Uitgelichte track
Human Factor: diepgaand
Geen exploit nodig, alleen een overtuigend verhaal. Human Factor is waar je leert een systeem te breken door zijn mensen te breken.
Waarom het ertoe doet
De Twitter-hack van 2020, waarbij aanvallers medewerkers via telefoongesprekken social-engineerden om admintoegang te krijgen tot accounts van Barack Obama, Elon Musk en Joe Biden, was geen codekwetsbaarheid. Het was een mensenkwetsbaarheid. Geen firewall, geen WAF, geen SIEM stopte het. In 2018 werd het event-stream npm-package gecompromitteerd met een gerichte backdoor die miljoenen installaties bereikte voordat iemand het opmerkte. Vandaag introduceren AI-aangedreven e-mailassistenten een nieuw aanvalsoppervlak: prompt injection-payloads verstopt in gewoon ogende berichten die het model verleiden data te lekken die het was ontworpen te beschermen. Social engineering blijft de meest gebruikte initiele toegangsvector bij echte breaches juist omdat het elke technische controle omzeilt. Human Factor combineert OSINT, supply chain-analyse, document-weaponisatie en AI prompt injection in een enkele campagne, want zo werken moderne aanvallen daadwerkelijk. Begrijpen hoe aanvallers vertrouwen opbouwen en misbruiken over al deze oppervlakken is niet langer optioneel voor developers. Het is het verschil tussen een team dat code shipt en een team dat security shipt.
Wat je gaat oefenen
De missie is Banco Maximus, een doelwit dat gelooft dat zijn technische stack het ondoordringbaar maakt. Dat klopt niet. Jouw taak is een recruiter te worden, een collega, een stem die ze willen vertrouwen.
Je begint met open-source intelligence: de website van Banco Maximus scrapen voor de organisatiestructuur, namen van medewerkers extraheren uit PDF-metadata, en drie doelwitten profileren via GitHub, Mastodon, DeviantArt en Medium. Zodra je dossiers compleet zijn, stel je een outreach-campagne van drie berichten op die een AI-jury beoordeelt op psychologische effectiviteit, en kies je vervolgens welke medewerker je aanvalt.
Mike is het technische pad. Je analyseert een kwaadaardig npm-package verstopt in een software bill of materials, bouwt een overtuigende phishing-lokaas en oogst CI/CD-pipelinetokens. Aisha is het weaponisatiepad. Je bouwt een macro-enabled document dat URLDownloadToFile chaint met WinExec, stelt het pretext op dat haar overtuigt om macro's in te schakelen, en implementeert vervolgens hybride AES-256- en RSA-encryptie om de geexfiltreerde data te vergrendelen. Koen is de long game. Je maakt geo-tracking links verstopt achter Calendly-uitnodigingen, kruist IP-geolocatie met bekende kantoorlocaties, en stelt prompt injection op verstopt in 1px witte tekst die een AI-e-mailassistent kaapt om credentials te lekken.
Elk pad eindigt met een keuze die test hoe ver je bereid bent een operatie door te zetten. Drie paden, twee eindes elk, zes uitkomsten in totaal.
Challenges
Drie doelwitten. Drie paden. Zes eindes.
Bouw een volledige social engineering-campagne van OSINT tot uitvoering. Elk pad gebruikt andere echte technieken, en elk pad eindigt met een keuze die de uitkomst verandert.
Scrape de website van Banco Maximus voor de organisatiestructuur, extraheer namen van medewerkers uit PDF-metadata met tools zoals exiftool, en bouw dossiers op door GitHub-repos, Mastodon-posts, DeviantArt-portfolio's en Medium-artikelen te kruisen. Zo brengen echte red teams een doelwit in kaart voordat er een enkele e-mail is verstuurd.
Analyseer een software bill of materials, identificeer een kwaadaardig npm-package verstopt in de dependency-boom, en traceer de redirect-infrastructuur. Oogst vervolgens CI/CD job-tokens uit de pipeline van de gecompromitteerde developer. Geinspireerd door de supply chain-aanvallen op event-stream (2018) en ua-parser-js (2021) die miljoenen downloads troffen.
Bouw een macro-enabled document dat URLDownloadToFile en WinExec aanroept bij openen. Stel het social engineering-pretext op dat je doelwit overtuigt om macro's in te schakelen. Implementeer vervolgens hybride AES-256- en RSA-encryptie voor de geexfiltreerde data, hetzelfde key management-schema dat moderne ransomware-families zoals LockBit en Conti gebruiken.
Maak geo-tracking links verstopt achter Calendly-uitnodigingen met diensten zoals Grabify. Kruis IP-geolocatie met bekende kantoorlocaties. Stel vervolgens een prompt injection-payload op verstopt in 1px witte tekst in een zakelijke e-mail die een AI-e-mailassistent manipuleert om credentials te lekken naar een mailbox onder controle van de aanvaller. Dit is de bleeding edge van social engineering.
