O365-Doppelganger

O365-Doppelgangerは、本格的なフィッシング活動の代替ツールではありません。OAuthやOTAキャプチャを実行する他のツールは多数存在しますが、O365-Doppelgangerはそれらを目的としていません。

O365-Doppelgangerは、Red Teamの際にユーザーの認証情報を迅速に収集するための便利なスクリプトです。このリポジトリは、私が以前Red Teamエンゲージメントで何度か使用し、認証情報を取得してWindowsアクセストークンを作成し、横方向の移動に利用したスクリプトの簡易ハック版です。このコードリポジトリは、基本的に以下のタスクを実行します。

• GOコード:
  • O365ポータルをホストします（index.html内の任意のものと置き換え可能）。有効な証明書と鍵ファイル（Let's Encrypt?）を使用することを推奨します。ディレクトリに同梱されているものではなく、有効なものを使用してください。
  • Webポータル上のすべてのユーザーアクティビティを、サーバー上の個別のログファイルに記録します。
  • キャプチャした認証情報を、サーバー上の個別のログファイルに記録します。
  • 認証情報キャプチャ後に、ユーザーに有効なファイルを返却するためにも使用できます。これは、カレントディレクトリにあるMacroFile.docという名前のファイルを、HTA/ISO/MSIなど、フィッシャーが望む任意のファイルに置き換えることで実現できます。GOコード内には、返却するユーザーのファイル名を指定するための小さなコードもあり、変更が必要です：content, err := ioutil.ReadFile("MacroFile.doc")
  • 変更後、ターゲットユーザーが有効なメールアドレスとパスワードを入力すると、上記のファイルを保存するよう求められます。このファイル名は、GOファイル内の以下のコードを使用して変更できます：response.Header().Set("Content-Disposition", "attachment; filename=Darkvortex Privacy Policy.doc")
• index.htmlコード:
  • O365ポータルをレンダリングするとともに、与えられたユーザーのドメイン名をチェックする小さな正規表現を組み込み、より正当に見えるようにします。正規表現コードは次のようになります：pattern="^([a-zA-Z0-9_\-\.]+)@darkvortex\.([a-zA-Z]{2,5})$" title=" Valid darkvortex email ID"
  • 上記の正規表現は、指定されたユーザー名が完全な有効なメールアドレスを含んでいるかどうかをチェックし、そうでない場合は以下のようにユーザーに正しいユーザー名を入力するよう促します：

• この同じチェックはGOコードでも実行され、ユーザーがBurpなどを使用してチェックをバイパスするのを防ぎます：if strings.Contains(value[i], "@darkvortex") {

• index.htmlファイル内のdarkvortexの名前を、自社の対象となる企業名に変更することを推奨します。

• 正しいメールIDとパスワードが入力されると、ユーザーは以下のように提供されたファイルを保存するよう求められます：