CVE-2024-21413 – ثغرة Moniker Link في Microsoft Outlook

نظرة عامة

يوثّق هذا المستودع تحليلي العملي لـ CVE-2024-21413 (Moniker Link)، وهي ثغرة حرجة في Microsoft Outlook تتجاوز Protected View لتسريب بيانات اعتماد Windows NetNTLMv2 عبر مصادقة SMB.

الخطورة: حرجة (CVSS 9.8)

أهداف التعلم

فهم روابط Moniker
التعرّف على كيفية عمل Protected View في Outlook
تحليل CVE-2024-21413
التقاط بيانات اعتماد NTLM
كشف رسائل البريد الإلكتروني الخبيثة
تطبيق استراتيجيات التخفيف

تفاصيل الثغرة

الحقل	القيمة
CVE	CVE-2024-21413
تاريخ النشر	13 فبراير 2024
المورّد	Microsoft
الخطورة	حرجة
CVSS	9.8
التأثير	تسريب بيانات الاعتماد واحتمال RCE
تعقيد الهجوم	منخفض

سير الهجوم

Attacker
    │
    ▼
Malicious HTML Email
    │
    ▼
Victim Clicks Moniker Link
    │
    ▼
Protected View Bypass
    │
    ▼
SMB Authentication
    │
    ▼
Responder
    │
    ▼
NetNTLMv2 Hash Captured

بيئة المختبر

TryHackMe AttackBox
جهاز Windows معرّض للثغرة
Microsoft Outlook
Python PoC
Responder
Wireshark

خطوات الاستغلال

إعداد Python PoC
تعديل عنوان IP للمهاجم
إعداد خادم SMTP
تشغيل Responder
إرسال بريد إلكتروني خبيث
نقر الضحية على رابط Moniker
حدوث مصادقة SMB
التقاط تجزئة NetNTLMv2

الكشف

YARA

يكشف عن:

file://
روابط HTML مشبوهة
محاولات استغلال Moniker Link

كشف الشبكة

طلبات مصادقة SMB
حركة SMB صادرة غير متوقعة
أحداث مصادقة NetNTLMv2

الأدوات

YARA
Wireshark
Responder

التخفيف

تثبيت التحديثات الأمنية الصادرة عن Microsoft في فبراير 2024
الحفاظ على تحديث Office
توعية المستخدمين ضد التصيد
التحقق من الروابط قبل النقر عليها
مراقبة حركة SMB
تقييد حركة SMB الصادرة حيثما كان ذلك مناسبًا

المهارات المكتسبة

تحليل الثغرات
أمان Outlook
أمان البريد الإلكتروني
مصادقة NTLM
سرقة بيانات الاعتماد
بروتوكول SMB
Responder
كشف YARA
تحليل Wireshark
كشف الحوادث

النقاط الرئيسية

يمكن تجاوز Protected View في Outlook.
تستغل روابط Moniker وظائف Windows COM.
تؤدي مصادقة SMB إلى تسريب تجزئات NetNTLMv2.
إدارة التحديثات هي الدفاع الأكثر فعالية.
يتطلب الكشف مراقبة نقاط النهاية والشبكة معًا.

المراجع

نشرة Microsoft الأمنية
Check Point Research
TryHackMe – Moniker Link (CVE-2024-21413)

⭐ إذا وجدت هذا المستودع مفيدًا، لا تتردد في وضع نجمة عليه والتواصل معي على LinkedIn بينما أواصل توثيق رحلتي في تعلم الأمن السيبراني.

CVE-2024-21413-Microsoft-Outlook-Moniker-Link-Vulnerability

الأكثر شعبية