conducting-spearphishing-simulation-campaign

スピアフィッシングシミュレーションキャンペーンの実施

法的通知： このスキルは、許可を得たセキュリティテストおよび教育目的に限り使用してください。所有していないシステム、またはテストの書面による許可を得ていないシステムに対する無許可の使用は違法であり、コンピューター詐欺に関する法律に違反する可能性があります。

概要

スピアフィッシングシミュレーションは、レッドチームが初期アクセスを獲得するために使用する、標的型のソーシャルエンジニアリング攻撃手法です。広範囲を対象とするフィッシングキャンペーンとは異なり、スピアフィッシングでは、OSINT から得た情報に基づいて、特定の個人を標的とした高度にパーソナライズされたメッセージを作成します。このスキルでは、口実の立案、ペイロードの作成、メールインフラストラクチャの設定、キャンペーンの実施、結果の追跡について説明します。

使用する場面

• スピアフィッシングシミュレーションキャンペーンを実施するセキュリティ評価を行う場合
• 関連するセキュリティイベントに対するインシデント対応手順に従う場合
• 計画的なセキュリティテストや監査を行う場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• レッドチームの概念とツールに関する知識
• 安全に実施するためのテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8+
• すべてのテスト活動に対する適切な許可

目的

• 特定の標的となる担当者に合わせた、説得力のある口実を立案する
• メールセキュリティ制御を回避する武器化されたペイロードを作成する
• 適切な SPF/DKIM/DMARC 設定でメール配信インフラストラクチャを構築する
• リアルタイムの追跡と指標を用いてフィッシングキャンペーンを実施する
• エンゲージメント報告とセキュリティ意識向上のために結果を文書化する

MITRE ATT&CK マッピング

• T1566.001 - フィッシング：スピアフィッシング添付ファイル
• T1566.002 - フィッシング：スピアフィッシングリンク
• T1566.003 - フィッシング：サービスを介したスピアフィッシング
• T1598.003 - 情報を狙ったフィッシング：スピアフィッシングリンク
• T1204.001 - ユーザーによる実行：悪意のあるリンク
• T1204.002 - ユーザーによる実行：悪意のあるファイル
• T1608.001 - 機能の準備：マルウェアのアップロード
• T1608.005 - 機能の準備：リンク先
• T1583.001 - インフラストラクチャの取得：ドメイン
• T1585.002 - アカウントの作成：メールアカウント

ワークフロー

フェーズ 1：口実の立案

1. 標的となる担当者のプロファイルに関する OSINT の調査結果を確認する
2. 現在の組織内イベント（合併、プロジェクト、新規採用者）を特定する
3. 口実のテーマを選ぶ（IT ヘルプデスク、人事福利厚生、ベンダーとの連絡、幹部からの依頼）
4. 適切な緊急性や権威を感じさせる要素を含むメールテンプレートを作成する
5. 標的組織のブランディングを模倣したランディングページを作成する

フェーズ 2：ペイロードの作成

1. 標的のセキュリティ制御に基づいてペイロードの種類を選ぶ：
   • メールゲートウェイの回避に HTML スマグリングを使用する
   • マクロ対応ドキュメント（マクロがブロックされていない場合）
   • LNK ペイロードを含む ISO/IMG ファイル
   • スクリプトを埋め込んだ OneNote ファイル
   • 認証情報を窃取するページに誘導する QR コード
2. 標的で使用されていることが判明しているセキュリティスタックに対してペイロードをテストする
3. ペイロードの難読化技術を実装する
4. C2 インフラストラクチャへのコールバックを設定する

フェーズ 3：インフラストラクチャの設定

1. 紛らわしい類似ドメインを登録する
2. ドメインを一定期間運用し、評判を構築する（最低 2 週間を推奨）
3. SPF、DKIM、DMARC レコードを設定する
4. GoPhish またはカスタムメールサーバーで SMTP リレーを設定する
5. SSL 証明書を使用して認証情報を窃取するページを展開する
6. トラッキングピクセルとクリック追跡を設定する

フェーズ 4：キャンペーンの実施

1. テストメールを送信して、配信と表示を確認する
2. 波状にキャンペーンを開始する（一斉送信を避ける）
3. メールの配信率と開封状況をリアルタイムで監視する
4. リンクのクリックと認証情報の送信を追跡する
5. フィッシングメールに反応したユーザーにペイロードを展開する
6. 報告用のスクリーンショットと証拠を取得する

フェーズ 5：キャンペーン後の分析

1. キャンペーンの指標（配信率、開封率、クリック率、認証情報取得率）を算出します
2. フィッシングを SOC に報告したユーザーを特定します
3. メールセキュリティ制御の回避について記録します
4. 成功した侵害を MITRE ATT&CK にマッピングします
5. エンゲージメントレポート用に調査結果をまとめます

ツールとリソース

ツール	目的	ライセンス
GoPhish	フィッシングキャンペーン管理	オープンソース
Evilginx2	MFA を回避するリアルタイムの認証情報収集	オープンソース
King Phisher	フィッシングキャンペーン用ツールキット	オープンソース
SET（Social Engineering Toolkit）	マルチベクトル型ソーシャルエンジニアリング	オープンソース
Modlishka	リバースプロキシ型フィッシング	オープンソース
CredSniper	認証情報収集フレームワーク	オープンソース
Fierce Phish	フィッシングフレームワーク	オープンソース

検証基準

• OSINT データを使用して、特定のターゲットに合わせた口実を用意している
• メールセキュリティ制御に対してペイロードをテストしている
• 適切なメール認証を設定してインフラストラクチャを構成している
• 配信とインタラクションの指標を使ってキャンペーンを追跡している
• エンゲージメントレポート用の証拠を収集している
• キャンペーン後にインフラストラクチャをクリーンアップしている