Ein Toolkit zum Angriff auf Office365
o365-attack-toolkit ermöglicht es Betreibern, OAuth-Phishing-Angriffe durchzuführen.
Wir haben uns entschieden, vom alten Modell statischer Definitionen zu einer vollständig „interaktiven“ Arbeitsweise mit dem Konto in Echtzeit überzugehen.
Der Phishing-Endpunkt ist für die Bereitstellung der HTML-Datei zuständig, die den OAuth-Token-Phishing durchführt.
Anschließend wird der Token von den Backend-Diensten verwendet, um die definierten Angriffe durchzuführen.
Die Verwaltungsoberfläche kann genutzt werden, um die aus der Microsoft Graph API extrahierten Informationen zu überprüfen.
Benutzer-E-Mails können durch die Suche nach bestimmten Schlüsselwörtern über die Verwaltungsoberfläche abgerufen werden. Die alte Funktion zum Herunterladen von schlüsselwortbezogenen E-Mails wurde eingestellt.
Die neue Version dieses Tools ermöglicht es Ihnen, HTML/TXT-E-Mails mit Anhängen an eine bestimmte E-Mail-Adresse vom kompromittierten Benutzer aus zu senden. Diese Funktion ist äußerst nützlich, da das Senden einer Spear-Phishing-E-Mail vom Benutzer glaubwürdiger ist.
Die Microsoft Graph API kann verwendet werden, um auf Dateien in OneDrive, OneDrive for Business und SharePoint-Dokumentbibliotheken zuzugreifen. Benutzerdateien können interaktiv über die Verwaltungsoberfläche durchsucht und heruntergeladen werden. Die alte Funktion zum Herunterladen von schlüsselwortbezogenen Dateien wurde eingestellt.
Benutzerdokumente, die auf OneDrive/SharePoint gehostet werden, können mithilfe der Graph API geändert werden. In der ersten Version dieses Toolkits wurden die letzten 10 Dateien mit einem vordefinierten Makro hintertürartig versehen. Dies war bei Red-Team-Operationen riskant, weshalb die Nutzung eingeschränkt war. Aus diesem Grund haben wir eine manuelle Dateiersetzungsfunktion implementiert, um mehr Kontrolle über den Angriff zu haben.
cd %GOPATH%
git clone https://github.com/mdsecactivebreach/o365-attack-toolkit
cd o365-attack-toolkit
dep ensure
go build
Eine Beispielkonfiguration wie folgt:
[server]
host = 127.0.0.1
externalport = 30662
internalport = 8080
[oauth]
clientid = [REDACTED]
clientsecret = [REDACTED]
scope = "offline_access contacts.read user.read mail.read mail.send files.readWrite.all files.read files.read.all openid profile"
redirecturi = "http://localhost:30662/gettoken"
Bevor Sie dieses Toolkit verwenden, müssen Sie eine Anwendung im Azure-Portal erstellen. Gehen Sie zu Azure Active Directory -> App-Registrierungen -> Anwendung registrieren.
Nach dem Erstellen der Anwendung kopieren Sie die Anwendungs-ID in die Konfigurationsdatei.
Sie müssen einen Client-Geheimnis erstellen, wie im folgenden Bild gezeigt:
Aktualisieren Sie das Client-Geheimnis in der Konfigurationsdatei.
Die Verwaltungsoberfläche ermöglicht es dem Betreiber, mit den kompromittierten Benutzern zu interagieren.
