Frameless BITB

Новый подход к концепции Browser In The Browser (BITB) без использования iframe, позволяющий обходить традиционные framebusters, реализованные на страницах входа, таких как Microsoft.

Этот POC-код создан для использования нового BITB с Evilginx и фишлетом Microsoft Enterprise.

Прежде чем углубляться, рекомендую сначала ознакомиться с моим выступлением на BSides 2023, где я впервые представил эту концепцию вместе с важными деталями о том, как создать «идеальную» фишинговую атаку. ▶ Смотреть видео

☕︎ Купи мне кофе

Видеоурок: 👇

Отказ от ответственности

Этот инструмент предназначен только для образовательных и исследовательских целей. Он демонстрирует метод Browser In The Browser (BITB) без использования iframe. Автор не несет ответственности за любое неправомерное использование. Используйте этот инструмент только законно и этично, в контролируемых средах для тестирования защиты кибербезопасности. Используя этот инструмент, вы соглашаетесь делать это ответственно и на свой страх и риск.

Предыстория — Зачем

За последний год я экспериментировал с различными трюками, чтобы создать «идеальную» фишинговую атаку. Типичные «красные флаги», на которые людей учат обращать внимание, — это срочность, угрозы, авторитет, плохая грамматика и т.д. Следующее, что люди сейчас проверяют, — это ссылка/URL веб-сайта, с которым они взаимодействуют, и они становятся очень осознанными в тот момент, когда их просят ввести конфиденциальные учетные данные, такие как электронная почта и пароли.

Вот тут и вступает в игру Browser In The Browser (BITB). Первоначально представленный @mrd0x, BITB — это концепция создания видимости правдоподобного окна браузера, внутри которого злоумышленник контролирует содержимое (путем отображения вредоносного сайта внутри iframe). При этом поддельная адресная строка поддельного окна браузера установлена на легитимный сайт, который ожидает пользователь. В сочетании с таким инструментом, как Evilginx, это становится идеальным рецептом для правдоподобной фишинговой атаки.

Проблема в том, что за последние месяцы/годы крупные сайты, такие как Microsoft, внедрили различные маленькие трюки под названием «framebusters/framekillers», которые в основном пытаются сломать iframe, которые могут использоваться для отображения прокси-сайта, как в случае с Evilginx.

Короче говоря, Evilginx + BITB для таких сайтов, как Microsoft, больше не работает. По крайней мере, не с BITB, основанным на iframe.

Что это

Browser In The Browser (BITB) без каких-либо iframe! Вот так просто.

Это означает, что теперь мы можем использовать BITB с Evilginx на таких сайтах, как Microsoft.

Evilginx здесь — это лишь яркий пример, но та же концепция может быть использована и для других сценариев.

Как это работает

Framebusters нацелены именно на iframe, поэтому идея состоит в том, чтобы создать эффект BITB без использования iframe и без нарушения исходной структуры/содержимого прокси-страницы. Этого можно достичь путем внедрения скриптов и HTML рядом с исходным содержимым с помощью поиска и замены (также известной как substitutions), а затем полагаясь исключительно на трюки HTML/CSS/JS для создания визуального эффекта. Мы также используем дополнительный трюк под названием «Shadow DOM» в HTML, чтобы разместить содержимое целевой страницы (фон) таким образом, чтобы оно не мешало прокси-контенту, что позволяет нам гибко использовать любую целевую страницу с небольшими дополнительными JS-скриптами.

Инструкции

Видеоурок

https://youtu.be/luJjxpEwVHI

Локальная ВМ:

Создайте локальную Linux ВМ. (Я лично использую Ubuntu 22 на VMWare Player или Parallels Desktop)

Обновите и обновите системные пакеты:

sudo apt update && sudo apt upgrade -y

Настройка Evilginx:

Опционально:

Создайте нового пользователя evilginx и добавьте его в группу sudo:

sudo su

adduser evilginx

usermod -aG sudo evilginx

Проверьте, что пользователь evilginx находится в группе sudo:

su - evilginx

sudo ls -la /root

Перейдите в домашнюю директорию пользователя:

cd /home/evilginx

(Вы также можете все делать как sudo пользователь, так как мы все запускаем локально)

Установка Evilginx

Скачайте и соберите Evilginx: Официальная документация

Скопируйте файлы Evilginx в /home/evilginx

wget https://go.dev/dl/go1.21.4.linux-amd64.tar.gz

sudo tar -C /usr/local -xzf go1.21.4.linux-amd64.tar.gz

nano ~/.profile

ДОБАВЬТЕ: export PATH=$PATH:/usr/local/go/bin

source ~/.profile

Проверьте:

go version

Установите make:

sudo apt install make

Соберите Evilginx:

cd /home/evilginx/evilginx2

make

Создайте новую директорию для нашей сборки evilginx вместе с фишлетами и редиректорами:

mkdir /home/evilginx/evilginx

Скопируйте сборку, фишлеты и редиректоры:

cp /home/evilginx/evilginx2/build/evilginx /home/evilginx/evilginx/evilginx

cp -r /home/evilginx/evilginx2/redirectors /home/evilginx/evilginx/redirectors

cp -r /home/evilginx/evilginx2/phishlets /home/evilginx/evilginx/phishlets

Быстрое исправление брандмауэра Ubuntu (спасибо @kgretzky)

sudo setcap CAP_NET_BIND_SERVICE=+eip /home/evilginx/evilginx/evilginx

В Ubuntu, если вы получаете ошибку Failed to start nameserver on: :53, попробуйте изменить этот файл

sudo nano /etc/systemd/resolved.conf

отредактируйте/добавьте DNSStubListener в no > DNSStubListener=no

затем

sudo systemctl restart systemd-resolved

Изменение конфигураций Evilginx:

Поскольку мы будем использовать Apache2 перед Evilginx, нам нужно заставить Evilginx слушать другой порт, отличный от 443.

nano ~/.evilginx/config.json

ИЗМЕНИТЕ https_port с 443 на 8443

Установка Apache2 и включение модулей:

Установите Apache2:

sudo apt install apache2 -y

Включите модули Apache2, которые будут использоваться: (Мы также отключаем модуль access_compat, так как он иногда вызывает проблемы)

sudo a2enmod proxy
sudo a2enmod proxy_http
sudo a2enmod proxy_balancer
sudo a2enmod lbmethod_byrequests
sudo a2enmod env
sudo a2enmod include
sudo a2enmod setenvif
sudo a2enmod ssl
sudo a2ensite default-ssl
sudo a2enmod cache
sudo a2enmod substitute
sudo a2enmod headers
sudo a2enmod rewrite
sudo a2dismod access_compat

Запустите и включите Apache:

sudo systemctl start apache2

sudo systemctl enable apache2

Проверьте, работает ли Apache и сетевое взаимодействие ВМ, перейдя по IP-адресу ВМ из браузера на хост-машине.

Клонирование этого репозитория:

Установите git, если он еще не установлен:

sudo apt -y install git

Клонируйте этот репозиторий:

git clone https://github.com/waelmas/frameless-bitb

cd frameless-bitb

Пользовательские страницы Apache:

Создайте каталоги для страниц, которые мы будем обслуживать:

• home: (Опционально) Домашняя страница (на основном домене)
• primary: Целевая страница (фон)
• secondary: Окно BITB (передний план)

sudo mkdir /var/www/home
sudo mkdir /var/www/primary
sudo mkdir /var/www/secondary

Скопируйте каталоги для каждой страницы:

sudo cp -r ./pages/home/ /var/www/

sudo cp -r ./pages/primary/ /var/www/

sudo cp -r ./pages/secondary/ /var/www/

Опционально: Удалите страницу Apache по умолчанию (не используется):

sudo rm -r /var/www/html/

Скопируйте фишлет O365 в каталог phishlets:

sudo cp ./O365.yaml /home/evilginx/evilginx/phishlets/O365.yaml