Windows 零日漏洞如何被利用数月之久（CVE-2024-43451）

ClearSky 的研究人员透露，CVE-2024-43451 是一个 Windows 零日漏洞，微软于2024 年 11 月补丁星期二发布了修复程序，但该漏洞至少自 2024 年 4 月起就已被利用。

关于漏洞

CVE-2024-43451 影响所有受支持的 Windows 版本，当触发时，会向攻击者泄露用户的 NTLMv2 哈希，攻击者可以使用它来发起哈希攻击或从哈希中提取用户的密码。

两种情况的结果相同：攻击者可以以用户身份向目标系统进行身份验证。

CVE-2024-43451 被利用

ClearSky 研究人员在乌克兰计算机紧急响应小组 (CERT-UA) 的帮助下，拼凑出了这次发生在 2024 年 6 月的攻击事件。

该名（疑似俄罗斯）攻击者入侵了乌克兰学术服务器，以便能够向特定目标发送可信的鱼叉式网络钓鱼电子邮件。该电子邮件要求收件人通过附加链接更新其学术证书。

当受害者点击时，会下载一个 ZIP 文件，其中包含两个文件：一个带有毕业文凭的诱饵 PDF 文件，以及一个使用 SMB 协议指向外部服务器的 URL（互联网快捷方式）文件。

右键单击文件或尝试删除它或将其拖到另一个文件夹会触发 CVE-2024-43451 的利用。用户的 NTLMv2 哈希被传递给攻击者，并用于执行传递哈希攻击并建立与攻击者服务器的连接。

最后，当从服务器下载并执行冒充证书的 EXE 文件时，它会显示一条诱饵消息，指出该证书已被激活，并在后台删除导致安装和执行 SparkRAT 恶意软件的其他文件。

其他利用该漏洞的攻击？

对 URL 文件的分析显示，自 4 月初以来，已向 VirusTotal 提交了类似结构的文件：

CVE-2024-43451 被利用

利用 CVE-2024-43451 的其他类似结构的 URL 文件（来源：ClearSky）

这些文件的名称表明该漏洞曾在类似的攻击场景中被利用，使用 Redline 信息窃取程序攻击其他组织。

研究人员表示，这种相似性有两种可能的解释：要么是一个攻击者使用了不同类型的恶意软件，要么是两个不同的威胁行为者利用了同一个漏洞。

该怎么办？

ClearSky 的研究人员解释了如何创建利用 CVE-2024-43451 的文件，并指出该漏洞在 Windows 10/11 操作系统上比在旧版本上更容易被利用。

他们发现：“在 Windows 7、8 和 8.1 上，文件在拖动或删除时不会启动通信，除非目标文件夹在拖动时处于打开状态（第一次尝试时不会发生这种情况，但尝试 2-3 次后才会出现这种情况）。”

微软已发布针对 CVE-2024-43451 的补丁，并建议 Windows 和 Windows Server 用户尽快实施。