Teddy Rialet

Compétences acquises :

• Développement en PowerShell
• Développement en SQL (langage)
• Découverte de SQL Server
• Découverte de SQL Server Management Studio
• Création, gestion et lancement d'une campagne de phishing

Objectifs :

Les objectifs de ce projet étaient de sensibiliser les employés de Manitou Group aux phishings, et faire prendre conscience du risque que cela pouvait représenter pour l'entreprise.

Organisations du projet

Afin de mener à bien ce projet, je l'ai préparé en amont en réalisant un planning prévisionnel.
Ce planning prévisionnel m'a permis de m'organiser et de savoir ce que j'avais à faire.
Voici le planning prévisionnel que j'ai réalisé :

• 1 - Découverte de la plateforme d'envoi de la campagne
• 2 - Imaginer le scénario de la campagne
• 3 - Préparation du mail de phishing
• 4 - Vérifier la possibilité de récupérer les adresses mail des utilisateurs phishés en direct
• 5 - Importation des groupes d'utilisateurs sur la plateforme
• 6 - Développement du script PowerShell
• 7 - Contacte des membres acteurs de la campagne
• 8 - Lancement de la campagne

Étape N°1 : Découverte de la plateforme d'envoi de la campagne

Afin de lancer la campagne de phishing, nous avons utilisé une plateforme d'envoi de campagne de phishing.
Cette plateforme nous a permis de préparer un modèle de mail de phishing, de créer des groupes d'utilisateurs, et de programmer l'envoi de la campagne.
L'objectif d'utiliser cette plateforme était également de pouvoir analyser les résultats de la campagne.
Le but de cette étape était de me familiariser avec la plateforme et de comprendre son fonctionnement.

Étape N°2 : Imaginer le scénario de la campagne

Afin de réaliser la campagne de phishing, il fallait imaginer un scénario.
Cependant, le scénario devait avoir quelques conditions :

• Le scénario devait concerner l'ensemble du groupe Manitou. (donc à l'international)
• Le scénario devait si possible ne pas ressembler à un scénario de phishing déjà utilisé.
• Le scénario devait être faisable avec la plateforme de campagne.

Le fait que le groupe Manitou soit à l'international m'a incité à réaliser un scénario qui concerne l'ensemble du groupe.
La plateforme que nous avons utilisée pour effectuer la campagne ne nous permettait pas d'avoir une grande liberté dans la personnalisation du mail de phishing.
J'ai ainsi imaginé les scénarios suivants :

• Formulaire des Ressources Humaines à remplir
• Changement de plateforme de coffre-fort pour les fiches de paie
• Concours organisé par le groupe
• Invitation à un meeting
• Modification de mot de passe Google par quelqu'un
• Changement de mot de passe suite à une attaque phishing engendrant une fuite de donnée
• Arrivé d'un nouveau logiciel

Le scénario de l'attaque phishing engendrant une fuite de donnée a été retenu.

Étape N°3 : Préparation du mail de phishing

Afin de réaliser le mail de phishing, la plateforme met à disposition des modèles préconçus, ces derniers sont légèrement modifiables, nous permettant de mettre notre texte et notre logo.

Étape N°4 : Vérifier la possibilité de récupérer les adresses mail des utilisateurs phishés en direct

Afin de verrouiller le compte des utilisateurs phishés, nous souhaitions récupérer l'adresse mail des utilisateurs directement après qu'ils aient fournis leurs identifiants.
Nous avions pensé à l'utilisation d'une API qui nous aurait envoyé les adresses mail. Malheureusement la plateforme de campagne de phishing ne proposait pas ce genre d'outil.
Nous avons également pensé au passage de l'adresse par un lien url lors de la redirection de l'utilisateur sur la page de sensibilisation, cette fonctionnalité n'était pas disponible également.
La décision a donc été prise que le script suivrait la campagne, ainsi, à la fin de la campagne, nous exporterions la liste statistique et récupérerions les utilisateurs phishé.

Étape N°5 : Importation des groupes d'utilisateurs sur la plateforme

Afin de réaliser la campagne, j'ai été chargé d'importer les groupes d'utilisateurs sur la plateforme.
Pour cela, j'ai développé un script en PowerShell me permettant de récupérer tous les utilisateurs puis de les exporter sur des fichiers CSV correspondant à leur pays.
Par la suite, j'ai importé les fichiers CSV sur la plateforme.