CVE-2024-21413-Microsoft-Outlook-Moniker-Link-Vulnerability

Rapporto di laboratorio che analizza lo sfruttamento del Moniker Link di Outlook (CVE-2024-21413), la perdita di credenziali NetNTLMv2 tramite SMB, il rilevamento con YARA/Wireshark e le strategie di mitigazione.

Dettagli della vulnerabilità

Flusso dell'attacco

Ambiente di laboratorio

• AttackBox di TryHackMe
• Macchina Windows vulnerabile
• Microsoft Outlook
• PoC in Python
• Responder
• Wireshark

Fasi di sfruttamento

1. Configurare il PoC in Python
2. Modificare l'IP dell'attaccante
3. Configurare il server SMTP
4. Avviare Responder
5. Inviare l'email malevola
6. La vittima clicca sul Moniker Link
7. Viene eseguita l'autenticazione SMB
8. L'hash NetNTLMv2 viene catturato

Rilevamento

YARA

Rileva:

• file://
• Collegamenti ipertestuali HTML sospetti
• Tentativi di sfruttamento di Moniker Link

Rilevamento di rete

• Richieste di autenticazione SMB
• Traffico SMB in uscita inatteso
• Eventi di autenticazione NetNTLMv2

Strumenti

• YARA
• Wireshark
• Responder

Mitigazione

• Installare gli aggiornamenti di sicurezza Microsoft di febbraio 2024
• Mantenere Office aggiornato
• Formare gli utenti contro il phishing
• Verificare i collegamenti ipertestuali prima di cliccarli
• Monitorare il traffico SMB
• Limitare l'SMB in uscita dove appropriato

Competenze acquisite

• Analisi delle vulnerabilità
• Sicurezza di Outlook
• Sicurezza delle email
• Autenticazione NTLM
• Furto di credenziali
• Protocollo SMB
• Responder
• Rilevamento con YARA
• Analisi con Wireshark
• Rilevamento di incidenti

Punti chiave

• La Protected View di Outlook può essere bypassata.
• I Moniker Link abusano delle funzionalità COM di Windows.
• L'autenticazione SMB divulga hash NetNTLMv2.
• La gestione delle patch è la difesa più efficace.
• Il rilevamento richiede sia il monitoraggio degli endpoint sia quello della rete.

Riferimenti

• Avviso di sicurezza Microsoft
• Check Point Research
• TryHackMe – Moniker Link (CVE-2024-21413)

⭐ Se hai trovato utile questo repository, sentiti libero di mettere una stella e di connetterti con me su LinkedIn mentre continuo a documentare il mio percorso di apprendimento nella cybersecurity.