theHarvester – ein mächtiges Werkzeug zur Informationsbeschaffung

Betrifft den Punkt „Auskundschaftung“ der Cyber Kill Chain.

theHarvester ist ein OpenSource Werkzeug zur Informationsbeschaffung welches, wie Shodan oder Google, auf öffentlich zugängliche Informationen zugreift. theHarvester ist Teil von Kali Linux, kann aber auch auf andere Linux Distributionen installiert werden. Der Source Code kann über Sourceforge geladen werden.

theHarvester kann verwendet werden um Informationen zu einer Organisation zu erhalten, welche man nur sehr schwer über manuelle Suchmaschinenanfragen bekommen kann.

Möchte man beispielsweise Informationen zu bsi.bund.de haben könnte man den folgenden Aufruf starten:

theHarvester -d bsi.bund.de -l 50 -b bing

Man möchte also die Suchmaschine bing benutzen und interessiert sich nur für die ersten 50 Suchtreffer für die Domain bsi.bund.de.

theHarvester gliedert dabei die Ergebnisse nach IP-Adressen, eMail-Adressen und WebDienste. Für das Beispiel sieht das konkret so aus:

Die aufgelisteten eMail-Adressen könnte man für Phishing-Attacken benutzen, während die aufgelisteten WebServer evtl. Einfallstore ins Unternehmensnetzwerk sein könnten.

Konkreteres Beispiel aus meiner Region

Je mehr Menschen Social Networks wie bspw. LinkedIn benutzen, desto mehr Informationen kann man über ein Unternehmen finden. Ein großes Unternehmen in Landsberg am Lech ist die RATIONAL Deutschland GmbH. Eine Suche mit

theHarvester -d rational-online.com.de -l 500 -b linkedin

liefert eine Liste mit mehr als 150 Einträgen zu Angestellten des Unternehmens, inkl. der Position im Unternehmen. Das sind quasi 150 verschiedene Phishing-Angriffsziele.

Dazu kommt noch, dass die Menschen sehr freizügig mit Informationen über sich sind, wenn es um Karriere oder Unternehmenspositionen geht. Klar, man will öffentlich zeigen „zu was man es gebracht hat“. So ist es ein leichtes einen „IT Manager“ oder einen „Regional Sales Manager“ oder auch nur einen einfachen Angestellten zu finden.

Was meinen Sie wie schnell und unbedarft ein Angestellter aus dem Einkauf reagiert, wenn er eine eMail des „Regional Sales Manager“ mit korrektem Namen erhält, in welcher er aufgefordert wird, eine Summe von 1.000 € an eine Kontonummer zu überweisen? Denken Sie der fragt beim „Regional Sales Manager“ nochmal nach bevor er den Geldtransfer macht?

weitere Fachbeiträge …

Informationssicherheit und Datenschutz – Beratung und Konzeption – Landsberg am Lech