Realizando Acesso Inicial com EvilGinx3

Visão Geral

EvilGinx3 é um framework de ataque man-in-the-middle usado para phishing de credenciais de login junto com cookies de sessão, permitindo a bypass da autenticação multifator (MFA). Diferente do phishing de credenciais tradicional que apenas captura nomes de usuário e senhas, o EvilGinx3 opera como um proxy reverso transparente entre a vítima e o serviço de autenticação legítimo, interceptando todo o fluxo de autenticação, incluindo tokens de MFA e cookies de sessão. Isso o torna a ferramenta principal para equipes vermelhas demonstrarem o risco de ataques adversary-in-the-middle (AiTM) contra organizações que dependem apenas de MFA para proteção.

Quando Usar

• Ao realizar avaliações de segurança que envolvam acesso inicial com evilginx3
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Implantar o EvilGinx3 com phishlets personalizados visando o escopo autorizado
• Configurar DNS e certificados SSL para o domínio de phishing
• Capturar tokens de sessão que bypassam proteções de MFA
• Importar cookies de sessão roubados em um navegador para sequestrar sessões autenticadas
• Integrar com GoPhish ou mecanismos de entrega personalizados para campanhas de e-mail de phishing
• Documentar a cadeia de ataque completa, desde o e-mail de phishing até o acesso autenticado

Mapeamento MITRE ATT&CK

• T1566.002 - Phishing: Spearphishing Link
• T1557 - Adversary-in-the-Middle
• T1539 - Roubar Cookie de Sessão Web
• T1078 - Contas Válidas
• T1556 - Modificar Processo de Autenticação
• T1550.004 - Usar Material de Autenticação Alternativo: Cookie de Sessão Web

Fluxo de Trabalho

Fase 1: Configuração da Infraestrutura

1. Registrar um domínio convincente de aparência semelhante (ex: usando homóglifos ou typosquatting)
2. Provisionar um VPS e apontar o registro A do DNS do domínio para o IP do servidor
3. Instalar o EvilGinx3:

   git clone https://github.com/kgretzky/evilginx2.git
   cd evilginx2
   make
   sudo ./bin/evilginx -p ./phishlets
   

4. Configurar o domínio e o IP no EvilGinx3:

   config domain example-phish.com
   config ipv4 <server-ip>
   

5. O EvilGinx3 provisiona automaticamente certificados Let's Encrypt para os nomes de host configurados

Fase 2: Configuração do Phishlet

1. Selecionar ou criar um phishlet para o serviço alvo (ex: Microsoft 365, Google Workspace):

   phishlets hostname o365 login.example-phish.com
   phishlets enable o365
   

2. Verificar se o phishlet está ativo e se o certificado SSL foi emitido:

   phishlets
   

3. Criar um URL de isca para a campanha de phishing:

   lures create o365
   lures get-url 0
   

4. Opcionalmente, configurar um URL de redirecionamento para após a captura:

   lures edit 0 redirect_url https://legitimate-site.com
   

Fase 3: Entrega do Phishing

1. Elaborar um e-mail de pretexto com o URL de isca incorporado
2. Usar GoPhish ou SMTP manual para entrega de e-mail:

   # Integration with EvilGoPhish for combined campaigns
   # Provides GoPhish email tracking + EvilGinx3 credential capture
   

3. Implementar mascaramento ou encurtamento de URL, se necessário, para ofuscação do link
4. Implantar a página de destino com o pretexto de engenharia social apropriado

Fase 4: Sequestro de Sessão

1. Monitorar o EvilGinx3 para sessões capturadas:

   sessions
   sessions <session-id>
   

2. Extrair cookies de sessão capturados da sessão:

   # Session output includes:
   # - Username and password
   # - Session cookies (authentication tokens)
   # - Custom captured parameters
   

3. Importar cookies de sessão em um navegador usando uma extensão de editor de cookies:
   • Exportar cookies em formato JSON
   • Usar a extensão de navegador Cookie-Editor ou EditThisCookie
   • Navegar até o serviço alvo para validar o sequestro de sessão
4. Estabelecer acesso persistente criando senhas de aplicativo ou tokens OAuth

Fase 5: Atividades Pós-Acesso

1. Enumerar o conteúdo da caixa de correio, contatos e unidades compartilhadas
2. Identificar alvos adicionais para phishing lateral
3. Verificar o acesso a aplicativos em nuvem conectados (SharePoint, Teams, OneDrive)
4. Documentar todas as credenciais capturadas e o acesso obtido

Ferramentas e Recursos

| Ferramenta | Propósito | Plataforma | …