Una introducción al mundo de Social-Engineering Toolkit (SET)

En el mundo de la Seguridad IT no se puede dejar nunca de lado la ingeniería social.
La ingeniería social continúa siendo uno de los métodos de ataque más utilizados debido al alto nivel de eficacia logrado engañando al usuario.

Como dijo alguien “la cadena es tan fuerte como el eslabón mas débil que la componga” y, en más ocasiones de las que debiera, este eslabón no tiene nombre de hardware o software, si no el de alguna persona detrás de la PC o dispositivo.
Aunque no es nuevo y muchos ya lo conocemos, vamos a adentrarnos un poco en el mundo de SET (Social-Engineering Toolkit).

Que es SET?

De la manera mas resumida posible:

SET es un completo framework dedicado a la ingeniería social , que nos permite automatizar tareas que van desde el de envío de SMS (mensajes de texto) falsos, con los que podemos suplantar el numero telefónico que envía el mensaje, a clonar cualquier pagina web y poner en marcha un servidor para hacer phishing en cuestión de segundos.

El kit de herramientas SET está especialmente diseñado para realizar ataques avanzados contra el elemento humano. Originalmente, este instrumento fue diseñado para ser publicado con el lanzamiento de http://www.social-engineer.org y rápidamente se ha convertido en una herramienta estándar en el arsenal de los pentesters. SET fue escrito por David Kennedy (ReL1K) con un montón de ayuda de la comunidad en la incorporación de los ataques nunca antes vistos en un juego de herramientas de explotación.

SET integra muchas de las funciones de Metasploit, es más, muchas de las funciones de SET las saca de Metasploit, por tanto no se concibe SET sin previamente tener instalado Metasploit.

Quizás lo que mas nos ha llamado la atención de SET es su eficacia y agilidad a la hora de implementar su gran variedad de ataques.

Bueno basta de introducción, vamos a echar un vistazo rápido a SET y algunas de sus funciones. No podemos olvidar que tratar SET a fondo nos podría llevar mas de un post y por otra parte, no les quiero sacar la posibilidad de investigar por su cuenta sobre este increíble framework de ReL1k y su equipo.

Continue reading

Pentest Box, “distro” con herramientas de pentesting para entornos Windows

Captura de pantalla de 2015-09-16 16:30:34

Cuando hablamos sobre auditar un sistema o sistemas, una de las primeras cosas que quizás hagamos es iniciar Kali Linux, pero no sólo de Linux vive el pentester, de hecho un buen pentester debe ir más allá del simple uso de ciertas herramientas o sistema operativo.

Si te enfrentas a una auditoria y todo de lo que dispones es de un sistema MS Windows, quizás esta “distro” para Windows llamada Pentest Box te pueda solucionar muchos problemas.

Pentest Box, es una “distro” que corre bajo Windows con una gran colección de herramientas de pentesting y que además puedes llevar en un pendrive o algún otro tipo de almacenamiento portátil.

Las herramientas que contiene esta distro es bastante amplia y la mayoría de ellas son muy conocidas. Incluso empaqueta una gran cantidad de comandos básicos bien conocidos en sistemas Linux.

Las herramientas están agrupadas en las siguientes categorías:

Les dejo también un demo en video de Pentest Box: