octoberfest7/teamsphisherMicrosoft Teams 사용자에게 피싱 메시지 및 첨부 파일 전송
...
:-++++++=-.
.=+++++++++++-
.++++++++++++++= :------: :-:--.
:+++++++++++++++. .---------- #= .-+.
:+++++++++++++++. -----------: :#= :#.
:--------------------------=++++++++- .------------ .=+ ++
----------------------------+++++*+-. :+=-----===: -+-.+:
:---------------------------++++=-. .=+++++=-. .=+:.
:------=%%%%%%%%%%%%--------:... .:::.. -*=-:
:------=****#@@#****--------=++++++++++++++-----------. -#++-
:----------:+@@+:-----------+++++++++++++++=----------- -#++-
:-----------+@@*------------+++++++++++++++=-----------. -*+*-
:-----------+@@*------------+++++++++++++++=-----------. . -*++-
:-----------+@@*------------+++++++++++++++=-----------. -- -*++-
:-----------+@@*------------+++++++++++++++=-----------. . == -*++- .=
:-----------+@@+------------+++++++++++++++=-----------. .+ -= :+==- .*
:---------------------------+++++++++++++++=-----------. =* -= -+=+= .::
----------------------------+++++++++++++++=----------- ** -+ -+=++. .*=
.:-------------------------=+++++++++++++++=---------=: #+ := ++-:*= ==
-++++++++++++++++++++++++++=-------=+=: :#= .:. *=: -*- ==
.=+++++++++++++++++++++++++*+++++++=-. -#- ::++= :+=. .==
:++++++++++++++++++++++++=:.:::::. -*: .=+-. .=+-. -+:
.=+*+++++++++++++++++++- -+- .:-=. .-====----:-==:
.-+**+++++++++++**+-. .++: .-=-: .:-====-:.
:-=++******+=-: .=+===--.
..:::.. ...
_____ ______ _ _ _
|_ _| | ___ \| | (_) | |
| | ___ __ _ _ __ ___ ___ | |_/ /| |__ _ ___ | |__ ___ _ __
| | / _ \ / _` || '_ ` _ \ / __|| __/ | '_ \ | |/ __|| '_ \ / _ \| '__|
| || __/| (_| || | | | | |\__ \| | | | | || |\__ \| | | || __/| |
\_ \___| \__,_||_| |_| |_||___/\_| |_| |_||_||___/|_| |_| \___||_|
v1.2 developed by @Octoberfest73 (https://github.com/Octoberfest7)
TeamsPhisher는 조직에서 외부 통신을 허용하는 Microsoft Teams 사용자에게 피싱 메시지와 첨부 파일을 전달하는 Python3 프로그램입니다.
일반적으로 조직 외부의 Teams 사용자에게 파일을 보내는 것은 불가능합니다. JUMPSEC의 Max Corbridge(@CorbridgeMax)와 Tom Ellson(@tde_sec)이 최근 이 제한을 우회하는 방법을 공개했습니다. 이 방법은 Teams 웹 요청을 조작하여 첨부 파일이 있는 메시지의 수신자를 변경하는 것입니다.
TeamsPhisher는 Andrea Santese(@Medu554)가 공개한 이전 기술들 외에도 이 기술을 통합합니다.
또한 공격 흐름의 인증 부분과 몇 가지 일반적인 도우미 함수를 위해 SSE의 Bastian Kanbach(@bka)가 만든 훌륭한 작품인 TeamsEnum에 크게 의존합니다.
TeamsPhisher는 이 모든 프로젝트에서 최상의 기능을 가져와 공인된 Red Team 작전이 액세스 시나리오를 위한 피싱에 Microsoft Teams를 활용할 수 있는 강력하고 사용자 정의 가능하며 효율적인 수단을 제공하고자 합니다.
완화 권장 사항은 이 README의 끝을 참조하십시오.
TeamsPhisher에 첨부 파일, 메시지 및 대상 Teams 사용자 목록을 제공하면 첨부 파일을 발신자의 Sharepoint에 업로드한 후 대상 목록을 반복합니다.
TeamsPhisher는 먼저 대상 사용자를 열거하고 사용자가 존재하며 외부 메시지를 수신할 수 있는지 확인합니다. 그런 다음 대상 사용자와 새 스레드를 생성합니다. 이는 기술적으로 '그룹' 채팅입니다. TeamsPhisher가 대상의 이메일을 두 번 포함하기 때문입니다. 이는 @Medu554의 멋진 트릭으로, '조직 외부의 누군가가 메시지를 보냈습니다. 보시겠습니까?'라는 스플래시 화면을 우회하여 대상이 망설이게 할 수 있습니다. (v1.2)참고: 이 스플래시 화면 우회는 패치되었지만, 대상 사용자를 그룹 채팅에 추가하는 것은 현재 스플래시 화면 우회와 여전히 관련이 있습니다.
발신자와 대상 간에 새 스레드가 생성되면 지정된 메시지가 Sharepoint에 있는 첨부 파일 링크와 함께 사용자에게 전송됩니다.
이 초기 메시지가 전송되면 대상 사용자는 생성된 그룹 채팅에서 제거됩니다. 이렇게 하면 발신자가 대상에게 추가 메시지를 보낼 수 없게 되지만, '이 사람은 조직 외부에 있습니다'라는 스플래시 화면도 제거되어 성공 가능성이 훨씬 높아집니다. 이 현재 우회 방법은 @pfiatde가 Teams와 의도하지 않은 동작에 관한 여러 블로그 중 하나에서 공개했으며, DenSecure의 Steve Nelson(@stevesec128)과 Alex Martirosyan(@almartiros)이 TeamsPhisher에 통합했습니다.
TeamsPhisher를 실제로 실행합니다. 대상에게 피싱 메시지를 보냅니다.
명령:
Targets.txt:
Message.txt:
TeamsPhisher 출력:
발신자 보기:
대상자 보기:
첨부 파일:
TeamsPhisher를 미리보기 모드로 실행하여 대상 목록을 확인하고, '친숙한 이름'(TeamsPhisher가 --personalize 스위치를 사용하여 확인할 수 있는 경우)을 미리 보고, 원하는 대로 모든 것이 보이는지 확인하기 위해 자신의 발신자 계정으로 테스트 메시지를 보냅니다.
TeamsPhisher 출력:
발신자 보기:
TeamsPhisher는 사용자가 유효한 Teams 및 Sharepoint 라이선스가 있는 Microsoft Business 계정(@hotmail, @outlook 등과 같은 개인 계정이 아닌)을 보유해야 합니다.
즉, AAD 테넌트와 해당 라이선스가 있는 사용자가 한 명 이상 필요합니다. 이 문서 발행 시점에 AAD 라이선스 센터에서 이 도구의 요구 사항을 충족하는 무료 평가판 라이선스를 사용할 수 있습니다.
TeamsPhisher와 계정을 사용하기 전에 메시지를 보낼 사용자의 개인 Sharepoint에 적어도 한 번 로그인해야 합니다. 이는 tenantname-my.sharepoint.com/personal/myusername_mytenantname_onmicrosoft_com 또는 tenantname-my.sharepoint.com/personal/myusername_mytenantname_mycustomdomain_tld와 같아야 합니다.
로컬 요구 사항 측면에서 최신 버전의 Python3로 업데이트할 것을 권장합니다. 또한 Microsoft의 인증 라이브러리가 필요합니다:``` pip3 install msal
# 사용법```
usage: teamsphisher.py [-h] -u USERNAME -p PASSWORD -a ATTACHMENT -m MESSAGE (-e EMAIL | -l LIST) [--greeting GREETING] [--securelink] [--personalize]
[--preview] [--delay DELAY] [--nogreeting] [--log] [--sharepoint SHAREPOINT]
options:
-h, --help show this help message and exit
-u USERNAME, --username USERNAME
Username for authentication
-p PASSWORD, --password PASSWORD
Password for authentication
-a ATTACHMENT, --attachment ATTACHMENT
Full path to the attachment to send to targets.
-m MESSAGE, --message MESSAGE
A file containing a message to send with attached file.
-e EMAIL, --targetemail EMAIL
Single target email address
-s SHAREPOINT, --sharepoint SHAREPOINT
Manually specify sharepoint name (e.g. mytenant.sharepoint.com would be --sharepoint mytenant)
-l LIST, --list LIST Full path to a file containing target emails. One per line.
--greeting GREETING Override default greeting with a custom one. Use double quotes if including spaces!
--securelink Send link to file only viewable by the individual target recipient.
--personalize Try and use targets names in greeting when sending messages.
--preview Run in preview mode. See personalized names for targets and send test message to sender's Teams.
--delay DELAY Delay in [s] between each attempt. Default: 0
--nogreeting Do not use built in greeting or personalized names, only send message specified with --message
--log Write TeamsPhisher output to logfile
메시지를 보낼 Microsoft 계정의 사용자 이름입니다 (예: [email protected])
해당 계정의 비밀번호입니다. 특수 문자가 포함되어 있다면 전체를 작은따옴표로 감싸는 것이 도움이 될 수 있습니다.
대상 사용자에게 보낼 파일입니다. 이 파일은 발신 계정의 SharePoint에 업로드되며, Teams를 통해 링크가 공유됩니다.
첨부 파일과 함께 대상자에게 보낼 텍스트 메시지가 포함된 파일입니다.
단일 대상 이메일 (예: [email protected]) 또는 한 줄에 하나씩 대상 이메일 목록이 포함된 파일입니다.
첨부 파일을 업로드할 SharePoint 사이트 이름을 수동으로 지정합니다. 발신자의 테넌트가 사용자 지정 도메인 이름을 사용하는 경우(예: xxx.onmicrosoft.com 규칙을 따르지 않는 경우)에 필요할 가능성이 높습니다. 고유한 이름만 지정하세요. 예를 들어 SharePoint 사이트가 mytest.sharepoint.com이라면 --sharepoint mytest를 사용합니다.
TeamPhisher의 기본 인사말("안녕하세요, ")을 --message로 지정한 메시지 앞에 붙일 사용자 지정 인사말로 재정의합니다. 예를 들어 "좋은 오후입니다, " 또는 "영업팀 여러분, " 등이 있습니다.
기본적으로 대상자에게 전송되는 SharePoint 링크는 링크를 가진 모든 사람이 볼 수 있습니다. --securelink를 사용하면 SharePoint 파일을 해당 링크를 받은 대상자만 볼 수 있도록 설정합니다. 블루팀으로부터 악성코드를 보호하는 데 도움이 될 수 있습니다.
TeamsPhisher는 각 대상 사용자의 이름을 식별하여 인사말과 함께 사용하려고 시도합니다. 예를 들어 [email protected] 사용자는 "안녕하세요 Tom, "으로 시작하는 메시지를 받게 됩니다. 이 기능은 완벽하지 않으며 대상 이메일의 형식에 따라 달라집니다. --preview를 사용하여 대상 목록에 적합한지 확인하세요.
TeamsPhisher가 미리보기 모드로 실행됩니다. 대상 사용자에게 메시지를 보내지 않지만, --personalize 스위치에서 사용할 "친근한" 이름을 표시합니다. 또한 현재 설정으로 대상자가 받게 될 대표적인 테스트 메시지를 발신자의 Teams로 전송합니다. 로그인하여 메시지가 어떻게 보이는지 확인하고 필요에 따라 수정하세요.
대상자 간 메시지 전송 사이에 x초 지연을 지정합니다. 잠재적인 속도 제한 문제를 해결하는 데 도움이 될 수 있습니다.
TeamsPhisher에서 사용하는 기본 인사말을 비활성화합니다. 또한 --personalize 기능도 비활성화합니다. --message로 지정한 메시지에 인사말을 직접 포함하려는 경우 이 옵션을 사용하세요.
TeamsPhisher 출력을 로그 파일에 기록합니다 (사용자 홈 디렉토리에 기록).
python3 teamsphisher.py -u [email protected] -p 'xxxxxxxxxxxx' -l /root/targets.txt -a /root/attachment.zip -m /root/message.txt --log
이 명령은 testuser 계정의 액세스 토큰을 가져와 '/root/attachment.zip' 첨부 파일을 testuser의 Sharepoint에 업로드합니다.
그런 다음 '/root/targets.txt'에 나열된 각 대상과 고유한 Teams 스레드를 생성하고 '/root/message.txt'에 지정된 메시지와 Sharepoint의 첨부 파일 링크를 전송합니다.
TeamsPhisher의 모든 터미널 출력은 사용자 홈 디렉터리에 출력되는 파일에 기록됩니다.```
python3 teamsphisher.py -u [email protected] -p 'xxxxxxxxxxxx' -l /root/targets.txt -a /root/attachment.zip -m /root/message.txt --greeting "Good afternoon" --personalize --securelink
이 명령은 testuser 계정의 액세스 토큰을 가져와서 '/root/attachment.zip' 첨부 파일을 testuser의 Sharepoint에 업로드합니다.
그런 다음 '/root/targets.txt'에 나열된 각 대상에 대해 고유한 Teams 스레드를 만들고 Sharepoint 내 첨부 파일 링크와 함께 '/root/message.txt'에 지정된 메시지를 전송합니다.
메시지 앞에는 "Good afternoon , " 인사말이 붙습니다.
TeamsPhisher는 인사말에 "friendly" 이름을 사용하려고 시도합니다. 이제 인사말은 "Good afternoon ," 이 됩니다.
전송되는 각 SharePoint 링크는 고유하며 해당 특정 대상에 대해서만 유효합니다.
TeamsPhisher는 외부 조직에서 메시지를 보낼 수 없는 계정, 존재하지 않는 계정, 이 공격 벡터와 호환되지 않는 구독 플랜이 있는 계정을 식별합니다:
TeamsEnum 프로젝트의 코드 덕분에 TeamsPhisher는 MFA를 사용하는 발신자 계정으로 로그인을 지원합니다:
--securelink 스위치를 사용하면 대상자가 Sharepoint에서 첨부 파일을 보기 위해 인증하라는 메시지가 표시됩니다. 이것이 추가 단계를 너무 많이 추가하는지, 아니면 실제 Microsoft 로그인 기능을 통해 전송함으로써 '정당성'을 부여하는지 결정할 수 있습니다.
TeamsPhisher.py를 편집하면 이후 실행에 사용할 몇 가지 전역 변수를 변경할 수 있습니다:```
Greeting = "Hi"
useragent = "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko)"
## 개인화 및 "친근한" 이름
--personalize 플래그는 각 대상에 대해 "친근한" 이름을 확인하려고 시도합니다. 이는 enumUser 함수가 반환한 데이터를 살펴보고 먼저 "displayName" 필드를 확인하는 방식으로 작동합니다.
displayName 필드에 공백이 포함된 경우(예: "Tom Jones"), TeamsPhisher는 공백을 기준으로 분할하여 첫 번째 덩어리를 "친근한" 이름으로 사용합니다.
displayName 필드에 공백이 없는 경우(예: 일부 조직에서는 displayName 필드에 UPN을 [email protected]과 같이 입력할 수 있음), TeamsPhisher는 UPN 자체를 구문 분석하려고 시도합니다.
예를 들어 [email protected]과 같은 UPN의 경우 TeamsPhisher는 '@' 문자를 기준으로 분할한 다음 첫 번째 덩어리에서 '.' 문자를 기준으로 분할하여 첫 번째 덩어리를 가져옵니다. 이 경우 "Tom"이라는 "친근한" 이름이 생성됩니다.
이것이 TeamsPhisher가 "친근한" 이름을 식별하기 위해 시도하는 방식의 전부입니다. "[email protected]" 및 "[email protected]"과 같은 대상은 displayName 필드가 위에 설명된 구문 분석 규칙과 일치하지 않으면 "친근한" 이름이 식별되지 **않습니다**.
# 완화
조직은 Microsoft Teams 관리 센터의 사용자 -> 외부 액세스에서 외부 액세스 관련 옵션을 관리하여 이 취약점으로 인한 위험을 완화할 수 있습니다.
Microsoft는 조직이 필요에 가장 적합한 권한을 선택할 수 있도록 유연성을 제공하며, 여기에는 유니버설 차단 및 특정 외부 테넌트만 통신 허용 목록에 추가하는 것이 포함됩니다.
# 변경 로그
## v1.2
DenSecure 팀의 풀 리퀘스트를 병합했습니다. 여기에는 (24. 2. 7. 기준) 작동하는 외부 사용자 스플래시 화면 우회가 포함되어 있습니다.
TeamsPhisher 워크플로우의 변경 사항은 다행히도 매우 작고 통합하기 쉽습니다. 대상 사용자와 그룹 채팅이 생성되고 메시지가 전송된 후, 대상 사용자를 그룹 채팅에서 제거하는 추가 요청이 이루어집니다. 이로 인해 사용자는 외부 사용자 스플래시 화면 없이 메시지를 받게 됩니다.
TeamsPhisher가 현재 사용하는 기술에 대한 최신 정보로 README를 업데이트했습니다.
## v1.1.2
사용자들이 Sharepoint에 첨부 파일을 업로드할 때 보고했던 오류를 수정했습니다. 이 오류는 사용자가 테넌트와 함께 사용자 정의 도메인을 사용할 때 발생하는 명명/이름 변경 규칙에서 비롯되었습니다.
사용자가 @domain.onmicrosoft.com 도메인이 **아닌** 도메인을 사용하는 경우 문제를 피하기 위해 -s 스위치를 사용하여 수동으로 sharepoint 사이트를 지정해야 하는지 확인하는 검증 확인을 추가했습니다.
설정 섹션을 업데이트하여 TeamsPhisher를 사용하기 전에 적어도 한 번은 Sharepoint에 로그인해야 한다는 내용을 추가했습니다. 한 사용자가 계정으로 이전에 로그인한 적이 없으면 TeamsPhisher가 실패한다는 점을 확인했습니다.
getSenderInfo 웹 요청에 &top=999 매개변수를 추가하여 페이지당 검색되는 사용자 수를 늘리고 사용자를 찾는 데 필요한 요청 수를 줄였습니다.
### Sharepoint URI 조립 시 사용자 이름에서 '.' 구문 분석 관련 변경 사항 되돌리기
v1.1은 필요한 Sharepoint URI를 생성하기 위해 사용자 이름에서 '.' 문자가 포함된 경우 이를 구문 분석하는 방식을 변경했습니다. 몇 가지 별개의 문제가 있었고 저는 이 중 하나의 원인을 잘못 식별했습니다. 이 변경 사항은 되돌려졌습니다. 결과적으로 [email protected]과 같은 사용자 이름은 이제 "tom_jones_mytest_onmicrosoft_com"이 아닌 "tom.jones_mytest_onmicrosoft_com" 형태의 sharepoint URI가 조립됩니다.
## v1.1.1
사소한 수정
## v1.1
버전 번호를 올리지 않고 다양한 작은 문제를 해결하기 위한 몇 가지 커밋이 있었습니다. 엉성해서 죄송합니다.
v1.1은 사용자들이 겪었던 일반적인 몇 가지 문제를 해결하기 위한 몇 가지 변경 사항을 제공합니다.
### -s, --sharepoint 인수
이 선택적 인수는 사용자가 수동으로 sharepoint 루트 이름을 지정할 수 있도록 추가되었습니다. 사용자가 테넌트의 도메인 이름을 사용자 정의 도메인으로 변경한 경우(예: 사용자 이름이 [email protected] 대신 [email protected]인 경우) 일반적인 문제가 발생했습니다. TeamsPhisher의 초기 릴리스는 사용자 정보에서 발신자의 사용자 계정 이름(UPN)을 구문 분석하여 Sharepoint 주소와 필수 URI 경로를 조립했습니다. 테넌트의 도메인이 사용자 정의 도메인으로 변경되면 사용자의 UPN도 이에 맞게 변경됩니다. 그러나 테넌트의 sharepoint 주소는 항상 동일하게 유지됩니다(테넌트가 처음 생성되었을 때의 주소).
테넌트의 현재 Sharepoint 주소를 확인할 수 있는 좋은 방법을 찾지 못했습니다. Graph API를 사용하면 쉽게 할 수 있지만, 이 도구에 Graph를 구현하려면 사용자가 TeamsPhisher를 사용하기 위해 더 많은 설정을 해야 합니다. 저는 수동으로 sharepoint 이름을 지정할 수 있는 옵션을 제공하는 것이 가장 쉬운 해결책이라고 생각했습니다.
### 수동 옵션을 사용하지 않을 때 Sharepoint 주소 및 필수 URI 구문 분석 개선
사용자 정의 도메인을 사용하지 않는 사용자로부터 Sharepoint 관련 404 Not Found 오류가 계속 발생한다는 보고가 있었습니다. 이는 사용자 이름에 '.'이 포함되어 있기 때문이라고 생각합니다(예: [email protected]). 이전 버전의 TeamsPhisher는 필요한 Sharepoint URI를 조립하기 위해 사용자의 UPN에 대해 더 간단한 찾기 및 바꾸기 기능을 사용했지만, v1.1은 이제 교체해야 하는 '.' 문자를 구체적으로 대상으로 삼고 사용자 이름 필드의 다른 '.'은 그대로 둡니다.
### 메시지 본문의 특수 문자(예: 'ö')로 인해 더 이상 서버 오류가 발생하지 않음
매우 간단한 수정이었지만 추적하는 데 너무 오래 걸렸습니다. sendFile POST 요청에 utf-8 인코딩을 추가했습니다. 이제 메시지에 특수 문자를 사용할 수 있습니다.
### 사소한 코드 정리
몇 가지 주석을 수정하고 main에서 필요한 파일을 인증을 시도하기 전에 확인하는 순서로 다시 정렬했습니다.
## v1.0 - 최초 릴리스
# 크레딧 및 감사의 말
1. JUMPSEC의 Max Corbridge(@CorbridgeMax) 및 Tom Ellson(@tde_sec)이 작성한 [이 기사](https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/). 특히 Max가 매우 응답이 빠르고 자신의 연구에 대해 비공개로 대화하려는 의지가 있었던 점에 대해 추가로 감사드립니다.
2. Andrea Santese(@Medu554)의 [이 연구](https://posts.inthecyber.com/leveraging-microsoft-teams-for-initial-access-42beb07f12c4)에 대해. 다시 한 번 그의 응답성과 자신의 작업에 대해 비공개로 논의하려는 의지에 대해 추가로 감사드립니다.
3. SSE의 Bastian Kanbach(@_bka_)의 [TeamsEnum](https://github.com/sse-secure-systems/TeamsEnum). 이 프로젝트는 Bearer 토큰 검색 및 다양한 방법을 통한 인증의 출발점이 되었습니다. 저는 이러한 목적으로 Graph API를 사용했지만, 그의 프로젝트(그리고 이 프로젝트)는 일반 엔드포인트를 사용하므로 이미 이 문제를 해결하고 이를 수행할 수 있는 신뢰할 수 있는 함수를 가지고 있는 사람이 있다는 것은 큰 도움이 되었습니다.
4. @pfiatde. 이 분은 [Teams 피싱에 대한 다중 시리즈 블로그](https://badoption.eu/blog/2024/01/12/teams5.html)를 작성하셨습니다. 그의 블로그는 TeamsPhisher의 초기 개발 중에 참조되었으며, 현재 버전의 도구는 그가 나중에 발표한 연구에서 나온 새로운 스플래시 화면 우회 기능을 사용합니다.
5. DenSecure의 Steve Nelson(@stevesec128) 및 Alex Martirosyan(@almartiros)이 TeamsPhisher에 대한 업데이트(24. 2. 7.)를 제공하여 @pfiatde의 여전히 작동하는 스플래시 화면 우회 기능을 통합했습니다.
6. [ASCII 텍스트 생성을 위한 이 사이트](https://patorjk.com/software/taag/#p=display&f=Graffiti&t=Type%20Something%20)
7. [이미지를 ASCII 아트로 변환하는 이 놀라운 프로젝트](https://github.com/TheZoraiz/ascii-image-converter)