フィッシングエンゲージメントインフラ構築ガイド

注記: これらは私の個人ノートのコピーです。完全にこれらに依存しないでください。

目次

• ブログ/トーク
• レッドチーム/フィッシングインフラ自動化
• ドメイン購入とカテゴリ分類手法
• ツールを活用したフィッシングメール作成の改善
• メールのスパム度テスト
• フィッシングメールのエミュレート / パープルチームフィッシング
• エンタープライズメールセキュリティのすごいまとめ
• メールを受信箱に配信する
• Evilginxを使ったフィッシングエンゲージメント
  • Evilginxフィッシュレットの構築
  • Evilginxインストールスクリプト
  • Evilginxインフラ保護のヒント
  • Evilginxに関する研究ブログ/トーク
  • Evilginxに対する防御戦術
• GoPhishインフラの保護
  • GoPhishに関する研究ブログ/トーク
  • Gophishの代替
• AiTMポストエクスプロイテーション / フィッシング研究ブログ/トーク
• その他の手法/ブログ/研究
• フィッシング研究に関するトーク

---

ブログ/トーク

• BHIS | How to Build a Phishing Engagement - Coding TTP's : https://m.youtube.com/watch?si=YTjMa8XBusj_tPdc&v=VglCgoIjztE&feature=youtu.be

レッドチーム/フィッシングインフラ自動化

• https://github.com/dazzyddos/HSC24RedTeamInfra/blob/main/RedTeamInfraAutomation.pdf
• OFFENSIVEX 2024 - Vincent Yiu - Red Team Tips in 2024 : https://youtu.be/ECIBCbMfeo4?feature=shared
• https://github.com/bluscreenofjeff/Red-Team-Infrastructure-Wiki
• フィッシングインフラをその場で展開 : https://github.com/VirtualSamuraii/flyphish
• https://labs.jumpsec.com/putting-the-c2-in-c2loudflare/

ドメイン購入とカテゴリ分類手法

• 期限切れドメインを確認し、良さそうなものを購入する

  • https://expireddomains.net/

• ドメインカテゴリ分類

  • Bluecoat/Symantec - https://sitereview.bluecoat.com/#/
  • McAfee - https://www.trustedsource.org
  • Palo Alto Wildfire - https://urlfiltering.paloaltonetworks.com
  • Websense - https://csi.forcepoint.com & https://www.websense.com/content/SiteLookup.aspx (要登録)
  • FortiGuard - https://www.fortiguard.com/webfilter
  • IBM X-force - https://exchange.xforce.ibmcloud.com
  • Cyren - https://www.cyren.com/security-center/url-category-check-gate
  • Checkpoint - https://www.checkpoint.com/urlcat/main.htm (要登録)
  • Trend Micro - https://global.sitesafety.trendmicro.com/
  • Sophos - https://secure2.sophos.com/en-us/support/contact-support.aspx (報告のみ、確認は不可) (「サンプルを送信」→「Webアドレス」をクリック)
  • BrightCloud - http://www.brightcloud.com/tools/url-ip-lookup.php
  • LightSpeed Systems - https://archive.lightspeedsystems.com/

• ドメインレピュテーションの確認/報告の自動化

  • Domainhunter: https://github.com/threatexpress/domainhunter
  • Chameleon : https://github.com/mdsecactivebreach/Chameleon

• ブログ

  • https://medium.com/@frsfaisall/mastering-modern-red-teaming-infrastructure-leveraging-old-domains-for-reputation-based-bypasses-1fd8cc1768f7

ツールを活用したフィッシングメール作成の改善

• mgeeky : https://github.com/mgeeky/Penetration-Testing-Tools/tree/master/phishing
• HTML-Linter (一般的なフィッシングメールの単語を避ける) : https://github.com/mgeeky/Penetration-Testing-Tools/blob/master/phishing/phishing-HTML-linter.py
• Decode-Spam-Headers : https://github.com/mgeeky/decode-spam-headers

メールのスパム度テスト

• https://www.mail-tester.com/

フィッシングメールのエミュレート / パープルチームフィッシング

• https://delivr.to/

エンタープライズメールセキュリティのすごいまとめ

• https://github.com/0xAnalyst/awesome-email-security
• Gartner メールセキュリティプラットフォームのマジッククアドラント

メールを受信箱に配信する

• 方法1 : メールサービスプロバイダの利用

  • SendGridを使う - http://sendgrid.com/
    • 便利なサービスだが、正直なところスパムリストに載らないためには有料プランが必要
  • MailGun - https://app.mailgun.com/
    • これまで問題はなかった
  • Amazon AWS SES
  • Brevo : https://www.brevo.com/free-smtp-server/
  • Outlook
  • Gmail
  • Azureテナントをセットアップして、attackdomain.onmicrosoft.com のような onmicrosoft.com ドメインを取得する。これはメール送信とフィッシングドメインの両方に使用できる
  • LarkSuite (カスタムドメイン可) : https://www.larksuite.com/
  • Zoho (Zohoの「永久無料」メールオプションを利用) : https://www.zoho.com/mail/custom-domain-email.html
  • Yandex : https://360.yandex.com/business/domain-mail/

• 方法2 : その他のテクニック

  • Technique 1 : Andre Rosario氏 - BreakDev Red Discordより

    • メールフィルタリングによる配信問題がある場合、Microsoft 365とAzure IPPを使ってターゲットに暗号化メールを送信することを検討しよう！
      • メールは正規のMicrosoft SMTPサーバーから送信されるため、ブロックできない。
      • 暗号化メールを受け取ったターゲットだけが開封でき、もしDFIRチームに転送しても、そのユーザーとしてログインしなければメッセージを見ることができない。
      • Microsoft管理ポータルでカスタムドメインを簡単に操作でき、偽のアカウントを大量に作成できる。
      • M365では任意の表示名を設定できる。そのため、ターゲットのOutlook上では [email protected] からのメールに見えるが、実際には [email protected] からのものである（技術者なら簡単に見抜けるが）。
      • メールは正規のMicrosoft IPとドメインから送信されるため、ドメインのカテゴリ分類や寿命を心配する必要はない（Microsoftであるため）。

  • Technique 2 : Azureの外部招待機能の利用 - BreakDev Red Discordより

    • Azureの外部招待機能は、フィッシングURLへのリダイレクトリンクを含むメールを送信するために使用できる
    • 一括メールも送信可能。参考: https://learn.microsoft.com/ja-jp/entra/external-id/tutorial-bulk-invite

• メールを受信箱に届けるためのランダムなヒント

  • 評判の良いドメインを持つこと。ドメインのカテゴリ分類を確認する。
  • 1年以上経過したドメインを使用するか、expireddomain を利用する。
  • 有効なDKIM、DMARC、SPFを持つこと。
    • Mailgoose (SPF、DMARC、DKIMの設定が正しいか確認) : https://github.com/CERT-Polska/mailgoose
  • メールに購読解除リンクを追加する。
  • まず無害なメールを送信する（評判向上に役立つ可能性あり）。
  • メール内のリンクに、メール送信に使用しているものと同じドメインを使用する。

• ブログ/トーク/参考資料

  • Outlook_Email_Auth_Bypass : https://gitlab.com/hxxpxxp/outlook_email_auth_bypass (OutlookデスクトップアプリとWebアプリでは、メールの「差出人」ヘッダーの「表示名」がユーザーに表示される送信元アドレスを操作できるため、より説得力のあるフィッシングメールになる可能性がある)
  • Spy Pixel - メール追跡用画像ピクセル : https://github.com/collinsmc23/spy-pixel
  • EchoSpoofing : https://labs.guard.io/echospoofing-a-massive-phishing-campaign-exploiting-proofpoints-email-protection-to-dispatch-3dd6b5417db6
  • Blackhat USA 2024 - 新しいメールなりすまし攻撃パターン : https://github.com/onhexgroup/Conferences/blob/main/Black Hat USA 2024 slides/Hao Wang %26 Caleb Sargent %26 Harrison Pomeroy %26 Renana Friedlich_Into the Inbox Novel Email Spoofing Attack Patterns.pdf

Evilginxを使ったフィッシングエンゲージメント