CVE-2024-21413-Microsoft-Outlook-Moniker-Link-Vulnerability

Lab-Bericht zur Analyse der CVE-2024-21413 Outlook Moniker Link-Ausnutzung, NetNTLMv2-Credential-Leakage über SMB, Erkennung mit YARA/Wireshark und Minderungsstrategien.

Details zur Schwachstelle

Angriffsablauf

Laborumgebung

• TryHackMe AttackBox
• Verwundbarer Windows-Computer
• Microsoft Outlook
• Python-PoC
• Responder
• Wireshark

Exploit-Schritte

1. Python-PoC konfigurieren
2. Angreifer-IP ändern
3. SMTP-Server konfigurieren
4. Responder starten
5. Bösartige E-Mail senden
6. Das Opfer klickt auf den Moniker Link
7. SMB-Authentifizierung findet statt
8. NetNTLMv2-Hash wird erfasst

Erkennung

YARA

Erkennt:

• file://
• Verdächtige HTML-Hyperlinks
• Moniker-Link-Exploit-Versuche

Netzwerkerkennung

• SMB-Authentifizierungsanfragen
• Unerwarteter ausgehender SMB-Datenverkehr
• NetNTLMv2-Authentifizierungsereignisse

Tools

• YARA
• Wireshark
• Responder

Gegenmaßnahmen

• Microsoft-Sicherheitsupdates vom Februar 2024 installieren
• Office auf dem neuesten Stand halten
• Benutzer gegen Phishing sensibilisieren
• Hyperlinks vor dem Anklicken überprüfen
• SMB-Datenverkehr überwachen
• Ausgehenden SMB-Datenverkehr gegebenenfalls einschränken

Erlernte Fähigkeiten

• Schwachstellenanalyse
• Outlook-Sicherheit
• E-Mail-Sicherheit
• NTLM-Authentifizierung
• Diebstahl von Anmeldeinformationen
• SMB-Protokoll
• Responder
• YARA-Erkennung
• Wireshark-Analyse
• Vorfallserkennung

Wichtigste Erkenntnisse

• Outlook Protected View kann umgangen werden.
• Moniker Links missbrauchen die Windows-COM-Funktionalität.
• SMB-Authentifizierung gibt NetNTLMv2-Hashes preis.
• Patch-Management ist der wirksamste Schutz.
• Für die Erkennung sind sowohl Endpunkt- als auch Netzwerküberwachung erforderlich.

Referenzen

• Microsoft-Sicherheitshinweis
• Check Point Research
• TryHackMe – Moniker Link (CVE-2024-21413)

⭐ Wenn Ihnen dieses Repository nützlich erschien, markieren Sie es gerne mit einem Stern und vernetzen Sie sich auf LinkedIn mit mir, während ich meine Lernreise im Bereich Cybersicherheit weiter dokumentiere.