Un programma genera phishing su Twitter: 60% di successo

Ago 05, 2016 Marco Schiaffino Approfondimenti, In evidenza, RSS, Social engineering, Tecnologia 0

Il sistema automatico è in grado di analizzare il comportamento del bersaglio sul social network e creare automaticamente i tweet più adatti per indurlo a fare click su un collegamento.

Stando alle statistiche, però, anche le campagne più “aggressive” di phishing hanno un tasso di successo piuttosto basso, che nel migliore dei casi raggiunge il 15%. Le cose cambiano quando si parla di spear phishing, ovvero dell’invio di messaggi “mirati” a una particolare persona.

In questo caso i truffatori confezionano messaggi che trattano di un tema che interessa la potenziale vittima, in modo da aumentare le probabilità di incuriosirlo e attirarlo nella trappola.

È una classica tecnica di ingegneria sociale, che richiede studio, una certa inventiva e parecchio tempo. Ma cosa succederebbe se qualcuno riuscisse ad automatizzare questo tipo di attacco?

È quello che hanno fatto John Seymour e Philip Tully, due ricercatori della società di sicurezza ZeroFox. I due hanno trovato il modo di realizzare campagne di spear phishing automatizzate con un livello di efficienza impressionante.

Lo strumento che lo permette si chiama SNAP_R e il suo funzionamento è stato illustrato nel corso del convegno di sicurezza Black Hat USA 2016 che si sta tenendo in questi giorni a Las Vegas.

Per mettere alla prova la loro creatura, Seymour e Tully hanno deciso di non utilizzare le classiche email, ma un social network come Twitter.

Un esempio di tweet generato da SNAP_R.

Twitter, d’altra parte, è uno strumento perfetto per il phishing. L’uso di link accorciati, infatti, rende più difficile verificare l’indirizzo su cui si sta per fare clic e, in buona sostanza, permette ai truffatori di attirare più facilmente la potenziale vittima su un sito compromesso.

SNAP_R utilizza un sistema di analisi dei dati che sfrutta i tweet postati dalla vittima e dagli utenti che segue o di cui ha ritwittato i messaggi. In questo modo è in grado di individuare temi e argomenti che lo possono interessare.

Sulla base di queste informazioni, genera poi i messaggi che hanno più probabilità di attirare l’attenzione del bersaglio. Non solo: per massimizzare le probabilità che la vittima faccia il fatidico clic, il programma analizza il ciclo di attività su Twitter per scegliere il momento migliore in cui inviare i tweet di phishing.

Stando a quanto riportato dai due ricercatori nel documento PDF che illustra il progetto, l’uso di SNAP-R garantirebbe un tasso di successo del 30-66%, decisamente superiore al 5-14% delle normali campagne di phishing automatizzato e in linea con il tasso di successo del 45% attribuito alle azioni di spear phishing “manuali”.

Seymour e Tully hanno reso disponibile una versione scaricabile di SNAP_R per “creare una maggiore consapevolezza e comprensione degli attacchi basati su spear phishing e tecniche di ingegneria sociale”.

Condividi l'articolo