Social Engineering Toolkit

Définition

Le Social Engineering Toolkit (SET) est un framework open-source développé par TrustedSec et Dave Kennedy, spécialement conçu pour les tests d'ingénierie sociale dans les pentests. SET automatise la création de campagnes de phishing, de clones de sites web, de payloads malveillants masqués dans des formats courants, et d'autres vecteurs d'attaque basés sur la manipulation humaine plutôt que sur des vulnérabilités techniques. Les fonctionnalités de SET incluent : Spear-Phishing Attack Vector (envoi d'emails de spear phishing avec des pièces jointes malveillantes — PDF, Word avec macros, exécutables), Website Attack Vectors (clonage de sites web légitimes pour capturer les credentials, injection Java, BeEF integration), Infectious Media Generator (création d'images ISO ou de clés USB avec autorun et payload), Mass Mailer Attack (campagnes d'emails en masse), Arduino-Based Attack Vector (attaques via des microcontrôleurs Arduino simulant des claviers), SMS Spoofing Attack Vector (envoi de SMS spoofés), QRCode Generator Attack Vector, et Powershell Attack Vectors (injection de payloads via PowerShell). Le module de clonage de site web (Credential Harvester) est particulièrement utilisé dans les pentests : SET clone automatiquement n'importe quelle page de login (Microsoft 365, Google, Outlook, VPN), héberge une copie identique localement, et capture les credentials soumis, les redirigeant vers le vrai site pour que la victime ne se rende compte de rien. SET s'intègre avec Metasploit Framework pour livrer des sessions Meterpreter via les payloads créés. Il est inclus dans Kali Linux et est l'un des outils référencés dans l'examen OSCP pour les scénarios de phishing. Dans un contexte de pentest légitime, SET simule les techniques d'ingénierie sociale pour évaluer la sensibilisation des employés et tester les contrôles de sécurité humains et techniques.