ReelPhish

Istruzioni per ReelPhish:

Questo strumento è stato rilasciato insieme a un post sul blog di FireEye. Il post sul blog può essere trovato al seguente link: https://www.fireeye.com/blog/threat-research/2018/02/reelphish-real-time-two-factor-phishing-tool.html

Passaggi di installazione

1. È richiesta l'ultima versione di Python 2.7.x.

2. Installa Selenium, una dipendenza necessaria per eseguire i driver del browser.

   • pip install -r requirements.txt

3. Scarica i driver del browser per tutti i browser web che intendi utilizzare. I binari devono essere posizionati in questa directory principale con il seguente schema di denominazione.

   • Internet Explorer: www.seleniumhq.org/download/

     • Scarica il Server Driver di Internet Explorer per IE Windows a 32 bit. Decomprimi il file e rinomina il binario in: IEDriver.exe.
     • Affinché il Driver di Internet Explorer funzioni, assicurati che la modalità protetta sia disabilitata. Su IE11 (Windows a 64 bit), devi creare la chiave di registro "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BFCACHE". In questa chiave, crea un valore DWORD chiamato iexplore.exe e imposta il valore a 0.
     • Ulteriori informazioni sui requisiti di Internet Explorer possono essere trovate su www.github.com/SeleniumHQ/selenium/wiki/InternetExplorerDriver

   • Firefox: www.github.com/mozilla/geckodriver/releases/

     • Scarica l'ultima versione del GeckoDriver di Firefox per Windows a 32 bit. Decomprimi il file e rinomina il binario in: FFDriver.exe.
       • Su sistemi Linux, scarica la versione Linux del GeckoDriver di Firefox e rinomina il binario in: FFDriver.bin. Il supporto per Linux è sperimentale.
     • Gecko Driver ha requisiti speciali. Copia FFDriver.exe in geckodriver.exe e posizionalo nella tua variabile PATH. Inoltre, aggiungi firefox.exe alla tua variabile PATH.

   • Chrome: https://chromedriver.storage.googleapis.com/index.html?path=2.35/

     • Scarica l'ultima versione del Chrome Driver di Google per Windows a 32 bit. Decomprimi il file e rinomina il binario in: ChromeDriver.exe.
       • Su sistemi Linux, scarica la versione Linux del Chrome Web Driver e rinomina il binario in: ChromeDriver.bin. Il supporto per Linux è sperimentale.

Esecuzione di ReelPhish

ReelPhish è composto da due componenti: il codice di gestione del sito di phishing e questo script. Il sito di phishing può essere progettato come desiderato. Il codice PHP di esempio è fornito in /examplesitecode. Il codice di esempio preleverà un nome utente e una password da una richiesta HTTP POST e li trasmetterà allo script di phishing.

Lo script di phishing ascolta su una porta locale e attende un pacchetto di credenziali. Una volta ricevute le credenziali, lo script di phishing aprirà una nuova istanza del browser web e navigherà verso l'URL desiderato (il sito reale in cui inserirai le credenziali di un utente). Le credenziali verranno inviate dal browser web.

Il metodo consigliato per gestire la comunicazione tra il sito di phishing e questo script è l'utilizzo di un tunnel SSH inverso. Questo è il motivo per cui il codice PHP di esempio del sito di phishing invia le credenziali a localhost:2135.

Argomenti di ReelPhish

1. Devi specificare il browser che utilizzerai con il parametro --browser. I browser supportati includono Internet Explorer ("--browser IE"), Firefox ("--browser FF") e Chrome ("--browser Chrome"). Windows e Linux sono entrambi supportati. Chrome richiede il minor numero di passaggi di configurazione. Vedi le istruzioni di installazione sopra per maggiori dettagli.
2. Devi specificare l'URL. Lo script navigherà verso questo URL e invierà le credenziali per tuo conto.
3. Sono disponibili altri parametri opzionali.
   • Imposta il parametro di logging su debug (--logging debug) per una registrazione dettagliata degli eventi
   • Imposta il parametro submit (--submit) per personalizzare l'elemento che viene "cliccato" dal browser
   • Imposta il parametro override (--override) per ignorare elementi del modulo mancanti
   • Imposta il parametro numpages (--numpages) per aumentare il numero di pagine di autenticazione (vedi sezione sotto)

Supporto per l'autenticazione multi-pagina

ReelPhish supporta più pagine di autenticazione. Ad esempio, in alcuni casi un codice di autenticazione a due fattori può essere richiesto su una seconda pagina. Per implementare questa funzionalità, assicurati che --numpages sia impostato sul numero di pagine di autenticazione. Assicurati anche che l'ID di sessione sia correttamente tracciato sul tuo sito di phishing. L'ID di sessione viene utilizzato per tracciare gli utenti mentre procedono attraverso ogni fase dell'autenticazione.

In alcuni casi, potresti aver bisogno di estrarre contenuti specifici (come un codice di sfida) da una particolare pagina di autenticazione. Il codice commentato di esempio è fornito in ReelPhish.py per eseguire un'operazione di scraping.