PHISHING — CREDENTIAL HARVESTING
Gefälschte Login-Seite erstellen
1
VORLAGE & KONFIGURATION
LOGO
Kein Logo
BitB erzeugt eine gefälschte Browser-Popup-Überlagerung — die Login-Seite erscheint in einem täuschend echten Browserfenster mit gefälschter URL-Leiste (z.B.
login.microsoftonline.com). Perfekt für Seiten die "Mit Microsoft anmelden" anbieten.2
E-MAIL VERSENDENLink in Betreff/Text einbetten — Ziel klickt auf gefälschte Login-Seite.
BETREFF
E-MAIL TEXT
Erst Phishing-Seite erstellen — dann erscheint hier der Text.
SO FUNKTIONIERT ES — SCHRITT FÜR SCHRITT ▼
1
Vorlage konfigurieren
Wähle eine der vier Vorlagen: Microsoft 365 (zweistufiger Login — erst E-Mail, dann Kennwort), VPN-Portal (dunkles Corporate-Design), HR Self-Service (Mitarbeiter-Login), Webmail/OWA (Outlook-Look).
Alle Vorlagen können mit dem Firmennamen und einem Logo angepasst werden — das erhöht die Glaubwürdigkeit erheblich, wenn die Zielorganisation bekannt ist. Das Logo wird als Base64-URI eingebettet und funktioniert ohne Nachladung.
E-Mail vorausfüllen: Falls der Benutzername bekannt ist (z.B. aus OSINT), kann das E-Mail-Feld vorausgefüllt werden. Das Ziel sieht nur noch das Kennwort-Feld — sieht aus wie ein legitimer Single-Sign-On.
Alle Vorlagen können mit dem Firmennamen und einem Logo angepasst werden — das erhöht die Glaubwürdigkeit erheblich, wenn die Zielorganisation bekannt ist. Das Logo wird als Base64-URI eingebettet und funktioniert ohne Nachladung.
E-Mail vorausfüllen: Falls der Benutzername bekannt ist (z.B. aus OSINT), kann das E-Mail-Feld vorausgefüllt werden. Das Ziel sieht nur noch das Kennwort-Feld — sieht aus wie ein legitimer Single-Sign-On.
2
Browser-in-the-Browser (BitB) — optional
BitB ist eine Technik bei der keine eigene Domain benötigt wird. Statt einen Link auf eine gefälschte Seite zu schicken, öffnet sich ein täuschend echtes Browser-Fenster als Overlay — komplett mit macOS-Ampeln, einer URL-Leiste die login.microsoftonline.com anzeigt, und dem eigentlichen Login-Formular als iframe.
Der Trick: Das "Fenster" ist kein echtes Browserfenster — es ist reines CSS/HTML auf der Seite. Aber es sieht täuschend echt aus, besonders auf Bildschirmen wo der Nutzer nicht genau hinschaut.
Einsatzszenarien: Seiten die "Mit Microsoft anmelden" oder OAuth-Popups nutzen. Der Nutzer klickt auf diesen Button, das gefälschte Fenster erscheint, er gibt seine Zugangsdaten ein.
Der Trick: Das "Fenster" ist kein echtes Browserfenster — es ist reines CSS/HTML auf der Seite. Aber es sieht täuschend echt aus, besonders auf Bildschirmen wo der Nutzer nicht genau hinschaut.
Einsatzszenarien: Seiten die "Mit Microsoft anmelden" oder OAuth-Popups nutzen. Der Nutzer klickt auf diesen Button, das gefälschte Fenster erscheint, er gibt seine Zugangsdaten ein.
3
Seite erstellen und Link versenden
Nach dem Klick auf PHISHING-SEITE ERSTELLEN wird eine eindeutige URL generiert — die Seite ist sofort über das Tailscale-Funnel erreichbar (gleiche Domain wie der SPECTRE-Server, keine separate Domain nötig).
Den Link aus der E-Mail-Vorlage kopieren und per E-Mail versenden. Bei BitB: Den BitB-Link verwenden — dieser zeigt eine unauffällige Hintergrundseite mit einem "Mit Microsoft anmelden"-Button.
Keine Domain-Registrierung, kein Let's Encrypt, kein NGINX-Setup — alles läuft über das bestehende HTTPS-Zertifikat des Tailscale-Funnels.
Den Link aus der E-Mail-Vorlage kopieren und per E-Mail versenden. Bei BitB: Den BitB-Link verwenden — dieser zeigt eine unauffällige Hintergrundseite mit einem "Mit Microsoft anmelden"-Button.
Keine Domain-Registrierung, kein Let's Encrypt, kein NGINX-Setup — alles läuft über das bestehende HTTPS-Zertifikat des Tailscale-Funnels.
4
Ziel gibt Zugangsdaten ein — du siehst es live
Sobald das Ziel das Formular absendet, werden Benutzername und Kennwort sofort in der Credentials-Tabelle (Abschnitt 3) angezeigt — inklusive Zeitstempel und IP-Adresse. Diese Seite prüft alle 4 Sekunden.
Das Ziel sieht nach dem Absenden eine Fehlermeldung ("Ihr Konto oder Kennwort ist falsch") und wird nach 3 Sekunden weitergeleitet — das wirkt wie ein normaler Login-Fehler und weckt keinen Verdacht. Viele Nutzer versuchen es dann mit einer anderen Schreibweise oder geben es auf — die Credentials sind bereits gespeichert.
Kennwort anzeigen: In der Tabelle auf das maskierte Kennwort klicken — es wird in die Zwischenablage kopiert.
Das Ziel sieht nach dem Absenden eine Fehlermeldung ("Ihr Konto oder Kennwort ist falsch") und wird nach 3 Sekunden weitergeleitet — das wirkt wie ein normaler Login-Fehler und weckt keinen Verdacht. Viele Nutzer versuchen es dann mit einer anderen Schreibweise oder geben es auf — die Credentials sind bereits gespeichert.
Kennwort anzeigen: In der Tabelle auf das maskierte Kennwort klicken — es wird in die Zwischenablage kopiert.
Kombinierbar mit Backdoor: Phishing allein gibt nur Zugangsdaten — kein Shell-Zugriff. Für vollen Zugang beide Module kombinieren: Erst Phishing → Zugangsdaten → dann Backdoor-Link in Folge-E-Mail senden ("Sicherheitsupdate erforderlich, bitte Tool ausführen"). Das Ziel ist bereits manipuliert und klickt eher auf einen zweiten Link.
HÄUFIGE FRAGEN (FAQ) ▼
Brauche ich eine eigene Domain (z.B. microsoft-login.de)?
Nein. Die Phishing-Seite läuft auf der gleichen Domain wie der SPECTRE-Server (serviceportal.tail295d24.ts.net). Das ist technisch ausreichend — die meisten Nutzer schauen nicht in die URL-Leiste, besonders wenn die E-Mail überzeugend ist. Mit BitB wird sogar eine täuschend echte URL-Leiste angezeigt, ohne dass eine echte Domain registriert werden muss.
Was passiert nach dem Absenden — merkt das Ziel etwas?
Das Ziel sieht eine generische Fehlermeldung ("Kennwort falsch") und wird nach 3 Sekunden auf die vorherige Seite zurückgeleitet. Das wirkt wie ein normaler Anmeldefehler — die meisten Nutzer versuchen es erneut oder tippen ihr Kennwort nach. In beiden Fällen sind die Credentials bereits gespeichert.
Fortgeschrittener Ansatz: Das Ziel nach der "Fehlermeldung" direkt auf die echte Microsoft/VPN-Seite weiterleiten — dann meldet es sich dort erfolgreich an und bemerkt nichts Ungewöhnliches. Das erfordert eine manuelle Änderung der _render_error_page()-Funktion in phishing.py.
Fortgeschrittener Ansatz: Das Ziel nach der "Fehlermeldung" direkt auf die echte Microsoft/VPN-Seite weiterleiten — dann meldet es sich dort erfolgreich an und bemerkt nichts Ungewöhnliches. Das erfordert eine manuelle Änderung der _render_error_page()-Funktion in phishing.py.
Was ist der Unterschied zwischen der normalen Seite und BitB?
Normale Seite: Ziel klickt Link in E-Mail → Browser navigiert zur Phishing-Seite. In der URL-Leiste steht die echte SPECTRE-Domain. Das fällt aufmerksamen Nutzern auf.
BitB: Ziel klickt Link → sieht eine neutrale Hintergrundseite (z.B. "Zugang anfordern"). Klickt auf "Mit Microsoft anmelden" → es öffnet sich ein scheinbares Browser-Popup mit einer gefälschten URL-Leiste. Das Popup ist in Wirklichkeit nur HTML/CSS auf der Seite — lässt sich nicht aus dem eigentlichen Browserfenster herausziehen, was aufmerksame Nutzer misstrauisch machen kann.
BitB: Ziel klickt Link → sieht eine neutrale Hintergrundseite (z.B. "Zugang anfordern"). Klickt auf "Mit Microsoft anmelden" → es öffnet sich ein scheinbares Browser-Popup mit einer gefälschten URL-Leiste. Das Popup ist in Wirklichkeit nur HTML/CSS auf der Seite — lässt sich nicht aus dem eigentlichen Browserfenster herausziehen, was aufmerksame Nutzer misstrauisch machen kann.
Wie viele Phishing-Seiten kann ich gleichzeitig betreiben?
Beliebig viele — jede Seite erhält einen eindeutigen 8-Zeichen-Token und ist sofort aktiv. Alle Seiten laufen parallel. In der Tabelle "Aktive Phishing-Seiten" ist sichtbar wie viele Credentials pro Seite erfasst wurden. Seiten können einzeln gelöscht werden.
Werden die Credentials dauerhaft gespeichert?
Ja — alle Credentials werden in /mnt/llm/spectre/loot/phishing/creds.json gespeichert und bleiben auch nach einem Server-Neustart erhalten. Der LÖSCHEN-Button löscht alle Einträge unwiderruflich. Einzelne Einträge können über die JSON-Datei manuell entfernt werden.