ReelPhish

Anleitung für ReelPhish:

Dieses Tool wurde zusammen mit einem FireEye-Blogbeitrag veröffentlicht. Der Blogbeitrag ist unter folgendem Link zu finden: https://www.fireeye.com/blog/threat-research/2018/02/reelphish-real-time-two-factor-phishing-tool.html

Installationsschritte

1. Die neueste Version von Python 2.7.x ist erforderlich.

2. Installieren Sie Selenium, eine erforderliche Abhängigkeit zum Ausführen der Browser-Treiber.

   • pip install -r requirements.txt

3. Laden Sie Browser-Treiber für alle Webbrowser herunter, die Sie verwenden möchten. Die Binärdateien sollten in diesem Stammverzeichnis mit folgendem Benennungsschema abgelegt werden.

   • Internet Explorer: www.seleniumhq.org/download/

     • Laden Sie den Internet Explorer Driver Server für 32-Bit-Windows-IE herunter. Entpacken Sie die Datei und benennen Sie die Binärdatei um in: IEDriver.exe.
     • Damit der Internet Explorer Driver funktioniert, stellen Sie sicher, dass der geschützte Modus deaktiviert ist. Unter IE11 (64-Bit-Windows) müssen Sie den Registrierungsschlüssel "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BFCACHE" erstellen. Erstellen Sie in diesem Schlüssel einen DWORD-Wert mit dem Namen iexplore.exe und setzen Sie den Wert auf 0.
     • Weitere Informationen zu den Anforderungen des Internet Explorers finden Sie auf www.github.com/SeleniumHQ/selenium/wiki/InternetExplorerDriver

   • Firefox: www.github.com/mozilla/geckodriver/releases/

     • Laden Sie die neueste Version des Firefox GeckoDriver für Windows 32 Bit herunter. Entpacken Sie die Datei und benennen Sie die Binärdatei um in: FFDriver.exe.
       • Unter Linux-Systemen laden Sie die Linux-Version des Firefox GeckoDriver herunter und benennen Sie die Binärdatei um in: FFDriver.bin. Die Linux-Unterstützung ist experimentell.
     • Der Gecko Driver hat besondere Anforderungen. Kopieren Sie FFDriver.exe nach geckodriver.exe und fügen Sie es Ihrer PATH-Variable hinzu. Fügen Sie außerdem firefox.exe zu Ihrer PATH-Variable hinzu.

   • Chrome: https://chromedriver.storage.googleapis.com/index.html?path=2.35/

     • Laden Sie die neueste Version des Google Chrome Driver für Windows 32 Bit herunter. Entpacken Sie die Datei und benennen Sie die Binärdatei um in: ChromeDriver.exe.
       • Unter Linux-Systemen laden Sie die Linux-Version des Chrome Web Driver herunter und benennen Sie die Binärdatei um in: ChromeDriver.bin. Die Linux-Unterstützung ist experimentell.

ReelPhish ausführen

ReelPhish besteht aus zwei Komponenten: dem Code zur Handhabung der Phishing-Website und diesem Skript. Die Phishing-Website kann nach Wunsch gestaltet werden. Beispielhafter PHP-Code wird unter /examplesitecode bereitgestellt. Der Beispielcode nimmt einen Benutzernamen und ein Passwort aus einer HTTP-POST-Anfrage entgegen und überträgt sie an das Phishing-Skript.

Das Phishing-Skript lauscht auf einem lokalen Port und wartet auf ein Paket mit Anmeldeinformationen. Sobald Anmeldeinformationen empfangen werden, öffnet das Phishing-Skript eine neue Webbrowser-Instanz und navigiert zur gewünschten URL (der eigentlichen Website, auf der Sie die Anmeldeinformationen eines Benutzers eingeben werden). Die Anmeldeinformationen werden vom Webbrowser übermittelt.

Die empfohlene Methode zur Handhabung der Kommunikation zwischen der Phishing-Website und diesem Skript ist die Verwendung eines Reverse-SSH-Tunnels. Aus diesem Grund sendet der beispielhafte PHP-Phishing-Site-Code Anmeldeinformationen an localhost:2135.

ReelPhish-Argumente

1. Sie müssen den Browser, den Sie verwenden möchten, mit dem Parameter --browser angeben. Unterstützte Browser sind Internet Explorer ("--browser IE"), Firefox ("--browser FF") und Chrome ("--browser Chrome"). Windows und Linux werden beide unterstützt. Chrome erfordert die wenigsten Einrichtungsschritte. Weitere Details finden Sie in den obigen Installationsanweisungen.
2. Sie müssen die URL angeben. Das Skript navigiert zu dieser URL und übermittelt in Ihrem Namen Anmeldeinformationen.
3. Andere optionale Parameter sind verfügbar.
   • Setzen Sie den Logging-Parameter auf debug (--logging debug) für eine ausführliche Ereignisprotokollierung
   • Setzen Sie den Submit-Parameter (--submit), um das Element anzupassen, das vom Browser "angeklickt" wird
   • Setzen Sie den Override-Parameter (--override), um fehlende Formularelemente zu ignorieren
   • Setzen Sie den numpages-Parameter (--numpages), um die Anzahl der Authentifizierungsseiten zu erhöhen (siehe Abschnitt unten)

Unterstützung für mehrseitige Authentifizierung

ReelPhish unterstützt mehrere Authentifizierungsseiten. In einigen Fällen kann beispielsweise auf einer zweiten Seite ein Zwei-Faktor-Authentifizierungscode angefordert werden. Um diese Funktion zu implementieren, stellen Sie sicher, dass --numpages auf die Anzahl der Authentifizierungsseiten gesetzt ist. Stellen Sie außerdem sicher, dass die Sitzungs-ID auf Ihrer Phishing-Website ordnungsgemäß verfolgt wird. Die Sitzungs-ID wird verwendet, um Benutzer zu verfolgen, während sie jeden Authentifizierungsschritt durchlaufen.

In einigen Fällen müssen Sie möglicherweise bestimmte Inhalte (wie einen Challenge-Code) von einer bestimmten Authentifizierungsseite extrahieren. Beispielhafter auskommentierter Code ist in ReelPhish.py enthalten, um eine Extraktionsoperation durchzuführen.