Audit de résistance au phishing

Contexte & problème résolu

La majorité des compromissions d'entreprise débutent aujourd'hui par un email d'hameçonnage : ce n'est plus une faille logicielle qui cède en premier, mais l'utilisateur. Les périmètres techniques (pare-feu, TLS, correctifs) sont régulièrement contournés par le facteur humain. Mesurer et renforcer la résistance des personnes devient donc un objectif d'audit à part entière, au même titre que le durcissement des serveurs.

Tech Fox a été mandaté pour éprouver la posture de sécurité d'une organisation selon une approche de sécurité offensive : penser et agir comme un attaquant, dans un cadre strictement contrôlé et autorisé, afin d'identifier les vecteurs réellement exploitables avant qu'un adversaire ne les découvre. Toute la démarche est orientée vers un livrable défensif ; un diagnostic chiffré de l'exposition et un plan de remédiation que l'équipe d'administration peut appliquer immédiatement.

• Audit social : concevoir et exécuter des scénarios de phishing réalistes pour évaluer la vigilance humaine.
• Audit technique : dérouler les cinq phases canoniques d'une intrusion, de la reconnaissance à l'exfiltration.
• Automatisation : industrialiser les tâches répétitives de l'auditeur dans un framework Python réutilisable.
• Restitution : traduire les constats offensifs en contre-mesures priorisées et actionnables.

Cadre éthique & périmètre

L'intégralité des tests a été réalisée dans un cadre défensif autorisé, avec l'accord explicite et écrit des parties concernées, sur un réseau confiné et isolé et sur une cible technique volontairement vulnérable, dédiée à l'exercice. Aucune donnée réelle n'a été compromise ; les identifiants manipulés sont fictifs ou issus d'un banc d'essai.

Cette page décrit la méthodologie et les compétences mobilisées : elle ne constitue pas un mode opératoire reproductible et ne contient aucun code d'exploitation, aucun credential réel ni aucune donnée personnelle. Les noms, adresses email, adresses IP publiques et l'identité des cibles ont été anonymisés.

Architecture du framework d'audit

Tech Fox a développé un framework Python modulaire structuré en paquets fonctionnels, chacun correspondant à une phase du pentest : reconnaissance, scanning, énumération, analyse de vulnérabilités, exploitation et reporting. Un menu interactif en ligne de commande orchestre l'ensemble, de la découverte à la génération du rapport final.

Le cœur de l'architecture est un objet de mission central, un singleton jouant le rôle de mémoire partagée (adresse cible, ports ouverts, vulnérabilités confirmées, statut root, données exfiltrées). Chaque module enrichit cet objet unique : lorsque le scanner découvre un port, il le renseigne ; le module de reporting n'a plus qu'à le lire. Ce patron d'état partagé résout la limite classique des scripts de pentest isolés (l'absence de mémoire entre étapes) et permet un rapport de mission entièrement automatique.

• Reconnaissance : WHOIS (contacts, registrar), résolution DNS directe et inverse, générateur de Google Dorks.
• Scanning : ping sweep ICMP sur le sous-réseau, wrapper Nmap, cartographie du chemin réseau (traceroute).
• Énumération : banner grabbing sur sockets bruts pour confirmer les versions de services.
• Vulnérabilités : scanner par signatures (base locale) doublé d'un scanner automatique via Nmap NSE.
• Exploitation : brute force SSH (paramiko), backdoors, post-exploitation et preuve de persistance.
• Reporting : compilation automatique du rapport de mission depuis l'objet de mission.

Volet ingénierie sociale ; la campagne de phishing

Toute campagne crédible commence par une reconnaissance en sources ouvertes (OSINT), menée sans interaction directe pour ne déclencher aucune alerte. Les techniques employées : identification des cibles via l'annuaire public de l'organisation puis extraction de leur fonction et de leur contact, cartographie du portail visé et de son service d'authentification centralisée, Google Dorking pour repérer des documents ou interfaces indexés, interrogation WHOIS et DNS, et analyse de surface d'exposition via Shodan. Constat décisif : l'infrastructure technique exposée étant correctement sécurisée, le vecteur le plus viable était le facteur humain ; un arbitrage méthodologique qui a orienté toute la mission.

Deux scénarios complémentaires ont été explorés pour couvrir un spectre représentatif. Le premier vise un profil à haute valeur par spear phishing : clonage statique fidèle de la mire d'authentification, puis architecture serverless d'exfiltration détournant un service d'hébergement statique et sa fonctionnalité native de collecte de formulaires ; donc sans backend ni base de données. Un script d'interception capture silencieusement la saisie puis redirige la victime vers un faux tableau de bord simulant une connexion réussie. Tech Fox a même développé un leurre interactif complet (KPI, alertes, courbes, gestion de notes en CRUD) pour prolonger l'illusion et retarder tout changement de mot de passe.

Le second scénario combine spear phishing et appâtage : clone d'une mire grand public, backend qui journalise localement la saisie puis redirige immédiatement vers le vrai site (furtivité), exposition du service via un tunnel SSH et obfuscation du lien par un raccourcisseur d'URL. Sur le plan psychologique, l'email exploite méthodiquement des biais publics et documentés : curiosité, autorité, urgence et rareté, preuve sociale, engagement ; le tout délivré depuis un canal de confiance qui, au passage, satisfait les contrôles d'authentification d'emails (SPF/DKIM) et établit une présomption de légitimité.

Volet technique ; du scan à l'accès root

Sur le réseau de laboratoire, un ping sweep identifie la cible par élimination, puis le wrapper Nmap lance un scan agressif et exhaustif : analyse des 65 535 ports TCP (pour ne manquer aucune backdoor sur port élevé), interrogation des bannières pour déterminer les versions exactes, et cadence rapide. Le fingerprinting par bannières date le système avec certitude à une distribution obsolète, information capitale pour le choix des exploits.

L'analyse de vulnérabilités suit une approche progressive à trois niveaux : recherche documentaire d'associations version/CVE, scanner par signatures développé maison (rapide mais dépendant de la maintenance d'un dictionnaire local), puis industrialisation via le moteur de scripts Nmap qui délègue la détection à des vérifications dynamiques maintenues par la communauté et prouve l'exploitabilité. Cette double vérification (manuelle pour la vitesse, automatisée pour la certitude) illustre un arbitrage d'ingénierie logicielle appliqué à la sécurité.

L'exploitation démontre la compromission totale : le brute force SSH casse deux comptes à mots de passe triviaux, la tentative sur une backdoor FTP échoue en environnement virtualisé (ce qui déclenche un pivot maîtrisé) et l'exploitation d'une backdoor de configuration (shell root exposé sans authentification) donne les pleins pouvoirs, suivie de l'exfiltration du fichier de hashes système. Un module de post-exploitation crée enfin un marqueur de compromission visible, corrélé avant/après, prouvant l'atteinte à l'intégrité du serveur. Le rapport de mission est alors généré automatiquement.

Fondements théoriques (publics)

La mission s'appuie sur des standards et principes ouverts, cités pour démontrer la démarche sans livrer de recette.

• Kill chain du pentest : reconnaissance, scanning, énumération, analyse de vulnérabilités, exploitation, post-exploitation, reporting ; reflétée un-à-un dans l'architecture du framework.
• Authentification des emails (SPF / DKIM / DMARC) : un message émis depuis l'intérieur du domaine légitime satisfait ces contrôles, ce qui explique le contournement des filtres anti-spam.
• Principes d'influence de l'ingénierie sociale : autorité, rareté/urgence, preuve sociale, engagement, sympathie.
• Sémantique des options de scan : balayage complet des ports TCP, détection de version par bannière, gabarit de cadence agressif.
• Vulnérabilités publiques référencées (backdoor FTP historique, backdoor de configuration offrant un shell root) : connaissance publique, sans mode opératoire.
• Représentation binaire et transformation XOR symétrique côté reverse engineering (compétence complémentaire d'analyse d'un protocole propriétaire au niveau octet).

Résultats & plan de remédiation

Volet humain : contre la cible la plus difficile possible (un profil expert en sécurité, vigilance maximale), l'attaque a réussi à déclencher l'action ; clic sur le lien, navigation sur le leurre et saisie ; mais a été détectée au tout dernier instant grâce à l'inspection de l'URL (un domaine d'hébergement temporaire trahissant l'attaque malgré un cadenas HTTPS valide). Enseignement concret : le prétexte était crédible et l'infrastructure techniquement parfaite, mais un seul détail ; le domaine ; a suffi à sauver un utilisateur averti. Contre un profil moins sensibilisé, le secret réel aurait vraisemblablement été compromis.

Volet technique : compromission totale confirmée (accès root), exfiltration du fichier de hashes et persistance démontrée, le tout piloté et documenté automatiquement par le framework développé sur mesure.

La valeur du livrable réside dans sa restitution défensive : un plan de remédiation priorisé transforme la démonstration offensive en feuille de route.

• Correctifs critiques : neutraliser la backdoor exposée (arrêt du service et blocage du port au pare-feu), remplacer le service FTP piégé par une version maintenue et désactiver l'accès anonyme.
• Durcissement : proscrire les mots de passe triviaux et privilégier l'authentification SSH par clé publique ; arrêter les services obsolètes non chiffrés ; segréguer les interfaces d'administration sur un réseau de management.
• Anti-phishing : formation à la vérification systématique de l'URL avant toute saisie ; gestionnaires de mots de passe (remplissage lié au domaine, qui alerte sur une fausse page).
• Authentification multifacteur (MFA/2FA) : contre-mesure ultime ; un mot de passe volé reste inutilisable sans le second facteur.
• Gouvernance : rappeler que les changements d'infrastructure émanent de la DSI, et envisager la signature numérique (S/MIME) des emails sensibles.