В рамках хакерской конференции Kiwicon эксперт в области информационной безопасности Мишель Орру (Michele Orru) представил инструмент для автоматизированного проведения фишинговых кампаний. PhishLulz предназначен для использования в тестах на проникновение и лучшего понимания слабых мест в защите компьютерных сетей компаний, пишет The Register.

Инструмент написан на языке Ruby, использует облачный хостинг Amazon EC2 для проведения фишинговых кампаний и сочетает в себе функциональность графического пользовательского интерфейса PhishingFrenzy и фреймворка BeEF (Browser Exploitation Framework - инструмент для тестирования на проникновение, ориентированный на web-браузеры).

PhishLulz включает собственный Центр сертификации, ряд дополнительных шаблонов для различных сценариев фишинговых атак и возможность автоматической регистрации доменов, которую разработчик пообещал расширить в будущих версиях инструмента.

PhishLulz предоставляет атакующим возможность легко организовывать эффективные фишинговые кампании и составлять вредоносные сообщения, которые должны заинтересовать цель.

Как только жертва откроет такое сообщение, инструмент немедленно уведомит об этом злоумышленника. PhishLulz также может внедрять эксплоиты и собирать информацию о пользователе, в том числе данные о версиях ОС, установленных браузеров и сведения об активных приложениях.

В ходе испытания инструмента Орру удалось обмануть 40% сотрудников одной из австралийских правительственных организаций (название не разглашается) и получить доступ к учетным данным корпоративной сети VPN всего за два дня.