Social Mapper: Neues Tool mit Gesichtserkennung spürt Nutzerprofile auf
Ein neues Opensource-Tool zur Gesichtserkennung kann Personen automatisiert auf verschiedenen Plattformen aufspüren. Das von Mitarbeitern der Sicherheitsfirma Trustwave entwickelte Programm richtet sich zwar an Penetrationstester, bietet aber auch Potenzial für Missbrauch.
Mit Social Mapper soll es Trustwave zufolge möglich sein, die Social-Media-Profile eines Nutzers oder einer Gruppe von Nutzern automatisch zu identifizieren. Möglich sei dies dank einer Gesichtserkennung, mit deren Hilfe Social Mapper Fotos auf den Nutzerprofilen auf LinkedIn Facebook, Twitter, Instagram und mehr miteinander abgleicht.
Das Programm erstellt dabei laut Trustwave eine Liste von Zielpersonen, die auf einem gegebenen Input basiert, also zum Beispiel Namen und Fotos. Dabei ist es unerheblich, ob die Daten nur als Weblink in einer CSV-Datei daherkommen oder Fotos in einem lokalen Ordner bereitstehen. Anschließend nutzt Social Mapper Mozillas Firefox-Browser, um sich in die unterstützten Plattformen einzuloggen und passende Profile herunterzuladen. Die Gesichtserkennung selbst findet dann als Abgleich zwischen Quellfoto und heruntergeladenem Material lokal statt. "Für einige wenige Personen ist diese Aufgabe einfach zu erledigen, aber im großen Umfang kann sie unglaublich zäh werden", heißt es bei Trustwave.
Noch relativ langsam
Weil Social Mapper die Daten über die Web-Oberfläche der jeweiligen Seite herunterlädt, anstatt die Plattform-eigene API zu verwenden, sei die Suche derzeit noch recht zeitaufwendig, schreibt Trustwave. Mit einem Datensatz von 1.000 Personen könne sie über 15 Stunden dauern und je nach gewählten Suchoptionen viel Bandbreite benötigen. Als Ergebnis liefere Social Mapper eine Tabelle bestätigter Social-Media-Profile.
Social Mapper richtet sich den Angaben zufolge primär an Penetrationstester und Red-Team-Mitarbeiter, die damit einfacher Listen von Zielpersonen zum Beispiel für Phishing-Tests erstellen können sollen. Das Programm soll das Sammeln und Korrelieren von Informationen über Zielpersonen automatisieren und so vereinfachen. "Weil die IT-Sicherheitsindustrie andauernd mit Mitarbeiterknappheit und sich rasant weiterentwickelnden Gegnern kämpft, ist es wichtig, dass Penetrationstester ihre Zeit so effizient wie möglich einsetzen", heißt es bei Trustwave.
Missbrauch möglich
Da der Quellcode von Social Mapper unter der GNU General Public License kostenfrei auf Github zur Verfügung steht, ist jedoch nicht auszuschließen, dass das Tool auch mit bösartigen Absichten eingesetzt wird. Lukrative Anwendungsszenarien liefern die Macher auf ihrer Webseite praktischerweise gleich mit: "Erzeuge eine maßgeschneiderte Phishing-Kampagne für jede Social-Media-Plattform, auf der die Zielperson ein Profil hat und mache diese realistischer, indem du das Profilbild der Zielperson in die E-Mail mit einbaust" oder "Erstelle gefälschte Social-Media-Profile auf den Plattformen, auf denen die Zielperson ist, befreunde sie und sende ihnen Malware."
Was sowohl für Penetrationstester als auch für böse Buben bisher viel händische Arbeit erforderte, lässt sich dank Social Mapper nun offenbar automatisiert erledigen.
