CVE-2024-21413 (Outlook) 익스플로잇

프로젝트 상태: 중단됨 (실습 미완료; NTLM 해시 캡처 실패)

목표

CVE-2024-21413 취약점 익스플로잇 시도. 이 취약점은 Outlook에서 악성 링크와 상호작용할 때 NTLM 해시가 유출되도록 합니다.

실습의 목표는 공격에 사용된 모든 도구를 처음부터 구축하는 것이 아니라, 핵심 작동 방식을 철저히 이해하고 직접 인프라를 구축하면서 발생하는 실제 오류를 경험하는 것이었습니다.

커뮤니티에서 공개된 타사 익스플로잇 코드와 SMTP/POP3 서버를 사용했습니다. 깊이 감사드립니다.

내용

• 요구 사항
• 가상 머신
• 설치
• 익스플로잇 흐름
• 테스트 및 결과
• 배운 점

요구 사항

• Python 3.10+
• Outlook 2016
• Kali Linux
• 자체 SMTP/POP3 서버
• 익스플로잇
• 가상 머신

가상 머신

피해자 머신 (Windows)

• 운영체제: Windows 10 Home (x32)
• Outlook: Microsoft Outlook 2016 (버전 16.0.4266.1001)
• 네트워크: 어댑터 1: NAT, 어댑터 2: 내부 네트워크

공격자 머신 (Kali)

• 운영체제: Kali Linux 2025.1
• 설치된 도구 및 라이브러리:
  • Python 3.10+
  • smtplib
  • email
  • socket
  • threading
  • os
  • aiosmtpd
  • servidor-smtp.py
  • servidor-pop3.py
  • exploit.py
• 네트워크: 어댑터 1: NAT, 어댑터 2: 내부 네트워크

인프라

• 공격자 머신(Kali)에서 Python 스크립트를 사용하여 수동으로 SMTP 및 POP3 서버를 구축했습니다.

머신은 VirtualBox에서 실행되었습니다.

설치

설치 (Kali)

SMTP 서버 설치

• Venv: Python 3 가상 환경
  • 1단계: 서버 및 가상 환경용 디렉토리 생성 (mkdir smtp-lab) 및 접근 (cd smtp-lab)
  • 2단계: 디렉토리 내 가상 환경 생성 (python3 -m venv venv)
  • 3단계: 가상 환경 활성화 (source venv/bin/activate)
  • 4단계: 가상 환경 내 aiosmtpd 설치 (pip install aiosmtpd)
  • 5단계: 서버 코드 생성 (nano servidor-smtp.py)
  • 6단계: 서버 실행 (python3 servidor-smtp.py)

SMTP 서버 코드

SMTP 서버 코드는 src/servidor-smtp.py 파일에 있습니다.

POP3 서버 설치:

• 1단계: 서버용 디렉토리 생성 (mkdir pop3-server) 및 접근 (cd pop3-server)
• 2단계: 서버 코드 생성 (nano server-pop3.py)
• 3단계: 서버 실행 (python3 server-pop3.py)

POP3 서버 코드

POP3 서버 코드는 src/servidor-pop3.py 파일에 있습니다.

익스플로잇 설치

• 1단계: 코드 생성, 이 코드는 CMNatic에서 가져왔지만 내 인프라에 맞게 수정되었습니다 (nano exploit.py)

익스플로잇 코드

익스플로잇 코드는 src/exploit.py 파일에 있습니다.

설치 (Windows 10)

• 1단계: Microsoft Office 2016 ISO 설치, archive.org 페이지를 사용했으며 Microsoft Office 2016 Professional Plus x86 버전을 설치했습니다.
• 2단계: ISO가 설치되면 Microsoft Office를 다운로드하고 Outlook 2016에 접속합니다.
• 3단계: Outlook을 올바르게 구성합니다.

Outlook 2016 구성

다음은 테스트 SMTP 및 POP3 서버와 함께 작동하도록 Outlook을 구성하는 방법을 보여줍니다.

• "Incoming mail server"와 "Outgoing mail server(SMTP)" 모두 공격자 머신(Kali)의 내부 네트워크 인터페이스 IP를 입력해야 합니다.
• 비밀번호는 공격과 관련이 없으며, 아무거나 선택할 수 있습니다.

익스플로잇 흐름

CVE-2024-21413에 대한 익스플로잇의 목표는 Outlook이 공격자가 제어하는 리소스에 자동 SMB 요청을 보내도록 하여 피해자의 NTLM 해시를 전송하고, 이를 오프라인에서 캡처하여 크래킹할 수 있도록 하는 것입니다.

환경 준비

1. 공격자 머신(Kali)이 사용자 정의 SMTP 및 POP3 서버를 실행합니다.
2. 피해자 머신(Windows 10)의 Outlook이 해당 서버에서 이메일을 수신하도록 구성됩니다.
3. 공격자 머신(Kali)이 가짜 SMB 서버를 실행합니다 (제 경우에는 responder를 사용했습니다).

악성 이메일 전송

• 공격자의 SMTP에서 피해자에게 이메일이 전송됩니다.
• 메시지 본문에는 악성 UNC 링크가 포함되어 있습니다.
• 경로는 사용자가 링크와 상호작용할 경우 자동 SMB 연결이 활성화되도록 설계되었습니다.

사용자 상호작용

• 피해자가 Outlook을 열고 메시지를 확인합니다.
• 링크를 클릭할 것으로 예상됩니다.
• Outlook이 UNC 경로를 확인하려고 시도하면 공격자 서버에 SMB 요청이 생성됩니다.
• 다음은 피해자 관점에서 Outlook에 표시되는 악성 이메일의 모습입니다:

해시 캡처

• 공격자의 SMB 서버가 연결을 수신합니다.
• 인증을 시도할 때 Outlook이 자동으로 사용자의 NTLM 해시를 전송합니다.
• 공격자는 해당 해시를 저장하여 hashcat 유형의 공격에 사용할 수 있습니다.

참고 사항

• 제 경우에는 이메일이 Outlook에 정상적으로 도착했습니다.
• 그러나 UNC 링크를 클릭해도 예상된 SMB 연결이 생성되지 않았습니다.
• 아직 실패 원인을 알 수 없지만, 네트워크 구성, Outlook 버전, 또는 SMB 서버의 접근성/응답 문제와 관련이 있을 것으로 의심됩니다.

테스트 및 결과

작동한 기능

• SMTP 및 POP3가 올바르게 구성되었으며, Outlook이 오류 없이 동기화되었습니다.
• 악성 이메일이 Outlook에 수신되었습니다.
• 메시지에 UNC 링크가 차단되지 않고 표시되었습니다.
• 공격자의 SMB 환경이 실행 중이고 수신 대기 중이었습니다.

작동하지 않은 부분

• Outlook에서 UNC 링크를 클릭해도 Wireshark에 SMB 트래픽이 표시되지 않았습니다.
• 피해자 머신에서 NTLM 인증 시도가 생성되지 않았습니다.
• SMB 서버에 연결이 기록되지 않았습니다.

Wireshark 분석

• Kali 인터페이스(eth1)에서 캡처를 수행했습니다.
• SMTP 및 POP3 트래픽은 관찰되었지만 링크 클릭 시 TCP 445 또는 UDP 137/138 패킷은 없었습니다.
• 또한 Outlook을 관리자 권한으로 실행하여 시도했지만 변화가 없었습니다.

배운 점

습득한 지식

• SMTP와 POP3가 낮은 수준에서 어떻게 작동하는지.
• Outlook이 계정 동기화 시 정확히 무엇을 기대하는지.
• Outlook이 UNC 링크를 해석하는 방식과 자동으로 열리기 위해 충족되어야 하는 조건.
• 복잡한 실험실에서 디버깅 도구로서 Wireshark와 로그의 가치.

여기서 중단하기로 한 이유

• 여러 번의 시도 끝에도 익스플로잇이 최종 목표인 해시 캡처 단계에 도달하지 못했습니다.
• 전체 인프라, 테스트 및 결과를 문서화했으며, 이는 교육용 실험실로서 여전히 가치 있습니다.
• 최종 목표를 달성하지는 못했지만, 이 과정을 통해 관련된 각 기술 구성 요소에 대한 깊은 이해를 얻을 수 있었습니다. 나중에 다시 시도할 수 있습니다.

크레딧

이 익스플로잇 코드는 CMNatic의 https://github.com/CMNatic/CVE-2024-21413 작업을 기반으로 합니다. 제 환경에 맞게 수정했습니다.