CVE-2024-21413 – Уязвимость Moniker Link в Microsoft Outlook

Обзор

В этом репозитории представлен мой практический анализ CVE-2024-21413 (Moniker Link) — критической уязвимости Microsoft Outlook, которая обходит защищённый просмотр (Protected View) и приводит к утечке учётных данных Windows NetNTLMv2 через аутентификацию SMB.

Серьёзность: Критическая (CVSS 9.8)

Цели обучения

Разобраться в Moniker Links
Узнать, как работает защищённый просмотр Outlook
Проанализировать CVE-2024-21413
Перехватывать учётные данные NTLM
Обнаруживать вредоносные электронные письма
Применять стратегии защиты

Детали уязвимости

Поле	Значение
CVE	CVE-2024-21413
Опубликована	13 февраля 2024
Производитель	Microsoft
Серьёзность	Критическая
CVSS	9.8
Воздействие	Утечка учётных данных и потенциальное удалённое выполнение кода (RCE)
Сложность атаки	Низкая

Схема атаки

Злоумышленник
    │
    ▼
Вредоносное HTML-письмо
    │
    ▼
Жертва нажимает на Moniker Link
    │
    ▼
Обход защищённого просмотра
    │
    ▼
Аутентификация SMB
    │
    ▼
Responder
    │
    ▼
Перехвачен хэш NetNTLMv2

Лабораторная среда

TryHackMe AttackBox
Уязвимая Windows-машина
Microsoft Outlook
Python PoC
Responder
Wireshark

Шаги эксплуатации

Настроить Python PoC
Изменить IP-адрес атакующего
Настроить SMTP-сервер
Запустить Responder
Отправить вредоносное письмо
Жертва нажимает на Moniker Link
Происходит аутентификация SMB
Хэш NetNTLMv2 перехвачен

Обнаружение

YARA

Обнаруживает:

file://
Подозрительные HTML-гиперссылки
Попытки эксплуатации Moniker Link

Сетевое обнаружение

Запросы аутентификации SMB
Неожиданный исходящий SMB-трафик
События аутентификации NetNTLMv2

Инструменты

YARA
Wireshark
Responder

Смягчение последствий

Установить обновления безопасности Microsoft за февраль 2024 года
Поддерживать Office в актуальном состоянии
Обучать пользователей распознаванию фишинга
Проверять гиперссылки перед переходом
Отслеживать SMB-трафик
Ограничивать исходящий SMB-трафик там, где это уместно

Освоенные навыки

Анализ уязвимостей
Безопасность Outlook
Безопасность электронной почты
Аутентификация NTLM
Кража учётных данных
Протокол SMB
Responder
Обнаружение с помощью YARA
Анализ с помощью Wireshark
Обнаружение инцидентов

Ключевые выводы

Защищённый просмотр Outlook можно обойти.
Moniker Links злоупотребляют функциональностью Windows COM.
Аутентификация SMB приводит к утечке хэшей NetNTLMv2.
Управление обновлениями — самая эффективная защита.
Для обнаружения требуется мониторинг как конечных точек, так и сети.

Ссылки

Microsoft Security Advisory
Check Point Research
TryHackMe – Moniker Link (CVE-2024-21413)

⭐ Если этот репозиторий оказался для вас полезным, поставьте ему звезду и подпишитесь на меня в LinkedIn — я продолжаю документировать свой путь в кибербезопасности.

CVE-2024-21413-Microsoft-Outlook-Moniker-Link-Vulnerability

Популярное