La sensibilisation aux cyberattaques est cruciale pour protéger une organisation.
Les failles humaines peuvent conduire à des brèches de sécurité importantes, compromettant des données sensibles.
L’article présente Gophish, un outil pour créer des campagnes de phishing, afin de former efficacement vos collaborateurs.
Acquérez les compétences clés pour défendre votre organisation contre les cybermenaces.
Objectifs d'une campagne de phishing
Une campagne de phishing est le meilleur moyen de sensibiliser ses collaborateurs pour les protéger contre les futures attaques en identifiant les maillons faibles de l’organisation, c’est-à-dire les individus moins attentifs et sensibles. Sensibiliser concrètement permet également de protéger les surfaces d’attaque.
Configurer Gophish pour le phishing
Gophish est un outil qui vous permet de créer et de lancer des campagnes de phishing avec des modèles pixel-parfait, un suivi des ouvertures d’e-mails et des résultats en temps réel.
Nous allons utiliser une machine Ubuntu pour installer Gophish. Vous pouvez déployer cette machine sur n’importe quel VPS de votre choix. Nous allons nommer la machine GophishAlphorm , puis choisir un nom d’utilisateur et un mot de passe pour accéder à notre machine via SSH.
Ensuite, nous cliquons sur » créer « .
Nous allons accéder à nos ressources et récupérer l’adresse IP.
Voici l’adresse IP
Nous allons utiliser l’outil MobaXterm pour créer une nouvelle session SSH. Nous allons simplement cliquer sur » Session » et choisir » SSH « .
Nous allons saisir l’adresse IP, le nom d’utilisateur, et nous aurons également la possibilité d’ajouter ou de modifier le mot de passe si nécessaire.
Comme vous voyez nous sommes maintenant connectés à la machine Ubuntu via SSH.
Nous allons commencer par mettre à jour les paquets en utilisant la commande suivante sudo apt update
Nous allons maintenant installer les dépendances et l’outil Gophish . Vous pouvez trouver l’outil sur GitHub en suivant le lien de référence. Copiez le lien de la version Linux et utilisez la commande wget sur votre machine pour récupérer le fichier nécessaire.
Nous allons extraire mon fichier en utilisant la commande unzip . Pour installer l’outil, nous tapons la commande » apt install unzip »
Après cela, nous saisissons la commande » unzip ‘le nom du fichier’
Nous allons commencer par modifier le fichier de configuration pour définir l’URL d’administration afin qu’elle puisse écouter sur toutes les interfaces réseau. Pour ce faire, nous utiliserons la commande » vi gophish « .
Nous allons également donner les permissions d’exécution au fichier en utilisant la commande » chmod +x gophish « .
Nous allons ouvrir le port qui nous intéresse en accédant à Microsoft Azure, puis en allant dans les paramètres réseau pour ajouter une règle de port d’entrée. Ensuite, nous allons cliquer sur » Ajouter » pour finaliser la configuration
En revenant sur MobaXterm , nous allons essayer d’exécuter Gophish en utilisant la commande » ./gophish »
On peut voir que l’exécution s’est bien déroulée. Maintenant, nous pouvons voir l’adresse d’administration.
Sur Microsoft Azure , accéder à cette adresse IP publique et connecter à l’interface de connexion de Gophish .
Pour récupérer le mot de passe, nous revenons sur MobaXterm et consultons l’interface de gestion. Ensuite, nous pouvons simplement faire un copier-coller pour l’obtenir
Nous tapons le nom d’utilisateur ‘admin’ et, dans le champ de mot de passe, nous collons le mot de passe que nous avons copié auparavant.
Nous allons créer un profil d’envoi pour pouvoir envoyer des e-mails de phishing. Nous allons nous diriger vers l’onglet » Sending » et commencer à remplir les informations en fonction du serveur SMTP disponible. Nous utiliserons un serveur OVH, puis nous cliquerons sur » Send Test Email »
Nous allons envoyer le test à une adresse Gmail spécifique, puis cliquer sur » Envoyer »
Si tout se passe bien, vous devriez recevoir un email contenant toutes les informations du mail, comme illustré ci-dessus.
Maintenant, On va accéder à la page sur laquelle l’utilisateur va atterrir en cliquant sur » Landing Page « .
Maintenant, nous allons cloner une page d’atterrissage qui comporte un formulaire automatisé de la CIC Bank
Nous allons choisir l’URL et cliquer sur » Importer le site »
En choisissant le lien de redirection, dans ce cas, nous allons choisir le site Alphorm, puis cliquer sur « Enregistrer la page d’atterrissage ».
Maintenant il reste juste à choisir le modèle de la page d’atterrissage. Nous allons utiliser le modèle de la CIC Bank. De plus, on peut importer un modèle d’email si nécessaire, avec un sujet, et utiliser des modèles de mail existants disponibles dans Gophish ou sur internet.
On peut choisir n’importe quel modèle, On va prendre celui qui parle du COVID, puis je le récupère en cliquant sur » Save model »
Nous allons créer un groupe que nous allons nommer » Entreprise 1 » en accédant à » Nouveau groupe « . De plus, nous pouvons également importer des utilisateurs sans format CSV en cliquant sur » Buk » puis en cliquant sur » Enregistrer les modifications »
Maintenant on peut commencer notre campaign en choisissant le modèle CIC.
Enfin nous allons accéder à un magnifique tableau de bord qui illustre les emails ouverts, les emails envoyés et les clics sur les liens.
Formez-vous gratuitement avec Alphorm !
Maîtrisez les compétences clés en IT grâce à nos formations gratuites et accélérez votre carrière dès aujourd'hui.
FAQ
Comment une campagne de phishing peut-elle sensibiliser les employés?
Qu'est-ce que Gophish et comment l'utilise-t-on?
Quels sont les avantages d'utiliser Gophish pour une campagne de phishing?
Comment configurer une machine Ubuntu pour exécuter Gophish?
Comment tester l'efficacité d'une campagne de phishing?
Conclusion
En utilisant Gophish pour vos campagnes de phishing, vous pouvez améliorer considérablement la sensibilisation de vos collaborateurs à la sécurité. Quel autre outil utilisez-vous pour renforcer la sécurité de votre organisation?
