ReelPhish

Инструкции для ReelPhish:

Этот инструмент был выпущен вместе с публикацией в блоге FireEye. Запись в блоге можно найти по следующей ссылке: https://www.fireeye.com/blog/threat-research/2018/02/reelphish-real-time-two-factor-phishing-tool.html

Этапы установки

1. Требуется последняя версия Python 2.7.x.

2. Установите Selenium — необходимую зависимость для запуска драйверов браузера.

   • pip install -r requirements.txt

3. Загрузите драйверы браузеров для всех веб-браузеров, которые вы планируете использовать. Исполняемые файлы должны быть помещены в эту корневую директорию с указанной ниже схемой именования.

   • Internet Explorer: www.seleniumhq.org/download/

     • Загрузите Internet Explorer Driver Server для 32-разрядной версии Windows IE. Распакуйте файл и переименуйте исполняемый файл в: IEDriver.exe.
     • Чтобы драйвер Internet Explorer работал, убедитесь, что защищенный режим отключен. В IE11 (64-разрядная Windows) необходимо создать ключ реестра "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BFCACHE". В этом ключе создайте значение DWORD с именем iexplore.exe и установите значение 0.
     • Дополнительную информацию о требованиях Internet Explorer можно найти на странице www.github.com/SeleniumHQ/selenium/wiki/InternetExplorerDriver

   • Firefox: www.github.com/mozilla/geckodriver/releases/

     • Загрузите последнюю версию Firefox GeckoDriver для 32-разрядной версии Windows. Распакуйте файл и переименуйте исполняемый файл в: FFDriver.exe.
       • В системах Linux загрузите Linux-версию Firefox GeckoDriver и переименуйте исполняемый файл в: FFDriver.bin. Поддержка Linux является экспериментальной.
     • Gecko Driver имеет особые требования. Скопируйте FFDriver.exe в geckodriver.exe и поместите его в переменную PATH. Кроме того, добавьте firefox.exe в переменную PATH.

   • Chrome: https://chromedriver.storage.googleapis.com/index.html?path=2.35/

     • Загрузите последнюю версию Google Chrome Driver для 32-разрядной версии Windows. Распакуйте файл и переименуйте исполняемый файл в: ChromeDriver.exe.
       • В системах Linux загрузите Linux-версию Chrome Web Driver и переименуйте исполняемый файл в: ChromeDriver.bin. Поддержка Linux является экспериментальной.

Запуск ReelPhish

ReelPhish состоит из двух компонентов: кода обработки фишингового сайта и этого скрипта. Фишинговый сайт может быть спроектирован по вашему желанию. Пример PHP-кода находится в /examplesitecode. Пример кода будет принимать имя пользователя и пароль из HTTP POST-запроса и передавать их в фишинговый скрипт.

Фишинговый скрипт прослушивает локальный порт и ожидает пакет с учетными данными. После получения учетных данных фишинговый скрипт открывает новый экземпляр веб-браузера и переходит по нужному URL (фактический сайт, куда вы будете вводить учетные данные пользователя). Учетные данные будут отправлены веб-браузером.

Рекомендуемый способ обработки связи между фишинговым сайтом и этим скриптом — использование обратного SSH-туннеля. Именно поэтому пример PHP-кода фишингового сайта отправляет учетные данные на localhost:2135.

Аргументы ReelPhish

1. Необходимо указать браузер, который вы будете использовать, с помощью параметра --browser. Поддерживаемые браузеры включают Internet Explorer ("--browser IE"), Firefox ("--browser FF") и Chrome ("--browser Chrome"). Поддерживаются как Windows, так и Linux. Chrome требует наименьшего количества шагов настройки. См. инструкции по установке выше для получения дополнительной информации.
2. Необходимо указать URL. Скрипт перейдет по этому URL и отправит учетные данные от вашего имени.
3. Доступны другие необязательные параметры.
   • Установите параметр логирования в debug (--logging debug) для подробного логирования событий
   • Установите параметр submit (--submit) для настройки элемента, который "нажимается" браузером
   • Установите параметр override (--override) для игнорирования отсутствующих элементов формы
   • Установите параметр numpages (--numpages) для увеличения количества страниц аутентификации (см. раздел ниже)

Поддержка многостраничной аутентификации

ReelPhish поддерживает несколько страниц аутентификации. Например, в некоторых случаях код двухфакторной аутентификации может запрашиваться на второй странице. Для реализации этой функции убедитесь, что --numpages установлен равным количеству страниц аутентификации. Также убедитесь, что идентификатор сессии правильно отслеживается на вашем фишинговом сайте. Идентификатор сессии используется для отслеживания пользователей по мере их прохождения через каждый шаг аутентификации.

В некоторых случаях может потребоваться извлечение определенного контента (например, кода вызова) с конкретной страницы аутентификации. Пример закомментированного кода для выполнения операции извлечения приведен в ReelPhish.py.