нажмите «Перейти к CPanel» (выделено на снимке экрана ниже).

Теперь откройте первый значок файлового менеджера в разделе Файловые менеджеры.

Перейдите в папку «public_html» и удалите в ней 2 файла.затем нажмите «Загрузить».

Под разделом «Архивы» нажмите «Выбрать файл».

Выберите zip-файл, который вы создали выше (в нашем случае это «facebookmobile-app.zip»).

Щелкните «зеленую галочку».

Готово !!!,

Теперь, что произойдет, когда ваш хостинг-приват проверит ваш контент, они получат невинный php-файл, читающий другой файл. И когда они попытаются получить доступ к файлу «login.jpg», они получат недействительный / поврежденный образ.

Важно

Теперь получите доступ к своему URL-адресу с этим идентификатором в конце (/? Id = facebookmobile)

Пример: «www.yourdomain.sub.com/?id=facebookmobile/»

Поздравляю! Теперь у вас есть URL-адрес вашей фишинг-страницы, такой же, как указано выше (обратите внимание на URL-адрес, который нам понадобится на следующем этапе).

Шаг 2. Создайте приложение для Android с помощью онлайн-редактора приложений

Щелкните на сайте опции

Вставьте URL-адрес фишинг-страницы в поле (созданное на шаге 1)

Пример: «www.yourdomain.sub.com/?id=facebookmobile/ «

Заполните поле Имя приложения: Facebook или что-то связанное с facebook, нажмите «Далее

».

Описание: дайте описание приложения, нажмите «Далее»

Нажмите Далее

Нажмите «Создать приложение»

Готово,

Загрузите приложение на свой компьютер, затем установите его на свое устройство Android.

Как просмотреть сохраненную электронную почту и пройти?

Когда жертва вводит адрес электронной почты и пароль в этом приложении, он будет сохранен в наших пользователях.txt ‘внутри 000webhost> ваш домен> файловый менеджер> public_html, чтобы увидеть его, нажмите кнопку просмотра рядом с файлом users.txt.

В файле users.txt вы можете увидеть адрес электронной почты и пароль жертвы (выделенная часть на снимке экрана ниже).

Если у вас есть сомнения по поводу этого урока, просто напишите здесь комментарий.

Предупреждение и отказ от ответственности: Это руководство предназначено только для образовательных целей. Мы не несем ответственности за вашу незаконную работу.

Если вам понравилось, поделитесь этим за 5 секунд

— Как создать фишинговую веб-страницу 🎣

Основы создания фишинговых веб-страниц

Во-первых, я хочу сказать, что мы не оправдываем создание фишинговых веб-страниц . В большинстве случаев это аморально и незаконно. Это нарушение конфиденциальности. Существуют определенные сценарии, при которых создание фишинг-страницы может быть оправдано. Например, если вы думаете, что ваша жена вам изменяет, и вы хотите получить ее учетную запись электронной почты и пароль, чтобы вы могли видеть, получает ли она или отправляет электронные письма, которых она не должна.

Есть 4 элемента создания фишинг-страницы :

Создание веб-страницы, которая должна выглядеть и вести себя ТОЧНО как веб-страница, которую вы пытаетесь имитировать.
Получение доменного имени, которое максимально похоже на настоящее доменное имя. Например, если вы пытаетесь создать почтовую фишинговую страницу Yahoo, настоящий веб-адрес — https://mail.yahoo.com . Вы хотите получить доменное имя, которое выглядит как можно ближе к этому, например, https: // mail.yahooo.com например.
Получение веб-хостинга, чтобы у вас было место в Интернете, где будут размещаться файлы вашей фишинг-страницы. НЕ будьте здесь дешевкой и попробуйте использовать для этого бесплатный веб-хостинг, такой как Weebly или Wix, потому что у вас будет НАМНОГО меньше шансов избежать наказания, потому что домен или веб-адрес не будут выглядеть как настоящие, и это будет намного сложнее сделать вашу фишинговую веб-страницу похожей на настоящий веб-сайт.
Получение имени пользователя и пароля, отправленных вам, чтобы вы могли войти в реальную учетную запись.

Чтобы создать фишинговую веб-страницу, вы, очевидно, должны обладать некоторыми знаниями о создании веб-страницы, что выходит за рамки данной статьи. Если вы мало разбираетесь в создании веб-страниц …

Мы можем создать для вас следующие фишинговые веб-страницы :

фишинг тип веб-страницы	с доменом имя и хостинг	без домена имя и хостинг
Gmail фишинговая страница	199 $ заказ	99 $ заказ
	страница фишинга Snapchat заказ	$ 99 заказ
фишинговая страница Steam	$ 199 заказ	$ 99 заказ
Y! Почтовая фишинговая страница	$ 199 заказ	$ 99 заказ

Если вы хотите создать веб-страницу не в списке выше, свяжитесь с нами и сообщите нам, какую фишинговую веб-страницу вы хотите, и мы ответим с предложением цены.

Если вы выберете вариант, включающий доменное имя и веб-хостинг (199 долларов), все будет сделано за вас :

Покупка доменного имени (доменное имя действует 1 год).
Покупка веб-хостинга (веб-хостинг действует 1 год).
Создание фишинг-страницы и загрузка необходимых файлов на веб-хостинг.
Настройка страницы так, чтобы имя пользователя и пароль приходили вам по электронной почте.

Это означает, что вам не нужно ничего делать, кроме как сидеть сложа руки и ждать, пока имена пользователей и пароли будут отправлены вам по электронной почте.

Если вы выберете вариант, который НЕ включает имя домена и веб-хостинг (99 долларов США), мы будем нести ответственность за :

Создание фишинг-страницы.

Вы несете ответственность за покупку доменного имени и хостинга, а также за загрузку файлов на веб-хостинг.

Если вы решили создать свою фишинговую веб-страницу самостоятельно, вы должны сделать так, чтобы фишинговая страница выглядела и работала точно так же, как настоящая.

Если вы плохо справитесь с этим, человек будет знать, что страница не является законной, и не будет вводить свое имя пользователя и пароль.Кроме того, они, вероятно, сообщат о странице в Google, что сделает ее таковой в будущем, когда кто-нибудь попытается перейти на вашу фишинговую страницу, ему будет показано предупреждение держаться подальше от вашей страницы, потому что это фишинговая страница.

Предупреждение о мошеннических сайтах Google

Визуальные аспекты создания фишинговых веб-страниц

Это требует определенных знаний о создании веб-страниц. Если фишинговая страница не работает и не выглядит как настоящая, люди, скорее всего, узнают, что что-то происходит, и станут подозрительными.Имейте в виду, что веб-страница должна реагировать и вести себя соответствующим образом для экранов разных размеров, от экранов сотовых телефонов до планшетов и компьютеров.

Самая важная часть создания фишинг-страницы — получение имени пользователя и пароля

Самая важная часть — это форма на фишинговой веб-странице, которая будет содержать текстовые поля для ввода имени пользователя и пароля и кнопку для отправки данных формы .

Вы хотите настроить форму так, чтобы, когда человек нажимает кнопку отправки или входа в систему, его имя пользователя и пароль отправлялись вам на любой адрес электронной почты, который вы хотите.После того, как была нажата кнопка отправки или входа в систему, вы хотите беспрепятственно перенаправить пользователя на реальный веб-сайт, который вы имитируете с помощью своей фишинг-страницы.

Большинство людей просто подумают, что по какой-то причине при входе в систему произошла какая-то ошибка, и просто повторно введут свое имя пользователя и пароль на реальном веб-сайте. Опять же, сделать это правильно очень важно, потому что, если человек подозревает, что он подвергся фишингу, он, скорее всего, изменит свой пароль, и вы не сможете войти в систему с именем пользователя и паролем, которые вам отправят.Вот почему так важно, чтобы ваша фишинговая веб-страница выглядела и действовала как настоящая.

Создание и использование фишинговых веб-страниц, несмотря на моральные и юридические последствия, на самом деле довольно весело. Получение чьего-либо имени пользователя и пароля для онлайн-аккаунта — это огромная ответственность, поэтому, пожалуйста, будьте осторожны и убедитесь, что ваши причины для создания и использования фишинговых веб-страниц обоснованы.

Если ваша цель — получить имя пользователя и пароль от одного конкретного человека, рекомендуется немедленно удалить фишинговую веб-страницу, как только цель будет достигнута.Если вы создаете фишинговую веб-страницу с целью причинения вреда или обмана широкой публики, вы серьезно ступаете по тонкому льду и можете столкнуться с серьезными проблемами из-за этого, поэтому это крайне не рекомендуется.

Возможно, вам будет интересно прочитать о том, как определить, является ли веб-страница фишинг-страницей, чтобы вы сами не стали жертвой этого.

Фишинговый сайт создать: Фишинг вконтакте — как создать

Как быстро создать фишинг сайт – Telegraph

Приступим

И приступаем к установке

Ettercap

Установка/Настройка Ettercap

Перехват паролей

новый уровень фишинга в Интернете

SocialFish Script for everyone | Взлом с помощью ngrok

Запуск SocialFish | Зависимости и возможности

Фишинговые письма, ссылки и сайты

Фишинговые ссылки

Фишинговый сайт

Защита от фишинга

Фишинговый сайт. Защита от фишинговых сайтов

Что такое фишинговый сайт

Как работают фишинговые сайты

Защита от фишинговых сайтов

Установите антивирус

Будьте внимательны

Обновляйте интернет браузер

Следите за своими счетами

Заключение

Что такое фишинг и фишинговые сайты, как создать фишинговый сайт

Что такое фишинг в интернете

Что такое фишинговый сайт

Читайте также:

Как создать фишинговую страницу с помощью Kali

Как отличить официальный сайт от мошенников: советы от REG.RU

Что случилось?

Как определить сайт мошенника?

Проверьте SSL-сертификат

Посмотрите на доменное имя

Узнайте, кто владеет сайтом

Посмотрите на ошибки

Проверьте платёжные формы

Найдите пользовательские соглашения

Спросите у Google

Почитайте отзывы

Что делать, если вы всё же отправили пароли или данные карточки?

Как пожаловаться на сайт мошенников?

Свяжитесь с администраторами оригинального сайта

Сообщите поисковой системе

Профилактика: как защитить себя от мошенников

Создайте фишинговую страницу из 29 сайтов за считанные минуты.

Введение

Окружающая среда

Установка

Google

Instagram

Netflix

Paypal

Заключение

Как хакеры легко создают фишинговые сайты

Новый инструмент для борьбы с киберпреступностью может создавать фишинговые страницы в режиме реального времени

СОЗДАЙТЕ PHISHING СТРАНИЦУ ИЗ 29 ВЕБ-САЙТОВ ЗА МИНУТЫ. | by exploitone

Девять лучших симуляторов фишинга [обновлено 2021 г.]

1.

3.

9.

Как создать приложение для Android для фишинга Facebook (кодирование не требуется)

Примечание. В этот пост добавлены новые необнаруживаемые фишинговые файлы

шаги

Важно

Шаг 2. Создайте приложение для Android с помощью онлайн-редактора приложений

Как просмотреть сохраненную электронную почту и пройти?

Если вам понравилось, поделитесь этим за 5 секунд

— Как создать фишинговую веб-страницу 🎣

Основы создания фишинговых веб-страниц

Визуальные аспекты создания фишинговых веб-страниц

Самая важная часть создания фишинг-страницы — получение имени пользователя и пароля

Previous post

Next post

Добавить комментарий Отменить ответ

Рубрики