CVE-2024-21413 — Outlook Moniker Link (Lab / PoC)

Notas de laboratorio educativo y una pequeña Prueba de Concepto (PoC) que demuestra el flujo de ataque de CVE-2024-21413 en un entorno controlado (lab estilo TryHackMe).

⚠️ Solo con fines educativos. No lo utilices contra sistemas que no sean de tu propiedad o para los que no tengas permiso explícito para probar.

---

Resumen

Microsoft Outlook puede renderizar correos HTML y manejar diferentes esquemas de URL. Este laboratorio explora cómo un Moniker Link manipulado que utiliza el esquema file:// y un carácter especial (!) puede eludir el comportamiento de Vista Protegida de Outlook y desencadenar un intento de autenticación SMB, potencialmente filtrando el hash netNTLMv2 de la víctima.

---

Lo que Practiqué

• Crear un correo HTML que contenga un Moniker Link file:// malicioso
• Entender el comportamiento del carácter ! en el Moniker Link
• Enviar correos HTML usando Python (SMTP)
• Capturar hashes netNTLMv2 usando Responder
• Discusión de detección y mitigación a alto nivel

---