yoguicr/cve-2024-21413-outlook-assessmentMicrosoft Outlook의 CVE-2024-21413 (Moniker Link)에 대한 상세 취약점 평가 및 익스플로잇 보고서. PoC 생성, SMB를 통한 NetNTLMv2 해시 캡처, 탐지 규칙 및 수정 지침 포함.
본 보고서는 CVE-2024-21413(일명 Moniker Link 취약점)을 분석하며, 이는 Microsoft Outlook의 치명적인 원격 코드 실행(RCE) 결함입니다. 이 평가는 특정 URL 모니커를 부적절하게 처리함으로써 공격자가 Office 보호 보기(Protected View)를 우회하고 NetNTLMv2 해시를 유출하며 네트워크 시스템 무결성을 손상시킬 수 있음을 보여줍니다.
기업 환경(예: 인사 부서)에서 이 취약점은 가장 널리 사용되는 일상 커뮤니케이션 도구인 Microsoft Outlook을 손상시키기 때문에 매우 중요합니다.
직원이 악성 링크를 한 번 클릭하면 자동화된 백그라운드 프로세스가 트리거되어 네트워크 자격 증명(NetNTLMv2 해시)이 유출됩니다. 이 사고로 인해 민감한 회사 급여 데이터, 직원 기록, 내부 관리 자격 증명 및 기밀 회사 파일이 노출될 수 있으며, 이는 CIA 삼원칙 내 데이터 기밀성과 무결성의 핵심 원칙을 직접적으로 훼손합니다.
공격자는 file 프로토콜과 후행 페이로드 구조를 사용하여 Outlook 취약점을 의도적으로 트리거하는 수정된 하이퍼링크를 제작합니다.
익스플로잇 스크립트는 대상 환경 매개변수로 구성되었으며 Python을 통해 실행되어 스피어 피싱 공격 벡터를 전송했습니다.
피해자가 링크를 클릭하면 Outlook이 보호 보기 보안 제약을 우회하고 자동화된 아웃바운드 SMB 연결을 시도하여 사용자의 활성 네트워크 해시를 유출합니다.
Responder 유틸리티가 VPN 터널 인터페이스에서 초기화되어 SMB 프로토콜(포트 445)을 통한 인증 핸드셰이크를 수신 대기했습니다.
대상 사용자는 회사 CEO를 사칭한 고도로 타겟팅된 스피어 피싱 이메일을 수신했습니다. 커뮤니케이션은 구매 주문 불일치를 해결하기 위해 즉각적인 조치를 요구하는 긴급성을 활용했습니다. 이러한 심리적 트리거는 여전히 매우 효과적인 초기 접근 벡터입니다.
결과적으로, 이러한 특정 사회 공학 위험에 대해 모든 직원을 대상으로 포괄적인 지속적인 보안 인식 교육을 시행하는 것이 조직의 전체 공격 표면을 획기적으로 줄이는 데 중요합니다.
네트워크 또는 엔드포인트에서 이 공격이 남긴 원격 측정 및 아티팩트를 식별하는 데 사용된 방법.
rule CVE_2024_21413_Outlook_Moniker {
meta:
description = "이메일에서 악성 Moniker 링크 구조(CVE-2024-21413) 탐지"
author = "YoguiCR (최적화됨)"
date = "2026-07-02"
reference = "https://microsoft.com"
severity = "High"
strings:
// 네트워크 경로와 '!' 페이로드가 뒤따르는 file:// 변형 탐지
\$moniker_regex = /file:[\/\\\\]{2,4}[^\s"'>]+![^\s"'>]+/ i
// Outlook HTML 형식의 일반적인 대체 문자열
\$html_link = /href=\s*['"]file:.*!/ i
condition:
any of them
}
Moniker 링크 벡터로부터 기업 운영 환경을 성공적으로 보호하려면 다음 방어 완화 조치를 시행해야 합니다.