⚠️ Simulateur de Phishing Telegram – Outil de Sensibilisation Sécurisé

N'UTILISEZ PAS CE CODE À DES FINS ILLÉGALES. Ce dépôt est une simulation conçue pour la sensibilisation à la cybersécurité, la formation et les tests autorisés en laboratoire uniquement.

📚 Table des matières

• À propos
• Contenu
• Configuration de laboratoire sécurisée
• Comment exécuter
• Flux d'attaque simulé
• Conseils de défense
• Utilisation éthique
• Licence

🎯 À propos

Ce projet présente une simulation de phishing Telegram destinée à :

• la formation en cybersécurité,
• des exercices de sensibilisation au phishing,
• la recherche défensive,
• des tests d'intrusion autorisés dans des environnements isolés.

Il montre comment les attaquants peuvent utiliser de fausses offres « Premium Gratuit » pour récolter des numéros de téléphone, capturer des codes de vérification et demander des mots de passe 2FA.

Ce dépôt n'est pas destiné à du phishing réel ou à la prise de contrôle de comptes. Il ne se connecte pas à l'API en direct de Telegram.

📁 Contenu

🧰 Configuration de laboratoire sécurisée

Utilisez cet outil uniquement dans un environnement contrôlé.

Prérequis

• Un logiciel de machine virtuelle tel que VirtualBox ou VMware.
• Deux machines virtuelles isolées : un hôte attaquant et un hôte victime.
• Un réseau privé entre les machines virtuelles.
• Aucun déploiement public ni interaction avec des utilisateurs réels.

Installation recommandée

sudo apt update && sudo apt install -y nodejs npm
cd /home/youruser
git clone https://github.com/Maty156/telegram-phish-simulator.git
cd telegram-phish-simulator
npm install

Conseils réseau

• Utilisez un réseau host-only ou NAT afin que le trafic reste dans votre laboratoire.
• Vérifiez que la machine virtuelle victime peut atteindre l'adresse IP de la machine virtuelle attaquante.
• N'exposez pas le service sur l'Internet public.

⚡ Démarrage rapide

1. Installez Node.js et npm sur la machine virtuelle attaquante.
2. Clonez le dépôt et installez les dépendances.
3. Démarrez server.js sur la machine virtuelle attaquante.
4. Ouvrez le navigateur de la machine virtuelle victime sur http://<adresse-ip-attaquant>/.
5. Soumettez les valeurs de test et observez la sortie sur la machine virtuelle attaquante.

🚀 Comment exécuter

1. Démarrez le serveur simulé sur la machine virtuelle attaquante :

   root@kitploit:~

   npm install
   
   npm start
   

2. Depuis la machine virtuelle victime, ouvrez la page de phishing dans un navigateur :

   root@kitploit:~

   http://<adresse-ip-attaquant>:3000/
   

3. Utilisez la page pour soumettre un numéro de téléphone, un code de vérification et un mot de passe facultatif.

4. Observez la sortie enregistrée sur la machine virtuelle attaquante et dans stolen_credentials.log.

Le serveur est une simulation et n'effectue pas de véritable authentification Telegram.

🧠 Flux d'attaque simulé

Ce simulateur modélise les phases de phishing utilisées pour la capture d'identifiants :

1. Récolte du numéro de téléphone
   • La victime saisit un numéro de téléphone sur la page factice.
   • Le numéro est envoyé au backend contrôlé par l'attaquant.
2. Interception du code de vérification
   • La victime saisit un code à 6 chiffres.
   • Le code est envoyé au backend simulé.
3. Capture du mot de passe 2FA
   • Si activé, la victime est invitée à saisir un mot de passe.
   • Le mot de passe est capturé localement.

Le backend enregistre toutes les valeurs dans le terminal et dans stolen_credentials.log.

🛡️ Conseils de défense

La protection contre ce type de phishing comprend :

• L'activation de la vérification en deux étapes de Telegram.
• L'évitement des offres « premium gratuit » non sollicitées.
• La vérification des URL avant de saisir des identifiants.
• L'utilisation de gestionnaires de mots de passe pour empêcher le remplissage automatique sur les sites factices.
• La surveillance des sessions Telegram actives et la déconnexion des appareils inconnus.
• La sensibilisation des utilisateurs aux techniques d'ingénierie sociale et de phishing.

⚖️ Utilisation éthique

Utilisez ce dépôt uniquement pour des tests défensifs, éducatifs et autorisés.

• Ne l'utilisez pas pour cibler de vraies personnes.
• Ne le déployez pas sur l'Internet public.
• Ne le connectez pas aux véritables API de Telegram.
• Ne l'utilisez pas sans l'autorisation explicite du propriétaire de l'environnement.

L'auteur n'est pas responsable d'une mauvaise utilisation.

📄 Licence

Ce projet est sous licence MIT. Consultez le fichier LICENSE inclus pour les conditions complètes.

• Cette licence autorise la réutilisation, la modification et la distribution.
• Elle ne fournit aucune garantie.

Utilisez ce dépôt uniquement pour des tests éducatifs, défensifs et autorisés.