caniphish/phishiousEin Open-Source-Toolkit zur Evaluierung von Secure Email Gateways (SEG), entwickelt für Red-Teamer.
Phishious ist ein Open-Source-Toolkit zur Bewertung von Secure Email Gateways (SEG), das für Red-Teamer entwickelt und vom Team bei CanIPhish entwickelt wurde. Phishious ermöglicht es, zu sehen, wie sich verschiedene Secure Email Gateway-Technologien verhalten, wenn sie mit Phishing-Material konfrontiert werden.
Wir scherzen nicht, wenn wir sagen, dass Phishious weltweit das erste Tool zur Bewertung von Secure Email Gateways ist. Derzeit gibt es kein anderes Tool (kostenlos oder kostenpflichtig), das Ihnen die Möglichkeit bietet, Ihren Phish gegen eine Reihe von Secure Email Gateways zu scannen. Das nächstgelegene Dienstprogramm ist VirusTotal, das sich jedoch speziell auf die Erkennung von Malware und nicht auf Spam/Phish-Erkennung konzentriert.
Durch die Verwendung von Phishious können Sie Ihr Phishing-Material kostenlos gegen die weltweit beliebtesten Secure Email Gateways testen. Dies ist eine unschätzbare Fähigkeit, da sie Ihnen einen Hinweis darauf gibt, wie erfolgreich Ihre Phishing-Kampagne sein könnte.
Phishious nutzt eine häufige Fehlkonfiguration aus, bei der viele Organisationen zu sensible Informationen in E-Mail-Bounce-Antworten und Unzustellbarkeitsberichten senden. Die sensiblen Informationen liegen typischerweise in Form von ursprünglichen, unveränderten eingehenden Nachrichten-Headern vor. Durch die Zuführung dieser Informationen in Phishious können die relevanten Informationen extrahiert und erkannt werden, wann eine E-Mail wahrscheinlich im Junk-Ordner eines Ziels landet oder vollständig vom SEG blockiert wird. Wenn wir dies über viele Ziele skalieren, können wir diese Informationen aggregieren, um einen ganzheitlichen Überblick darüber zu erhalten, wie sich verschiedene SEGs verhalten, wenn sie bestimmtes Phishing-Material erhalten.
Um E-Mail-Bounce-Angriffe und die daraus resultierenden Probleme besser zu verstehen, lesen Sie bitte den folgenden Blogbeitrag, sehen Sie sich diese BSides Canberra Präsentation an oder schauen Sie sich das untenstehende Einführungsvideo auf YouTube an.
Windows 10 Endpunkt, Windows Server 2012+ oder jedes Linux-System, das .NET Core 5.0 ausführen kann (siehe https://dotnet.microsoft.com/download/dotnet/5.0)
Phishious ist eine .NET Core 5.0 MVC Webanwendung. Dementsprechend kann es unter Windows mit IIS oder unter Linux mit Apache als Webserver ausgeführt werden. Der einfachste Weg, Phishious zu verwenden, ist jedoch, das Projekt zu klonen und es dann mit Ihrer bevorzugten IDE (z.B. Visual Studio, Visual Studio Code, Rider, etc.) zu debuggen.
Der automatisierte Scan fügt eine Orchestrierungsebene hinzu, bei der Phishious automatisch E-Mails sendet, Bounce-Antworten aufnimmt und E-Mail-Header mit nur wenigen Klicks analysiert. Die Hauptaufgabe für Sie als Benutzer besteht darin, anfällige Mail-Empfänger zu identifizieren.
Da Phishious darauf ausgelegt ist, öffentliche Infrastrukturen zu missbrauchen, müssen Sie eine Vielzahl von Zielen identifizieren, die unterschiedliche E-Mail-Sicherheitstechnologien verwenden (z.B. Ziel 1 verwendet Sophos PureMessage, Ziel 2 verwendet Cisco IronPort, usw.). Die Identifizierung anfälliger Mail-Empfänger kann durch manuelle Analyse (z.B. CanIPhish Supply Chain Analysis) oder programmatisch (z.B. CanIPhish Supply Chain API) erfolgen.
Referenz: Das begleitende Bild zeigt einen CanIPhish Supply Chain Scan, der eine anfällige 'Mail Receiver Supply Chain' zeigt.
Zieleinstellungen. Geben Sie die Zieldomänen getrennt durch Leerzeichen, Zeilen oder Kommas ein. Geben Sie anschließend eine nicht existierende Adresse in den lokalen Teil der Adresse ein.
SMTP-Einstellungen. Geben Sie die SMTP-Servereinstellungen ein, die Sie verwenden möchten.
Hinweis: Wenn Sie Gmail verwenden, verwenden Sie eine Wegwerf-Gmail-Adresse mit aktiviertem „Zugriff für weniger sichere Apps“. Diese Einstellung kann unter https://myaccount.google.com/lesssecureapps umgeschaltet werden. Richten Sie einen Filter ein, sodass eingehende E-Mails nie an Spam gesendet werden (konfiguriert unter Zahnrad-Symbol > Alle Einstellungen anzeigen > Filter und blockierte Adressen > Neuen Filter erstellen). Für Gmail sind Benutzername und Passwort schließlich Ihre Gmail-E-Mail-Adresse und Ihr Passwort.
Speicher-Scan-Einstellungen. Geben Sie den Speicherort ein, an dem die E-Mail-Bounce-Antworten landen. Derzeit werden sowohl Gmail als auch Amazon S3 als Speicherziele unterstützt.
Hinweis: Für die Verwendung von Amazon S3 müssen Sie wahrscheinlich eine Weiterleitungsfunktion einrichten, um Bounce-Antworten an diesen Speicherort weiterzuleiten (z.B. Amazon SES Mail Receiver mit S3 als Ziel).
E-Mail-Priming-Einstellungen. Geben Sie Ihre sendende E-Mail-Adresse, den Anzeigenamen sowie einen nicht bösartigen Betreff und E-Mail-Text ein. E-Mail-Priming wird verwendet, um das normale Verhalten der jeweiligen Secure Email Gateway-Technologien zu baselinieren, damit wir die Abweichung davon analysieren können, wenn wir unsere bösartige E-Mail zustellen.
Sobald alle Einstellungen vorgenommen wurden, klicken Sie auf 'Save Settings' und dann auf 'Prime Filters'. Warten Sie bis zu einer Minute, bis das Priming abgeschlossen ist.
Jetzt ist es an der Zeit, bösartige Inhalte an dieselben Ziele zu senden, die während des Primings per E-Mail kontaktiert wurden.
Schritt 1. Geben Sie Ihre sendende E-Mail-Adresse, den Anzeigenamen sowie einen bösartigen Betreff und E-Mail-Text ein.
Schritt 2. Klicken Sie auf 'Detonate Filters'. Warten Sie bis zu einer Minute, bis die Detonation abgeschlossen ist.
Analysieren Sie die Ergebnisse, um festzustellen, ob Ihr Phishing-Material blockiert wurde oder unentdeckt blieb. Klicken Sie auf 'View Detail', um Einblicke zu erhalten, welcher Text in den E-Mail-Headern analysiert wurde und wie dies die gesamte Phishious-Bewertung beeinflusst hat.
Referenz: Die begleitenden Bilder zeigen die Detailansicht von zwei verschiedenen SEG-Technologien. Diese Ansicht zeigt, wie Phishious E-Mail-Header analysiert hat, um zwei separate Ergebnisse aus einer einzigen Phishing-E-Mail zu liefern.
Da Phishious darauf ausgelegt ist, öffentliche Infrastrukturen zu missbrauchen, müssen Sie eine Vielzahl von Zielen identifizieren, die unterschiedliche E-Mail-Sicherheitstechnologien verwenden (z.B. Ziel 1 verwendet Sophos PureMessage, Ziel 2 verwendet Cisco IronPort, usw.). Die Identifizierung anfälliger Mail-Empfänger kann durch manuelle Analyse (z.B. CanIPhish Supply Chain Analysis) oder programmatisch (z.B. CanIPhish Supply Chain API) erfolgen.
Referenz: Das begleitende Bild zeigt einen CanIPhish Supply Chain Scan, der eine anfällige 'Mail Receiver Supply Chain' zeigt.
Schritt 1. Senden Sie nicht bösartige Inhalte per E-Mail an eine nicht existierende Adresse in verschiedenen Zieldomänen, in denen eine Bounce-Angriff-Schwachstelle besteht und ein bekanntes Secure Email Gateway (SEG) verwendet wird.
Hinweis: Derzeit wurden nur Amazon SES und Gmail für den Empfang von Bounce-Antworten getestet. Verwenden Sie nicht Exchange Online.
Referenz: Das begleitende Bild zeigt eine E-Mail (innerhalb von Gmail), die an nicht existierende Adressen bei 15 Zielen gesendet wurde. Jedes Ziel wurde eindeutig identifiziert und aufgrund seiner unterschiedlichen Secure Email Gateway-Technologien ausgewählt.
Schritt 2. Warten Sie 180 Sekunden. Laden Sie alle empfangenen Bounce-Antworten herunter und laden Sie sie dann zum Filter-Priming in Phishious hoch. Nach dem Priming sehen Sie den Status aller identifizierten Secure Email Gateway-Technologien. Für die Filter-Detonation (Phase 3) werden nur diese Technologien angegriffen.
Referenz: Die begleitenden Bilder zeigen das Hochladen der E-Mail-Bounce-Antworten in Phishious und dann das beobachtete Ergebnis des Filter-Primings.
Schritt 1. Senden Sie bösartige Inhalte per E-Mail an eine nicht existierende Adresse in denselben Zieldomänen, die in Phase 2 per E-Mail kontaktiert wurden.
Hinweis: Derzeit wurden nur Amazon SES und Gmail für den Empfang von Bounce-Antworten getestet. Verwenden Sie nicht Exchange Online.
Referenz: Das begleitende Bild zeigt eine E-Mail (innerhalb von Gmail), die an dieselben nicht existierenden Adressen gesendet wurde wie in Phase 2. Jedes Ziel wurde eindeutig identifiziert und aufgrund seiner unterschiedlichen Secure Email Gateway-Technologien ausgewählt.
Schritt 2. Warten Sie 180 Sekunden. Laden Sie alle empfangenen Bounce-Antworten herunter und laden Sie sie dann zur Filter-Detonation in Phishious hoch. Nach der Detonation sehen Sie den Status aller identifizierten Secure Email Gateway-Technologien und ob der Phish blockiert wurde oder unentdeckt blieb.
Referenz: Die begleitenden Bilder zeigen das Hochladen der E-Mail-Bounce-Antworten in Phishious und dann das beobachtete Ergebnis der Filter-Detonation.
Analysieren Sie die Ergebnisse, um festzustellen, ob Ihr Phishing-Material blockiert wurde oder unentdeckt blieb. Klicken Sie auf 'View Detail', um Einblicke zu erhalten, welcher Text in den E-Mail-Headern analysiert wurde und wie dies die gesamte Phishious-Bewertung beeinflusst hat.
Referenz: Die begleitenden Bilder zeigen die Detailansicht von zwei verschiedenen SEG-Technologien. Diese Ansicht zeigt, wie Phishious E-Mail-Header analysiert hat, um zwei separate Ergebnisse aus einer einzigen Phishing-E-Mail zu liefern.
Die Dokumentation befindet sich stets in Arbeit und ist auf der CanIPhish Website oder hier auf GitHub zu finden. Fehlt etwas? Lassen Sie es uns wissen, indem Sie ein Issue erstellen! Interessiert daran, wie Phishing-E-Mails aussehen und sich anfühlen? Werfen Sie einen Blick auf unseren interaktiven Phishing-E-Mail-Simulator.
Einen Fehler gefunden? Möchten Sie weitere Funktionen? Fehlt etwas in der Dokumentation? Lassen Sie es uns wissen! Zögern Sie nicht, ein Issue zu erstellen, und wir kümmern uns sofort darum.
Phishious - Open-Source Secure Email Gateway Evaluation Toolkit
The MIT License (MIT)
Copyright (c) 2021 - 2021 CanIPhish Pty Ltd
Permission is hereby granted, free of charge, to any person obtaining a copy
of this software ("Phishious Community Edition") and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:
The above copyright notice and this permission notice shall be included in
all copies or substantial portions of the Software.
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN
THE SOFTWARE.
Dieses Tool sollte nur auf Anwendungen/Netzwerken verwendet werden, für die Sie die Berechtigung haben. Jeglicher Missbrauch oder verursachte Schäden liegen in der alleinigen Verantwortung des Benutzers.