#CVE-2024-21413 – уязвимость Outlook LAB

Описание уязвимости CVE-2024-21413 — это критическая уязвимость, обнаруженная в Microsoft Outlook, которая позволяет удалённому злоумышленнику выполнять вредоносные ссылки с помощью специально созданного электронного письма. Эта эксплуатация использует протокол file:// для перенаправления жертв на контролируемые злоумышленником SMB-ресурсы, что может привести к раскрытию учётных данных NTLM или несанкционированному доступу к локальным файлам.

Сценарий запуска служб Windows 10 + учётные данные

Пароль пользователя victim — victim в лаборатории Windows 10, а пароль для сервера hMailServer — victim

Пароль для почты [email protected] — victim, а пароль для почты [email protected] — hacker

Установите python3 в лаборатории Windows 10:

Скачать Python3

Откроем cmd от имени администратора:

pip install pyautogui
pip install Pillow
pip install opencv-python

Нам нужно будет загрузить следующий скрипт в лаборатории Windows 10:

startServicesWindows.py

python3 startServicesWindows.py

Чтобы запустить почтовый сервер и Outlook и подготовить окружение.

Технические детали

Вектор атаки: атака начинается с отправки жертве письма со ссылкой file://. При переходе по ней система пытается подключиться к указанному удалённому ресурсу, что потенциально приводит к раскрытию учётных данных NTLMv2 или доступу к скомпрометированному локальному ресурсу. Воздействие: кража учётных данных NTLM, удалённое выполнение команд или эксплуатация локальных файлов.

Требования:

Рабочий SMTP-сервер. Доступ к компьютеру жертвы через Outlook. Действительные учётные данные отправителя письма.

Включённые инструменты

Этот репозиторий содержит два инструмента, предназначенных для тестирования в контролируемой среде:

1. Инструмент эксплуатации электронной почты

Утилита на Python, которая автоматизирует отправку писем с вредоносными ссылками file:// для проверки уязвимости в безопасных средах.

Характеристики

Позволяет настроить отправителя, получателя и пароль отправителя. Ссылка, встроенная в тело письма, использующая протокол file://. Предназначен для работы с SMTP-сервером.

Использование

Установите необходимые зависимости:

pip install rich

Запустите инструмент:

python3 exploitSendEmailOutlook.py

Укажите запрашиваемые данные:

Адрес электронной почты отправителя (attacker). Адрес электронной почты получателя (victim). Пароль отправителя. IP-адрес SMTP-сервера. Письмо будет отправлено автоматически, если аутентификация и подключение будут успешными.

Пример вывода

Intentando conectar al servidor SMTP...
Conexión establecida con el servidor SMTP.
Intentando iniciar sesión en el servidor SMTP...
Autenticación exitosa.
Enviando correo...
Correo enviado exitosamente.

2. Инструмент Responder

Responder — это продвинутый инструмент для тестирования на проникновение, который действует как поддельный SMB-сервер для перехвата учётных данных NTLMv2, когда система пытается пройти аутентификацию.

Характеристики

Перехватывает хэши NTLMv2 при попытках аутентификации. Поддержка нескольких протоколов (SMB, HTTP, FTP и других). Идеально подходит для тестирования этой уязвимости.

Использование

Установите responder на вашей атакующей машине.

В системах Debian/Ubuntu:

sudo apt update && sudo apt install responder

Запустите Responder на вашем сетевом интерфейсе:

sudo responder -I <NETWORK_INTERFACE> -v

Или также с помощью моего скрипта:

python3 captureHashResponder.py

Оставьте сервер работающим и ждите, пока жертвы перейдут по отправленной вредоносной ссылке file://.

Пример вывода

[SMB] NTLMv2-SSP Client   : 192.168.1.100
[SMB] NTLMv2-SSP Username : VICTIM-PC\user
[SMB] NTLMv2-SSP Hash     : e5d5c82d3e44bf4...etc

Рекомендации по смягчению последствий

Блокировка протокола file://:

Настройте ваш почтовый клиент так, чтобы он избегал ссылок, использующих протокол file://. Отключение автоматической отправки учётных данных NTLM:

В системах Windows:

• Откройте редактор групповой политики.
• Перейдите в Security Settings > Local Policies > Security Options.
• Настройте Network Security: Restrict use of NTLM: Deny outgoing NTLM traffic to remote servers.
• Обновление безопасности:

Примените последние исправления безопасности, предоставленные Microsoft. Использование надёжных паролей и многофакторной аутентификации (MFA):

Это минимизирует ущерб в случае компрометации учётных данных.

Видео с объяснением уязвимости на YT:

Видео CVE-2024-21413

Предупреждение

Этот инструмент и включённые скрипты предназначены только для образовательных целей и для тестирования в контролируемых средах с явного разрешения. Использование этих инструментов во вредоносных целях незаконно и влечёт за собой серьёзные правовые последствия.

Лицензия

Этот проект распространяется под лицензией MIT. Подробности см. в файле LICENSE.

Контакты

Если у вас есть вопросы или вы хотите сотрудничать, не стесняйтесь обращаться ко мне:

Автор: d1se0

Почта: [email protected]