Les chercheurs en sécurité de Trustwave ont publié un nouvel outil open source, utilisant la technologie de reconnaissance faciale, pour localiser des cibles sur de nombreux réseaux de médias sociaux à grande échelle. Surnommé Social Mapper, l’outil de reconnaissance faciale recherche automatiquement des cibles sur 8 plates-formes de médias sociaux, notamment Facebook, Instagram, Twitter, LinkedIn, Google+, le réseau social russe VKontakte et les chinois Weibo et Douban. Les créateurs de l’outil affirment qu’ils ont développé l’outil de collecte de renseignements Social Mapper principalement pour aider les chercheurs de sécurité et les forces de l’ordre à mener des attaques d’ingénierie sociale. Même si on peut déjà effectuer manuellement les recherches de noms et d’images, Social Mapper permet d’automatiser ces analyses beaucoup plus rapidement et «à grande échelle avec des centaines ou des milliers de personnes» à la fois. Le fait d’effectuer une collecte de renseignements en ligne est un processus chronophage, car on doit tenter de trouver la présence en ligne d’une personne sur divers sites de médias sociaux selon Trustwave dans un article détaillant l’outil. Social Mapper cherche la photo de plusieurs utilisateurs en même temps sur les principaux réseaux sociaux Social Mapper cherche la photo de plusieurs utilisateurs en même temps sur les principaux réseaux sociaux Et Trustwave s’est demandé : “Et si on pouvait l’automatiser et le déployer à grande échelle sur des centaines ou des milliers de personnes ?” En plus des noms, vous pouvez également fournir des photos à Social Mapper pour qu'il cherche des personnes correspondant sur les principaux réseaux sociaux En plus des noms, vous pouvez également fournir des photos à Social Mapper pour qu’il cherche des personnes correspondant sur les principaux réseaux sociaux Social Mapper fonctionne en passant par trois étapes: Étape 1 – L’outil crée une liste de cibles (constituée d’un nom et d’une image) en fonction de l’entrée que vous lui donnez. La liste peut être fournie via des liens dans un fichier CSV, des images dans un dossier ou via des personnes enregistrées dans une société sur LinkedIn. Étape 2 – Une fois que les cibles sont traitées, la deuxième étape de Social Mapperse déclenche, qui lance automatiquement une recherche sur les sites de médias sociaux pour les cibles en ligne. Les chercheurs suggèrent de lancer l’outil pendant la nuit avec une bonne connexion Internet, car la recherche pourrait prendre plus de 15 heures pour des listes de 1 000 personnes et elle utilise une quantité importante de bande passante. Étape 3 – Après la recherche, la troisième étape de Social Mapper commence à générer des rapports tels qu’une feuille de calcul avec des liens vers les pages de profil de la liste cible ou un rapport HTML plus visuel contenant également des photos permettant de vérifier et de vérifier rapidement les résultats. Mais qu’est-ce qui pourrait mal tourner ? Bien que ce résultat final soit parfait pour faciliter les campagnes d’hameçonnage hautement sophistiquées ou la collecte de renseignements, Trustwave a déclaré qu’il aidera les professionnels de la sécurité et les hackers éthiques en leur donnant les mêmes outils que les acteurs malveillants pour tester la sécurité de leurs clients. Mais l’outil étant désormais disponible en code source ouvert, toute personne, y compris les mauvais acteurs ou les agences de renseignement, peut réutiliser la technologie de reconnaissance faciale pour créer ses propres outils de surveillance afin de rechercher des données déjà collectées. Un rapport HTML affichant les résultats des utilisateurs Un rapport HTML affichant les résultats des utilisateurs La société a ensuite décrit certaines utilisations de Social Mapper, qui sont limitées “uniquement par votre imagination”. Une fois que vous avez le résultat final, vous pouvez : Créez de faux profils de médias sociaux sur des cibles “Amies”, puis envoyez-leur des liens vers des logiciels malveillants téléchargeables ou des pages Web de capture de données d’identification. Inciter les cibles à révéler ses adresses mail et ses numéros de téléphone avec des bons d’achat avec des possibilités de les piéger avec du phishing, du vishing ou du smishing. Créez des campagnes d’hameçonnage personnalisées pour chaque plateforme de média social, en vous assurant que la cible dispose d’un compte et rendez-les plus réalistes en incluant leur image de profil dans l’e-mail. Ensuite, capturez les mots de passe pour la réutilisation du mot de passe. Affichez les photos de la cible à la recherche de badges de carte d’accès des employés et familiarisez-vous avec l’intérieur des bâtiments. Eh bien, cela semble horrible, mais les chercheurs de Trustwave ont insisté sur l’utilisation de Social Mapper pour le hacking éthique. Trustwave a publié Social Mapper sur GitHub et le met gratuitement à la