The Harvester – Avoir une liste d’email

Obtenir des informations sur les mails des employées d’une entreprise peut-être un vecteur d’attaque très intéressant. Cette méthode est considéré comme de la reconnaissance passive. En effet, on ne contacte pas directement la cible, on utilise les moteurs de recherche afin d’obtenir une liste d’adresse mail.

Pour ce fait, on va utiliser theHarvester (https://github.com/laramies/theHarvester). Une fois télécharger, il vous suffit de vous placez dans le fichier et d’exécuter :

python theHarvester.py

Vous obtiendrez toutes les commandes disponibles. Maintenant, faisons un exemple :

Nous sommes un expert en sécurité chez Microsoft et nous aimerions avoir une liste de mail des utilisateur. Nous allons donc exécuter la commande suivante :

python theHarvester.py -d microsoft.com -l 500 -b google

Explication de la commande : ici, nous allons chercher des mails qui ont microsoft.com comme domaine (par exemple : admin@microsoft.com). Nous limitons cette recherche à 500 résultat. Enfin, on dit que notre source sera le moteur de recherche google. On pourrai aussi mettre comme paramètre l’option ‘-all’ qui nous aurait permis de rechercher sur l’ensemble des moteurs de recherche disponible pour cette application.

Une fois avec cette liste de mail, vous allez me demander : Qu’est ce que je peux faire de toutes ces adresses mails ?

Vous pouvez dans un premier temps vous renseigner sur le propriétaire de l’adresse mail en question. Vous pouvez ainsi récolter des informations personnelles sur lui, et peut être en faire un vecteur d’attaque. Par exemple, vous pouvez faire du social ingénierie et par la suite, vous pouvez lui envoyer une pièce jointe infecter.

Avec cette liste de mail, vous pouvez aussi en générer une wordlist (un dictionnaire), que vous allez utiliser pour brute force un accès par exemple. Les possibilités sont vastes.

Comment se protéger ?

Éviter de laisser traîner vos adresses mails n’importe où ! Cela n’est malheureusement pas possible dans certain cas. Cependant, on le dit souvent mais c’est bien de le rappeler, si vous avez des messages bizarres dans votre messagerie n’y répondez pas et ne les lisez pas.