Эксплуатация CVE-2024-21413 (Outlook)

Статус проекта: Приостановлен (незавершенная практика; не удалось захватить NTLM-хеши)

Цели

Попытка эксплуатации уязвимости CVE-2024-21413, которая позволяет утечку NTLM-хешей в Outlook при взаимодействии с вредоносными ссылками.

Целью практики было не создание с нуля всех инструментов, используемых в атаке, а глубокое понимание их центрального механизма и экспериментирование с реальными ошибками при создании собственной инфраструктуры.

Я использовал коды эксплойтов и SMTP/POP3-серверов, разработанные сторонними лицами и опубликованные сообществом, за что я глубоко благодарен.

Содержание

• Требования
• Виртуальные машины
• Установка
• Поток эксплуатации
• Тесты и результаты
• Извлеченные уроки

Требования

• Python 3.10+
• Outlook 2016
• Kali Linux
• Собственные SMTP/POP3-серверы
• Эксплойт
• Виртуальные машины

Виртуальные машины

Машина-жертва (Windows)

• ОС: Windows 10 Home (x32)
• Outlook: Microsoft Outlook 2016 (версия 16.0.4266.1001)
• Сеть: Адаптер 1: NAT, Адаптер 2: Внутренняя сеть

Машина-атакующий (Kali)

• ОС: Kali Linux 2025.1
• Установленные инструменты и библиотеки:
  • Python 3.10+
  • smtplib
  • email
  • socket
  • threading
  • os
  • aiosmtpd
  • servidor-smtp.py
  • servidor-pop3.py
  • exploit.py
• Сеть: Адаптер 1: NAT, Адаптер 2: Внутренняя сеть

Инфраструктура

• SMTP- и POP3-серверы были развернуты на машине-атакующем (Kali) вручную с помощью скриптов на Python.

Машины запускались в VirtualBox.

Установка

Установка (Kali)

Установка SMTP-сервера

• Venv: Виртуальное окружение с Python 3
  • Шаг 1: Создать каталог для сервера и виртуального окружения (mkdir smtp-lab) и перейти в него (cd smtp-lab)
  • Шаг 2: Создать виртуальное окружение внутри каталога (python3 -m venv venv)
  • Шаг 3: Активировать виртуальное окружение (source venv/bin/activate)
  • Шаг 4: Установить aiosmtpd внутри виртуального окружения (pip install aiosmtpd)
  • Шаг 5: Создать код сервера (nano servidor-smtp.py)
  • Шаг 6: Запустить сервер (python3 servidor-smtp.py)

Код SMTP-сервера

Код SMTP-сервера находится в файле src/servidor-smtp.py.

Установка POP3-сервера:

• Шаг 1: Создать каталог для сервера (mkdir pop3-server) и перейти в него (cd pop3-server)
• Шаг 2: Создать код сервера (nano server-pop3.py)
• Шаг 3: Запустить сервер (python3 server-pop3.py)

Код POP3-сервера

Код POP3-сервера находится в файле src/servidor-pop3.py.

Установка эксплойта

• Шаг 1: Создать код; этот код я взял у CMNatic, но адаптировал под свою инфраструктуру (nano exploit.py)

Код эксплойта

Код эксплойта находится в файле src/exploit.py.

Установка (Windows 10)

• Шаг 1: Установить ISO Microsoft Office 2016; я использовал сайт archive.org и установил версию Microsoft Office 2016 Professional Plus x86
• Шаг 2: После установки ISO скачать Microsoft Office и войти в Outlook 2016
• Шаг 3: Правильно настроить Outlook

Настройка Outlook 2016

Здесь показано, как настроить Outlook для работы с тестовыми SMTP и POP3-серверами.

• Как в поле "Incoming mail server", так и в "Outgoing mail server(SMTP)" необходимо указать IP-адрес внутреннего сетевого интерфейса атакующей машины (Kali).
• Пароль не имеет значения для атаки, можно выбрать любой.

Поток эксплуатации

Цель эксплойта для CVE-2024-21413 — заставить Outlook выполнить автоматический SMB-запрос к ресурсу, контролируемому атакующим, что приводит к отправке NTLM-хеша жертвы, который можно перехватить офлайн для взлома.

Подготовка окружения

1. Атакующая машина (Kali) запускает собственный SMTP и POP3-сервер.
2. Outlook на машине-жертве (Windows 10) настроен на получение писем с этого сервера.
3. Атакующая машина (Kali) поднимает поддельный SMB-сервер (в моем случае я использовал Responder).

Отправка вредоносного письма

• Письмо отправляется жертве с SMTP атакующего.
• Тело сообщения содержит вредоносную UNC-ссылку.
• Путь спроектирован так, чтобы активировать автоматическое SMB-подключение, если пользователь взаимодействует со ссылкой.

Взаимодействие пользователя

• Жертва открывает Outlook и видит сообщение.
• Ожидается, что она нажмет на ссылку.
• Если Outlook попытается разрешить UNC-путь, генерируется SMB-запрос к серверу атакующего.
• Ниже показано, как выглядит вредоносное письмо в Outlook с точки зрения жертвы:

Перехват хеша

• SMB-сервер атакующего принимает соединение.
• Outlook при попытке аутентификации автоматически отправляет NTLM-хеш пользователя.
• Атакующий может сохранить этот хеш для атаки типа hashcat.

Примечания

• В моем случае письмо успешно доставлялось в Outlook.
• Однако при нажатии на UNC-ссылку ожидаемое SMB-соединение не устанавливалось.
• Я до сих пор не знаю причину сбоя, хотя подозреваю, что это может быть связано с настройками сети, версией Outlook или проблемами доступности/ответа SMB-сервера.

Тесты и результаты

Функции, которые работали

• SMTP и POP3 настроены правильно, Outlook синхронизировался с ними без ошибок.
• Вредоносное письмо было получено Outlook.
• Сообщение отображало UNC-ссылку без блокировки.
• SMB-окружение атакующего было поднято и находилось в режиме прослушивания.

Что не сработало

• При нажатии на UNC-ссылку в Outlook не было видимого SMB-трафика в Wireshark.
• Не было сгенерировано ни одной попытки NTLM-аутентификации с машины-жертвы.
• На SMB-сервере не было зарегистрировано подключений.

Анализ с помощью Wireshark

• Снимки сделаны на интерфейсе Kali (eth1).
• Наблюдался SMTP и POP3 трафик, но ни одного пакета TCP 445 или UDP 137/138 при нажатии на ссылку.
• Также была попытка запустить Outlook от имени администратора: без изменений.

Извлеченные уроки

Полученные знания

• Как работают SMTP и POP3 на низком уровне.
• Что именно ожидает Outlook при синхронизации учетных записей.
• Как Outlook интерпретирует UNC-ссылки и какие условия должны быть выполнены для их автоматического открытия.
• Ценность Wireshark и логов как инструментов отладки в сложных лабораторных условиях.

Почему я решил остановиться здесь

• После многочисленных попыток эксплойт не дошел до этапа захвата хеша, что было конечной целью.
• Я задокументировал всю инфраструктуру, тесты и результаты, что остается ценным как учебная лаборатория.
• Хотя конечная цель не была достигнута, процесс позволил мне глубоко изучить каждый задействованный технический компонент. Это можно будет возобновить в будущем.

Благодарности

Код этого эксплойта основан на работе CMNatic из https://github.com/CMNatic/CVE-2024-21413. Я внес изменения для адаптации к своему окружению.