🛡️ Moniker Link (CVE-2024-21413)
Room: Moniker Link (CVE-2024-21413) — TryHackMe
Stato: ✅ Completato
Data: 30 maggio 2025
🎯 Obiettivo
Comprendere e sfruttare CVE-2024-21413, una vulnerabilità in Microsoft Outlook che bypassa la Visualizzazione protetta utilizzando Moniker Link per divulgare credenziali NTLM. Imparare come eseguire l'attacco e come rilevarlo o mitigarlo.
🗝️ Concetti chiave
- Moniker Link — Un tipo di collegamento ipertestuale che può fare riferimento a componenti di sistema e applicazioni in Windows utilizzando il modello COM.
- Protected View — La modalità di sola lettura di Outlook che blocca i contenuti esterni per proteggere gli utenti.
- NTLM Hash Leak — Attivare un tentativo di autenticazione SMB dalla vittima fa trapelare il suo hash netNTLMv2 all'attaccante.
- Exploit file:// — Aggiungere
!exploit a un URL file:// bypassa la Visualizzazione protetta e attiva la connessione SMB.
- Responder — Uno strumento usato per catturare gli hash NTLM ascoltando le richieste di autenticazione SMB.
- RCE (Remote Code Execution) — La vulnerabilità ha anche il potenziale per l'esecuzione di codice, sebbene al momento non esista alcun PoC pubblico.
- Rilevamento — Le regole YARA e Wireshark possono aiutare a rilevare tentativi di exploit riusciti o tentati.
🛠️ Strumenti utilizzati
- Responder — Ha catturato l'hash NTLM della vittima una volta che il collegamento dannoso è stato cliccato.
- Python (smtplib) — Utilizzato per inviare l'email dannosa con il Moniker Link alla vittima.
- Outlook (su VM vulnerabile) — Client di posta che ha analizzato il Moniker Link e fatto trapelare le credenziali.
- YARA — Regola di Florian Roth per rilevare indicatori di compromissione nelle email.
- Wireshark — Utilizzato per visualizzare la richiesta di autenticazione SMB e l'hash in transito.
⚠️ Difficoltà incontrate
- Modificare correttamente la sintassi del Moniker Link per bypassare la Visualizzazione protetta ha richiesto molta attenzione ai dettagli.
- L'adattamento dello script di exploit per corrispondere alle impostazioni IP e del server di posta ha richiesto un paio di tentativi.
🧠 Cosa ho imparato
- Anche software affidabili come Outlook possono essere indotti a far trapelare credenziali con attacchi a bassa complessità.
- Piccole modifiche alla sintassi (come
!exploit) possono bypassare completamente le protezioni integrate.
- Le regole YARA sono utili per individuare comportamenti sospetti nel contenuto delle email.
- Responder è uno strumento potente per catturare i tentativi di autenticazione — soprattutto le perdite NTLM su SMB.
🌐 Applicazione nel mondo reale:
Un'email di phishing che utilizza un Moniker Link può essere sufficiente per far trapelare hash NTLM dagli utenti di Outlook. Negli ambienti aziendali, ciò può portare a movimento laterale, escalation dei privilegi o attacchi pass-the-hash — anche prima che venga distribuito qualsiasi malware.
💭 Riflessioni:
- Questa CVE era allo stesso tempo semplice e potente — basta un clic su un collegamento creato ad arte e le credenziali vengono divulgate.
- La catena di attacco era lineare ma evidenzia l'importanza del patching e del monitoraggio.
mqkgithub/moniker-link-cve-2024-21413
