octoberfest7/teamsphisherPhishing-Nachrichten und -Anhänge an Microsoft Teams-Benutzer senden
...
:-++++++=-.
.=+++++++++++-
.++++++++++++++= :------: :-:--.
:+++++++++++++++. .---------- #= .-+.
:+++++++++++++++. -----------: :#= :#.
:--------------------------=++++++++- .------------ .=+ ++
----------------------------+++++*+-. :+=-----===: -+-.+:
:---------------------------++++=-. .=+++++=-. .=+:.
:------=%%%%%%%%%%%%--------:... .:::.. -*=-:
:------=****#@@#****--------=++++++++++++++-----------. -#++-
:----------:+@@+:-----------+++++++++++++++=----------- -#++-
:-----------+@@*------------+++++++++++++++=-----------. -*+*-
:-----------+@@*------------+++++++++++++++=-----------. . -*++-
:-----------+@@*------------+++++++++++++++=-----------. -- -*++-
:-----------+@@*------------+++++++++++++++=-----------. . == -*++- .=
:-----------+@@+------------+++++++++++++++=-----------. .+ -= :+==- .*
:---------------------------+++++++++++++++=-----------. =* -= -+=+= .::
----------------------------+++++++++++++++=----------- ** -+ -+=++. .*=
.:-------------------------=+++++++++++++++=---------=: #+ := ++-:*= ==
-++++++++++++++++++++++++++=-------=+=: :#= .:. *=: -*- ==
.=+++++++++++++++++++++++++*+++++++=-. -#- ::++= :+=. .==
:++++++++++++++++++++++++=:.:::::. -*: .=+-. .=+-. -+:
.=+*+++++++++++++++++++- -+- .:-=. .-====----:-==:
.-+**+++++++++++**+-. .++: .-=-: .:-====-:.
:-=++******+=-: .=+===--.
..:::.. ...
_____ ______ _ _ _
|_ _| | ___ \| | (_) | |
| | ___ __ _ _ __ ___ ___ | |_/ /| |__ _ ___ | |__ ___ _ __
| | / _ \ / _` || '_ ` _ \ / __|| __/ | '_ \ | |/ __|| '_ \ / _ \| '__|
| || __/| (_| || | | | | |\__ \| | | | | || |\__ \| | | || __/| |
\_ \___| \__,_||_| |_| |_||___/\_| |_| |_||_||___/|_| |_| \___||_|
v1.2 developed by @Octoberfest73 (https://github.com/Octoberfest7)
TeamsPhisher ist ein Python3-Programm, das die Zustellung von Phishing-Nachrichten und Anhängen an Microsoft Teams-Benutzer ermöglicht, deren Organisationen externe Kommunikation zulassen.
Normalerweise ist es nicht möglich, Dateien an Teams-Benutzer außerhalb der eigenen Organisation zu senden. Max Corbridge (@CorbridgeMax) und Tom Ellson (@tde_sec) von JUMPSEC haben vor kurzem einen Weg veröffentlicht, diese Einschränkung zu umgehen, indem sie Teams-Webanfragen manipulieren, um den Empfänger einer Nachricht mit einer angehängten Datei zu ändern.
TeamsPhisher integriert diese Technik zusätzlich zu einigen früheren, die von Andrea Santese (@Medu554) veröffentlicht wurden.
Es stützt sich auch stark auf TeamsEnum, eine hervorragende Arbeit von Bastian Kanbach (@bka) von SSE, für den Authentifizierungsteil des Angriffsablaufs sowie einige allgemeine Hilfsfunktionen.
TeamsPhisher versucht, das Beste aus all diesen Projekten zu vereinen und eine robuste, anpassbare und effiziente Möglichkeit für autorisierte Red-Team-Operationen zu bieten, Microsoft Teams für Phishing in Zugangsszenarien zu nutzen.
Siehe Ende dieser README für Empfehlungen zur Abwehr.
Geben Sie TeamsPhisher einen Anhang, eine Nachricht und eine Liste der Ziel-Teams-Benutzer. Es wird den Anhang in das Sharepoint des Absenders hochladen und dann die Liste der Ziele durchgehen.
TeamsPhisher wird zuerst den Zielbenutzer ermitteln und sicherstellen, dass der Benutzer existiert und externe Nachrichten empfangen kann. Dann wird ein neuer Thread mit dem Zielbenutzer erstellt. Beachten Sie, dass dies technisch gesehen ein „Gruppen“-Chat ist, da TeamsPhisher die E-Mail des Ziels zweimal einfügt; dies ist ein netter Trick von @Medu554, der den „Jemand außerhalb Ihrer Organisation hat Ihnen eine Nachricht gesendet, sind Sie sicher, dass Sie sie anzeigen möchten?“-Splash-Screen umgeht, der unsere Ziele zögern lassen könnte. (v1.2)Hinweis: Dieser Splash-Screen-Umgehungsweg wurde gepatcht, aber das Hinzufügen des Zielbenutzers zu einem Gruppenchat ist für die aktuelle Splash-Screen-Umgehung weiterhin relevant.
Mit dem neuen Thread, der zwischen unserem Absender und dem Ziel erstellt wurde, wird die angegebene Nachricht zusammen mit einem Link zum Anhang in Sharepoint an den Benutzer gesendet.
Sobald diese erste Nachricht gesendet wurde, wird der Zielbenutzer aus dem erstellten Gruppenchat entfernt. Dadurch verliert der Absender die Möglichkeit, das Ziel weiter zu kontaktieren, aber es entfernt auch den „Diese Person ist außerhalb Ihrer Organisation“-Splash-Screen und macht den Erfolg viel wahrscheinlicher. Diese aktuelle Umgehung wurde von @pfiatde in einem seiner vielen Blogs zu Teams und unbeabsichtigtem Verhalten veröffentlicht und von Steve Nelson (@stevesec128) und Alex Martirosyan (@almartiros) von DenSecure in TeamsPhisher integriert.
Führen Sie TeamsPhisher wirklich aus. Senden Sie Phishing-Nachrichten an Ziele.
Befehl:
Targets.txt:
Message.txt:
TeamsPhisher-Ausgabe:
Sicht des Absenders:
Sicht des Ziels:
Angehängte Datei:
Führen Sie TeamsPhisher im Vorschaumodus aus, um Ihre Zielliste zu überprüfen, deren „Anzeigenamen“ (falls TeamsPhisher sie mit dem --personalize-Schalter auflösen kann) in der Vorschau anzuzeigen und eine Testnachricht an Ihr eigenes Absenderkonto zu senden, um zu überprüfen, ob alles so aussieht, wie Sie es wünschen.
TeamsPhisher-Ausgabe:
Sicht des Absenders:
TeamsPhisher erfordert, dass Benutzer ein Microsoft Business-Konto (im Gegensatz zu einem persönlichen Konto wie @hotmail, @outlook usw.) mit einer gültigen Teams- und Sharepoint-Lizenz haben.
Das bedeutet, dass Sie einen AAD-Mandanten und mindestens einen Benutzer mit einer entsprechenden Lizenz benötigen. Zum Zeitpunkt der Veröffentlichung sind im AAD-Lizenzcenter einige kostenlose Testlizenzen verfügbar, die die Anforderungen dieses Tools erfüllen.
Sie müssen sich mindestens einmal vor der Verwendung des Kontos mit TeamsPhisher beim persönlichen Sharepoint des Benutzers anmelden, mit dem Sie Nachrichten senden werden. Dies sollte in etwa so aussehen: tenantname-my.sharepoint.com/personal/myusername_mytenantname_onmicrosoft_com oder tenantname-my.sharepoint.com/personal/myusername_mytenantname_mycustomdomain_tld.
Was die lokalen Anforderungen betrifft, empfehle ich, auf die neueste Version von Python3 zu aktualisieren. Sie benötigen außerdem die Authentifizierungsbibliothek von Microsoft:``` pip3 install msal
# Verwendung```
usage: teamsphisher.py [-h] -u USERNAME -p PASSWORD -a ATTACHMENT -m MESSAGE (-e EMAIL | -l LIST) [--greeting GREETING] [--securelink] [--personalize]
[--preview] [--delay DELAY] [--nogreeting] [--log] [--sharepoint SHAREPOINT]
options:
-h, --help show this help message and exit
-u USERNAME, --username USERNAME
Username for authentication
-p PASSWORD, --password PASSWORD
Password for authentication
-a ATTACHMENT, --attachment ATTACHMENT
Full path to the attachment to send to targets.
-m MESSAGE, --message MESSAGE
A file containing a message to send with attached file.
-e EMAIL, --targetemail EMAIL
Single target email address
-s SHAREPOINT, --sharepoint SHAREPOINT
Manually specify sharepoint name (e.g. mytenant.sharepoint.com would be --sharepoint mytenant)
-l LIST, --list LIST Full path to a file containing target emails. One per line.
--greeting GREETING Override default greeting with a custom one. Use double quotes if including spaces!
--securelink Send link to file only viewable by the individual target recipient.
--personalize Try and use targets names in greeting when sending messages.
--preview Run in preview mode. See personalized names for targets and send test message to sender's Teams.
--delay DELAY Delay in [s] between each attempt. Default: 0
--nogreeting Do not use built in greeting or personalized names, only send message specified with --message
--log Write TeamsPhisher output to logfile
Der Benutzername des Microsoft-Kontos, von dem Sie Nachrichten senden (z. B. [email protected])
Das Passwort für das genannte Konto. Wenn es Sonderzeichen enthält, kann es hilfreich sein, das Ganze in einfache Anführungszeichen zu setzen.
Die Datei, die Sie an Zielbenutzer senden möchten. Diese wird auf die SharePoint-Seite des sendenden Kontos hochgeladen und ein Link über Teams geteilt.
Eine Datei, die die Textnachricht enthält, die den Anhang begleiten und an die Ziele gesendet werden soll.
Entweder eine einzelne Ziel-E-Mail (z. B. [email protected]) oder eine Datei mit einer Liste von Ziel-E-Mails (eine pro Zeile).
Geben Sie manuell den Namen der SharePoint-Site an, auf die der Anhang hochgeladen werden soll. Dies ist wahrscheinlich erforderlich, wenn der Mandant des Absenders einen benutzerdefinierten Domänennamen verwendet (z. B. nicht der xxx.onmicrosoft.com-Konvention folgt). Geben Sie nur den eindeutigen Namen an, z. B. wenn Ihre SharePoint-Site mytest.sharepoint.com ist, würden Sie --sharepoint mytest verwenden.
Überschreiben Sie die Standardbegrüßung von TeamPhisher ("Hallo, ") mit einer benutzerdefinierten, die der Nachricht vorangestellt wird, die mit --message angegeben wird. Zum Beispiel "Guten Tag, " oder "Verkaufsteam, ".
Standardmäßig kann der an Ziele gesendete SharePoint-Link von jedem mit dem Link angesehen werden; verwenden Sie --securelink, damit die SharePoint-Datei nur für den Zielbenutzer sichtbar ist, der sie erhalten hat. Kann helfen, Ihre Malware vor dem Blue Team zu schützen.
TeamsPhisher versucht, den Vornamen jedes Zielbenutzers zu identifizieren und ihn mit der Begrüßung zu verwenden. Zum Beispiel würde [email protected] eine Nachricht erhalten, die mit "Hallo Tom, " beginnt. Dies ist nicht perfekt und hängt vom Format der Ziel-E-Mails ab; verwenden Sie --preview, um zu sehen, ob dies für Ihre Zielliste geeignet ist oder nicht.
TeamsPhisher wird im Vorschaumodus ausgeführt. Dies sendet KEINE Nachrichten an Zielbenutzer, sondern zeigt stattdessen den "freundlichen" Namen an, der vom --personalize-Schalter verwendet würde. Zusätzlich wird eine Testnachricht, die repräsentativ für das ist, was Ziele mit den aktuellen Einstellungen erhalten würden, an das Teams des Absenders gesendet; melden Sie sich an und sehen Sie, wie Ihre Nachricht aussieht, und überarbeiten Sie sie bei Bedarf.
Geben Sie eine Verzögerung von x Sekunden zwischen Nachrichten an Ziele an. Kann bei potenziellen Ratenbegrenzungsproblemen helfen.
Deaktiviert die in TeamsPhisher integrierte Begrüßung. Deaktiviert auch die --personalize-Funktion. Verwenden Sie diese Option, wenn Sie Ihre Begrüßung in der mit --message angegebenen Nachricht einschließen.
Schreibt die TeamsPhisher-Ausgabe in eine Protokolldatei (schreibt in das Benutzerverzeichnis).
python3 teamsphisher.py -u [email protected] -p 'xxxxxxxxxxxx' -l /root/targets.txt -a /root/attachment.zip -m /root/message.txt --log
Dieser Befehl ruft Zugriffstoken für das Konto testuser ab und lädt den Anhang '/root/attachment.zip' in die Sharepoint-Umgebung von testuser hoch.
Anschließend wird ein eindeutiger Teams-Thread für jedes in '/root/targets.txt' aufgeführte Ziel erstellt und ihnen die in '/root/message.txt' angegebene Nachricht sowie ein Link zum Anhang in Sharepoint gesendet.
Die gesamte Terminalausgabe von TeamsPhisher wird in einer Datei protokolliert, die im Benutzerverzeichnis ausgegeben wird.```
python3 teamsphisher.py -u [email protected] -p 'xxxxxxxxxxxx' -l /root/targets.txt -a /root/attachment.zip -m /root/message.txt --greeting "Good afternoon" --personalize --securelink
Dieser Befehl ruft Zugriffstoken für das testuser-Konto ab und lädt den Anhang '/root/attachment.zip' in die Sharepoint des testuser hoch.
Anschließend erstellt es einen eindeutigen Teams-Thread für jedes in '/root/targets.txt' aufgeführte Ziel und sendet ihnen die in '/root/message.txt' angegebene Nachricht sowie einen Link zum Anhang in Sharepoint.
Die Nachricht wird mit der Begrüßung "Guten Nachmittag , " versehen.
TeamsPhisher wird versuchen, in der Begrüßung "freundliche" Namen zu verwenden. Nun lautet die Begrüßung "Guten Nachmittag , ".
Jeder gesendete SharePoint-Link ist einzigartig und nur für dieses spezifische Ziel gültig.
TeamsPhisher erkennt Konten, denen keine Nachrichten von externen Organisationen gesendet werden können, nicht existierende Konten und Konten mit einem Abonnementplan, der nicht mit diesem Angriffsvektor kompatibel ist:
Dank Code aus dem TeamsEnum-Projekt unterstützt TeamsPhisher die Anmeldung mit Absenderkonten, die MFA verwenden:
Durch die Verwendung des Schalters --securelink werden Ziele aufgefordert, sich zu authentifizieren, um den Anhang in Sharepoint anzuzeigen. Sie können entscheiden, ob dies zu viele zusätzliche Schritte darstellt oder ob es durch die Weiterleitung über die echte Microsoft-Anmeldefunktionalität 'Legitimität' verleiht.
Durch Bearbeiten von TeamsPhisher.py können Sie einige globale Variablen für nachfolgende Ausführungen ändern:```
Greeting = "Hi"
useragent = "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko)"
## Personalisierung und "freundliche" Namen
Die `--personalize`-Flags versuchen, einen "freundlichen" Namen für jedes Ziel aufzulösen; dies geschieht durch die Auswertung der von der `enumUser`-Funktion zurückgegebenen Daten, wobei zuerst das Feld `displayName` überprüft wird.
Wenn das Feld `displayName` ein Leerzeichen enthält (z. B. "Tom Jones"), teilt TeamsPhisher am Leerzeichen und nimmt den ersten Teil als "freundlichen" Namen.
Wenn im Feld `displayName` kein Leerzeichen enthalten ist (z. B. könnten einige Organisationen den UPN in das Feld `displayName` setzen, wie `[email protected]`), versucht TeamsPhisher, den UPN selbst zu parsen.
Bei einem Beispiel-UPN wie `[email protected]` teilt TeamsPhisher am Zeichen '@' und dann im ersten Teil am Zeichen '.' und nimmt den ersten Teil. Dies würde in diesem Fall einen "freundlichen" Namen von "Tom" ergeben.
Dies ist der Umfang, in dem TeamsPhisher versucht, "freundliche" Namen zu identifizieren. Ziele wie `[email protected]` und `[email protected]` werden KEINE identifizierten "freundlichen" Namen haben, wenn ihre `displayName`-Felder nicht der oben beschriebenen Parsing-Konvention entsprechen.
# Abhilfe
Organisationen können das Risiko, das durch diese Schwachstelle entsteht, mindern, indem sie die Optionen für den externen Zugriff im Microsoft Teams Admin Center unter Benutzer -> Externer Zugriff verwalten.
Microsoft bietet Organisationen Flexibilität, die für ihre Bedürfnisse besten Berechtigungen zu wählen, einschließlich einer universellen Sperre sowie einer Whitelist nur bestimmter externer Mandanten für die Kommunikation.
# Changelog
## v1.2
Einarbeitung eines Pull-Requests vom Team DenSecure, der eine funktionierende (Stand 2/7/24) Umgehung des externen Benutzer-Splash-Screens enthält.
Die Änderung am TeamsPhisher-Workflow ist glücklicherweise sehr geringfügig und einfach zu integrieren. Nachdem der Gruppenchat mit einem Zielbenutzer erstellt und die Nachricht gesendet wurde, wird eine zusätzliche Anfrage gestellt, um den Zielbenutzer aus dem Gruppenchat zu entfernen. Dies führt dazu, dass der Benutzer die Nachricht ohne einen externen Benutzer-Splash-Screen erhält.
Aktualisierung der README mit aktuelleren Informationen zur derzeit von TeamsPhisher verwendeten Technik.
## v1.1.2
Behebung eines Fehlers, den Benutzer beim Hochladen des Anhangs in SharePoint meldeten; dieser stammte aus Benennungs-/Umbenennungskonventionen, die auftreten, wenn Benutzer eine benutzerdefinierte Domain mit ihren Mandanten verwenden.
Hinzufügen einer Überprüfung, um sicherzustellen, dass Benutzer, die KEINE @domain.onmicrosoft.com-Domain verwenden, auch den Schalter -s verwenden, um ihre SharePoint-Seite manuell anzugeben, um Probleme zu vermeiden.
Aktualisierung des Setup-Abschnitts, um die Anmeldung bei SharePoint mindestens einmal vor der Verwendung von TeamsPhisher einzuschließen, da ein Benutzer festgestellt hatte, dass TeamsPhisher fehlschlägt, wenn man sich vorher nicht mit dem Konto angemeldet hat.
Hinzufügen des Parameters `&top=999` zur `getSenderInfo`-Webanfrage, um die Anzahl der pro Seite abgerufenen Benutzer zu erhöhen und die Anzahl der erforderlichen Anfragen zur Auffindung unseres Benutzers zu verringern.
### Rücknahme der Änderung bezüglich des Parsens von '.' in Benutzernamen beim Aufbau der SharePoint-URI
v1.1 hatte geändert, wie Benutzernamen mit dem Zeichen '.' zum Zweck der Erstellung der erforderlichen SharePoint-URIs geparst werden. Es gab mehrere unterschiedliche Probleme, und ich habe dies fälschlicherweise als Ursache eines davon identifiziert. Diese Änderung wurde rückgängig gemacht. Das Ergebnis ist, dass ein Benutzername wie `[email protected]` nun eine SharePoint-URI als `tom_jones_mytest_onmicrosoft_com` erhält, anstatt `tom.jones_mytest_onmicrosoft_com`.
## v1.1.1
Kleinere Korrekturen
## v1.1
Es gab einige Commits zur Behebung verschiedener kleiner Probleme, ohne die Versionsnummer zu erhöhen; entschuldigung für die Nachlässigkeit.
v1.1 bringt einige Änderungen, die darauf abzielen, häufige Probleme zu beheben, auf die Benutzer gestoßen sind.
### -s, --sharepoint-Argument
Dieses optionale Argument wurde hinzugefügt, damit Benutzer ihren SharePoint-Stammnamen manuell angeben können. Ein häufiges Problem trat auf, wenn Benutzer die Domain ihres Mandanten in eine benutzerdefinierte geändert hatten; z. B. könnte ihr Benutzername nicht `[email protected]`, sondern `[email protected]` sein. Die ursprüngliche Version von TeamsPhisher baute die SharePoint-Adresse und die erforderlichen URI-Pfade auf, indem sie den Benutzerprinzipalnamen des Absenders aus seinen Benutzerinformationen parste. Wenn die Domain eines Mandanten in eine benutzerdefinierte geändert wird, ändern sich die UPNs der Benutzer entsprechend. Allerdings bleibt die SharePoint-Adresse des Mandanten immer gleich/so, wie sie bei der ursprünglichen Erstellung des Mandanten war.
Ich konnte keinen guten Weg finden, die aktuelle SharePoint-Adresse für einen Mandanten aufzulösen; mit der Graph API ist das einfach, aber die Implementierung von Graph in diesem Tool würde viel mehr Einrichtung seitens der Benutzer erfordern, um TeamsPhisher zu nutzen. Ich habe mich für die Option entschieden, den SharePoint-Namen manuell anzugeben, als einfachste Lösung.
### Verbessertes Parsen der SharePoint-Adresse und der erforderlichen URI bei NICHT-Verwendung der manuellen Option
Es gab einen Bericht eines Benutzers, der KEINE benutzerdefinierte Domain mit seinem Mandanten verwendete und dennoch den 404-Fehler in Bezug auf SharePoint erhielt. Ich glaube, dies hing damit zusammen, dass sein Benutzername ein '.' enthielt, z. B. `[email protected]`. Die vorherige Version von TeamsPhisher hatte einfachere Suchen-und-Ersetzen-Funktionalität für den UPN des Benutzers, um die erforderlichen SharePoint-URIs zu erstellen; v1.1 zielt nun gezielt auf die '.'-Zeichen, die ersetzt werden müssen, und lässt andere '.' im Benutzernamensfeld intakt.
### Sonderzeichen (z. B. 'ö') im Nachrichtentext führen nicht mehr zu einem Serverfehler
Dies war eine sehr einfache Korrektur, die viel zu lange dauerte, um sie aufzuspüren. Hinzufügen der utf-8-Kodierung zur `sendFile`-POST-Anfrage. Sonderzeichen können nun in Nachrichten verwendet werden.
### Kleinere Codebereinigung
Einige Kommentare korrigiert und einige Schritte in main neu angeordnet, um nun vor dem Authentifizierungsversuch die erforderlichen Dateien zu überprüfen.
## v1.0 - Erstveröffentlichung
# Danksagungen und Anerkennungen
1. Max Corbridge (@CorbridgeMax) und Tom Ellson (@tde_sec) von JUMPSEC für [diesen Artikel](https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/). Besonderer Dank an Max für seine sehr schnelle Reaktionsbereitschaft und die Bereitschaft, privat über seine Forschung zu sprechen.
2. Andrea Santese (@Medu554) [für diese Forschung](https://posts.inthecyber.com/leveraging-microsoft-teams-for-initial-access-42beb07f12c4). Auch hier besonderer Dank für seine Reaktionsbereitschaft und die Bereitschaft, privat über seine Arbeit zu diskutieren.
3. Bastian Kanbach (@_bka_) von SSE für [TeamsEnum](https://github.com/sse-secure-systems/TeamsEnum). Dieses Projekt diente als Ausgangspunkt für das Abrufen von Bearer-Tokens und die Authentifizierung über verschiedene Methoden. Ich hatte die Graph API für diese Zwecke verwendet, aber sein Projekt (und dieses) verwendet die normalen Endpunkte, daher war es großartig, jemanden zu haben, der bereits durch diese Herausforderungen gekämpft und zuverlässige Funktionen zur Umsetzung hatte.
4. @pfiatde, der eine [mehrteilige Serie über Teams-Phishing](https://badoption.eu/blog/2024/01/12/teams5.html) hat. Seine Blogs wurden während der ursprünglichen Entwicklung von TeamsPhisher referenziert, und die aktuelle Version des Tools verwendet eine neue Splash-Screen-Umgehung aus späteren von ihm veröffentlichten Forschungen.
5. Steve Nelson (@stevesec128) und Alex Martirosyan (@almartiros) von DenSecure für ihr Update für TeamsPhisher (2/7/24), das die noch funktionierende Splash-Screen-Umgehung von @pfiatde integrierte.
6. [Diese Seite zur Generierung von ASCII-Text](https://patorjk.com/software/taag/#p=display&f=Graffiti&t=Type%20Something%20)
7. [Dieses verrückte Projekt zur Konvertierung von Bildern in ASCII-Kunst](https://github.com/TheZoraiz/ascii-image-converter)