Corporate OSINT für Social Engineering

Wenn Ihre Arbeit darin besteht, Organisationen vor Social-Engineering-Angriffen zu schützen, müssen Sie höchstwahrscheinlich auch Open-Source-Informationen über die Organisation und ihre Mitarbeiter erstellen. Ihre Aufgabe besteht darin, Schwachstellen oder risikoreiche Informationen zu finden, die von Angreifern wahrscheinlich für einen Social-Engineering-Angriff ausgenutzt werden. Zu diesen Informationen gehören: Identifizierung spezifischer Technologien, Schlüsselpersonen und ihrer Beziehungen zu internen oder externen Partnern (typischerweise bei Spear-Phishing-Angriffen verwendet), der internen Organisationskultur und -hierarchie, Unternehmensereignisse und mehr. Ihre Kundenorganisation muss wissen, welche der öffentlich zugänglichen Informationen ein Risiko darstellen, das entfernt oder verwaltet werden muss.

Nachfolgend finden Sie eine Liste von Ressourcen und Forschungsideen, die in der OSINT-Phase von Social-Engineering-Einsätzen, Schwachstellenbewertungen oder anderen Projekten verwendet werden können. Corporate OSINT für Social-Engineering-Angriffe dreht sich in der Regel um drei Hauptthemen: Mitarbeiterinformationen oder Schwachstellen (für bestimmte Personen, Teams oder ein breiteres Spektrum von Mitarbeitern), Unternehmensinformationen und die physische Umgebung. Die beiden letztgenannten überschneiden sich in manchen Fällen. Dieser Blog konzentriert sich auf die Durchführung von Unternehmensforschung für Simulationen von Social-Engineering-Angriffen oder Schwachstellenbewertungen.

Da es sich um ein Thema handelt, das sehr umfassend sein kann, erhebt die folgende Liste keinen Anspruch auf Vollständigkeit. Einige ergänzende Informationen finden Sie auch im Blog von Wondersmith_rae , hier zu finden: https://osintcurio.us/2020/03/17/corporate-reconnaissance/

Firmenstruktur

Je mehr Informationen über die interne Unternehmensstruktur und -hierarchie verfügbar sind, desto besser können Social Engineers ihren Ansatz gestalten. Beispielsweise sind konservative Organisationen mit starken Hierarchien anfälliger für Spear-Phishing- oder „Vishing“-Angriffe, bei denen es um Identitätsdiebstahl unter einem autoritären Vorwand geht. Das liegt daran, dass sie oft in einer „Tu und frag nicht“-Kultur agieren, die Social Engineers ausnutzen. Wir müssen in der Lage sein, festzustellen, ob ein Außenstehender über genügend Informationen verfügt, um diese auszunutzen. Informationen über die interne Struktur des Zielunternehmens finden sich häufig im Bereich „Über uns“ auf der Website des Unternehmens. Wenn Sie jedoch weitere Einzelheiten benötigen, werfen Sie einen Blick in die Jahresberichte oder Corporate-Governance-Berichte, insbesondere wenn Sie ein börsennotiertes Unternehmen untersuchen. Dafür,

"company name" AND "annual report“ OR "corporate governance" OR "organizational chart".

"organizational structure" site:company.com

Business Monitor bietet einige zusätzliche Vorteile, da es zusätzliche Informationen wie E-Mails, kommerziell registrierte Dokumente und Veröffentlichungen sowie eine schöne Netzwerkvisualisierung zwischen Personen und anderen juristischen Personen bereitstellt:

Eine globalere Option für Unternehmens- und Mitarbeiterinformationen ist Rocket Research . In Rocket Research können Sie nach Unternehmen oder bestimmten Personen suchen. Es bietet verschiedene Suchmöglichkeiten für Ihr Ziel (ob es sich um ein Unternehmen oder eine für ein Unternehmen arbeitende Person handelt, siehe Bild). Es werden der vollständige Name, die Position, potenzielle Social-Media-Konten, das Unternehmen, der Standort (besonders nützlich, wenn das Unternehmen Remote-Mitarbeiter hat) sowie E-Mail-Adressen (berufliche und manchmal private) und Telefonnummern zurückgegeben. Es gibt jedoch eine Einschränkung: Sie müssen ein Konto über eine geschäftliche E-Mail-Adresse erstellen. Die meisten Informationen, die Sie benötigen, finden Sie in der kostenlosen Version Ihres Kontos.

Eine zweite ähnliche Datenbank ist Apollo. Apollo ist eine Marketing- und Engagement-Plattform mit verschiedenen Tools, die hauptsächlich zur Lead-Generierung und zum Verkauf dienen. Es verfügt auch über eine ziemlich umfangreiche Datenbank mit Unternehmen und Personen. Apollo behauptet, dass ihre Datenbank nur „aus öffentlich zugänglichen Informationen im Internet“ stamme. Außerdem werden die Inhalte von Social-Media-Konten wie Twitter und LinkedIn gelöscht. Auch hier gibt es eine Einschränkung: Sie müssen sich mit einem Konto registrieren. Die meisten relevanten Informationen, die Sie für Ihre OSINT-Ziele benötigen, sind kostenlos. Für Firmensuchen stellt Apollo eine Liste mit Unternehmenstechnologien, Stellenausschreibungen, Mitarbeiterabteilungen (sehr nützlich für bestimmte Social-Engineering-Vorwände) und Mitarbeiterlisten bereit, die unter anderem Namen, Berufsbezeichnungen, Standorte und E-Mails offenlegen.

Im Jahr 2018 hinterließ Apollo eine Datenbank mit Milliarden von Datenpunkten für Unternehmen und Personen, die ohne Passwort öffentlich zugänglich gemacht wurden. Berichten zufolge werden diese im Dark Web verkauft.

Durch das Sammeln und Kombinieren der oben genannten Informationen sind Sie in der Lage, ausreichend detaillierte Diagramme der Organisationsstruktur, bestimmter Hierarchien und der daran beteiligten Personen zu erstellen.

Unternehmenskultur:

Es gibt nicht viele andere Ressourcen, die Websites mit Arbeitgeberbewertungen schlagen können, wenn es darum geht, die Unternehmenskultur zu ermitteln.

Die drei wichtigsten Websites für Mitarbeiterbewertungen sind:

· Glastür

· In der Tat

· Kununu

Alle drei beinhalten Bewertungen, die die Unternehmenskultur betreffen. Mein Favorit ist jedoch Kununu.

Kununu stellt auf einer separaten Seite weitere Details zur Unternehmenskultur und Mitarbeiterkommentare zur Verfügung. Die Kommentare werfen oft viel Licht auf die interne Dynamik zwischen Management und Mitarbeitern sowie auf spezifische Details zu internen Prozessen, die unter den Tisch fallen. Diese Informationen werden von Angreifern verwendet, die darauf abzielen, Informationen nachzuahmen oder in ihren Vorwand einzubeziehen, die angeblich nur „Insidern“ bekannt sind. Wie bereits erwähnt, muss eine Organisation wissen, welche Informationen online über sie verfügbar sind. Eine Organisation, von der bekannt ist, dass sie über eine traditionelle Struktur mit strengen Hierarchien verfügt, muss in der Lage sein, Social-Engineering-Angriffe zu bewältigen, die das Zögern eines Mitarbeiters ausnutzen, verdächtige Aktivitäten zu melden oder abzuschrecken, insbesondere wenn die Angreifer sich als Vorwand für die Geschäftsleitung ausgeben.

Darüber hinaus können Websites mit Arbeitgeberbewertungen Aufschluss darüber geben, welche Abteilungen am stärksten überlastet sind. Überforderte Mitarbeiter entscheiden sich oft dafür, nicht die erforderliche Sorgfaltspflicht zu erfüllen oder die Fakten nicht zu prüfen, wenn eine Anfrage eingeht, wodurch sie anfällig für Social Engineering werden.

Dienstleister:

Durch die Recherche der Partner und Dienstleister des Zielunternehmens können Sie herausfinden, ob wichtige Beziehungen, bestimmte Technologien oder vertrauliche Informationen offengelegt werden.

Es gibt keinen Grund (nicht einmal einen Marketinggrund), die Namen bestimmter Personen zu veröffentlichen, die an bestimmten Projekten oder Technologien für Ihr Zielunternehmen (oder ein anderes Unternehmen) arbeiten. Einige Partnerunternehmen oder Dienstleister entscheiden sich möglicherweise dafür, eine Fallstudie zu veröffentlichen, in der ihre Arbeit an der von Ihnen untersuchten Organisation beschrieben wird. Es ist nicht ungewöhnlich, zu viele Informationen über den internen Zustand des Zielunternehmens und die derzeit angebotenen Lösungen preiszugeben oder bestimmte Namen von Schlüsselpersonen im Projekt zu nennen.

Social-Engineering-Angriffe basieren häufig auf der Ausnutzung bereits bestehender Vertrauensbeziehungen. Indem ein Social Engineer sich als eine der in der Fallstudie erwähnten Personen ausgibt und die im Rest des Dokuments bereitgestellten Informationen nutzt, kann er ziemlich überzeugende Vorwände und (Spear-)Phishing- oder Vishing-Angriffe erfinden.

Even if the information found in these case studies is not utilized for a social engineering attack, they might be researched by an attacker who tries to identify the weakest link in the target company’s supply chain or one that wants to map out the technologies the target company is using in order to craft their attack approach better.

In a few of the cases I worked on, the partner company/service provider that published a case study on my target company (the client) turned out to have breached their contract by providing details on the target company’s weaknesses, old and current processes, technologies, and more. Confidential information that shouldn’t have been published was found in these documents.

To look for these documents, I use Boolean searches.

For example:

· targetcompany AND “case study” -site:targetcompany.com

Let your imagination run free with other keywords you might need for your searches.

To find service providers and partner companies in general, you may use a Boolean search such as:

· targetcompany AND reference OR customers -site:targetcompany

Refine or adjust the search terms according to your needs.

Closing

The above research areas and resources are used in both vulnerability assessments and social engineering simulation attacks. No matter which of the two you conduct, you will have to inform your client company about the available and potentially exploitable information that you have found. They will be faced with a few options: eliminating it, managing it and/or developing better security awareness for their employees. The above resources are not an exhaustive list. As mentioned at the start, we would normally also look at other corporate information, specific people, social media accounts, and physical security. But these are topics for other blog posts, another day. For now, I hope you picked up some good tips and will use them for good! Feel free to share your own findings and resources. Keep exploring, and stay curious!

Sind Sie daran interessiert, den zweiten Teil dieses Artikels mit weiteren Forschungsbereichen und Untersuchungsressourcen zu lesen, die Sie bei der Durchführung von OSINT für Social Engineering unterstützen? Vernetzen Sie sich gerne mit mir auf LinkedIn oder Twitter und lassen Sie es mich wissen!