d1se0/cve-2024-21413-vulnerabilidad-outlook-labLaboratorio educativo que demuestra la explotación de la vulnerabilidad CVE-2024-21413 de Outlook con una herramienta de explotación de correo electrónico en Python y Responder para la captura de credenciales NTLM en un entorno Windows controlado.
#CVE-2024-21413 – Vulnerabilidad de LAB en Outlook
Descripción de la vulnerabilidad
CVE-2024-21413 es una vulnerabilidad crítica descubierta en Microsoft Outlook que permite a un atacante remoto ejecutar enlaces maliciosos mediante un correo electrónico cuidadosamente elaborado. Este exploit utiliza el protocolo file:// para redirigir a las víctimas a recursos compartidos SMB controlados por el atacante, lo que puede resultar en la exposición de credenciales NTLM o acceso no autorizado a archivos locales.
La contraseña para el usuario victim es victim en el laboratorio de Windows 10 y la contraseña para el servidor hMailServer es victim
La contraseña para el correo [email protected] es victim y la contraseña para el correo [email protected] es hacker
Instalar python3 en el laboratorio de Windows 10:
Abriremos un cmd como administrador:
pip install pyautogui
pip install Pillow
pip install opencv-python
Tendremos que descargar el siguiente script en el laboratorio de Windows 10:
startServicesWindows.py
python3 startServicesWindows.py
Para iniciar el servidor de correo y Outlook, con el fin de tener el entorno preparado.
Vector de ataque: El ataque se inicia enviando un correo electrónico con un enlace file:// a la víctima. Al hacer clic, el sistema intenta conectarse al recurso compartido remoto especificado, lo que puede exponer credenciales NTLMv2 o acceder a un recurso local comprometido.
Impacto: Robo de credenciales NTLM, ejecución remota de comandos o explotación de archivos locales.
Un servidor SMTP funcional.
Acceso al equipo víctima a través de Outlook.
Credenciales válidas del remitente del correo.
Este repositorio contiene dos herramientas diseñadas para pruebas en un entorno controlado:
Una utilidad en Python que automatiza el envío de correos electrónicos con enlaces maliciosos file:// para probar la vulnerabilidad en entornos seguros.
Permite configurar remitente, destinatario y contraseña del remitente.
Enlace incrustado en el cuerpo del correo que explota el protocolo file://.
Diseñado para ejecutarse con un servidor SMTP.
Instalar las dependencias necesarias:
pip install rich
python3 exploitSendEmailOutlook.py
Dirección de correo del remitente (attacker).
Dirección de correo del destinatario (victim).
Password del remitente.
IP del servidor SMTP.
El correo se enviará automáticamente si la autenticación y la conexión son exitosas.
Intentando conectar al servidor SMTP...
Conexión establecida con el servidor SMTP.
Intentando iniciar sesión en el servidor SMTP...
Autenticación exitosa.
Enviando correo...
Correo enviado exitosamente.
Responder es una herramienta avanzada de pruebas de penetración que actúa como un servidor SMB falso para capturar credenciales NTLMv2 cuando un sistema intenta autenticarse.
Captura hashes NTLMv2 de intentos de autenticación.
Soporte para múltiples protocolos (SMB, HTTP, FTP, entre otros).
Ideal para probar esta vulnerabilidad.
Instalar responder en tu máquina atacante.
sudo apt update && sudo apt install responder
sudo responder -I <NETWORK_INTERFACE> -v
O también usando mi script:
python3 captureHashResponder.py
Mantén el servidor en ejecución y espera a que las víctimas accedan al enlace malicioso file:// enviado.
[SMB] NTLMv2-SSP Client : 192.168.1.100
[SMB] NTLMv2-SSP Username : VICTIM-PC\user
[SMB] NTLMv2-SSP Hash : e5d5c82d3e44bf4...etc
Bloquear el protocolo file://:
Configura tu cliente de correo para evitar enlaces que utilicen el protocolo file://.
Deshabilitar el envío automático de credenciales NTLM:
Abre el Editor de directivas de grupo.
Navega a Configuración de seguridad > Directivas locales > Opciones de seguridad.
Configura Seguridad de red: Restringir el uso de NTLM: Denegar el tráfico NTLM saliente a servidores remotos.
Actualización de seguridad:
Aplica los últimos parches de seguridad proporcionados por Microsoft.
Uso de contraseñas robustas y autenticación multifactor (MFA):
Esto minimiza el impacto si las credenciales se ven comprometidas.
Esta herramienta y los scripts incluidos son solo para fines educativos y para pruebas en entornos controlados con permiso explícito. El uso indebido de estas herramientas para actividades maliciosas es ilegal y está sujeto a severas sanciones legales.
Este proyecto se distribuye bajo la Licencia MIT. Consulta el archivo LICENSE para más detalles.
Si tienes preguntas o te gustaría colaborar, no dudes en contactarme:
Autor: d1se0
Correo: [email protected]