CVE-2024-21413-Microsoft-Outlook-Moniker-Link-Vulnerability

Analyse de laboratoire portant sur l'exploitation de CVE-2024-21413 Outlook Moniker Link, la fuite d'identifiants NetNTLMv2 via SMB, la détection avec YARA/Wireshark et les stratégies d'atténuation.

Détails de la vulnérabilité

Déroulement de l'attaque

Environnement de laboratoire

• TryHackMe AttackBox
• Machine Windows vulnérable
• Microsoft Outlook
• PoC Python
• Responder
• Wireshark

Étapes d'exploitation

1. Configurer le PoC Python
2. Modifier l'adresse IP de l'attaquant
3. Configurer le serveur SMTP
4. Démarrer Responder
5. Envoyer l'e-mail malveillant
6. La victime clique sur le Moniker Link
7. L'authentification SMB s'effectue
8. Le hash NetNTLMv2 est capturé

Détection

YARA

Détecte :

• file://
• Les hyperliens HTML suspects
• Les tentatives d'exploitation de Moniker Link

Détection réseau

• Les requêtes d'authentification SMB
• Le trafic SMB sortant inattendu
• Les événements d'authentification NetNTLMv2

Outils

• YARA
• Wireshark
• Responder

Atténuation

• Installer les mises à jour de sécurité Microsoft de février 2024
• Maintenir Office à jour
• Sensibiliser les utilisateurs au hameçonnage
• Vérifier les hyperliens avant de cliquer
• Surveiller le trafic SMB
• Restreindre le SMB sortant lorsque cela est approprié

Compétences acquises

• Analyse de vulnérabilités
• Sécurité d'Outlook
• Sécurité des e-mails
• Authentification NTLM
• Vol d'identifiants
• Protocole SMB
• Responder
• Détection YARA
• Analyse Wireshark
• Détection d'incidents

Points clés à retenir

• L'affichage protégé d'Outlook peut être contourné.
• Les Moniker Links abusent de la fonctionnalité COM de Windows.
• L'authentification SMB fuit les hashes NetNTLMv2.
• La gestion des correctifs est la défense la plus efficace.
• La détection nécessite une surveillance à la fois du point de terminaison et du réseau.

Références

• Avis de sécurité Microsoft
• Check Point Research
• TryHackMe – Moniker Link (CVE-2024-21413)

⭐ Si vous avez trouvé ce dépôt utile, n'hésitez pas à lui mettre une étoile et à me contacter sur LinkedIn alors que je poursuis la documentation de mon parcours d'apprentissage en cybersécurité.