От канареек к потере учетных данных через .url файл в общей сетевой папке

Вчера, пока писал пост про канарейки вспомнилась одна тактика, которую широко применяют при проведении аудитов безопасности (но, почему-то статей о ней очень мало). Эта тактика по принципу действия очень похожа на canary-token, но при этом намного опаснее.

📂 Пример из реальной жизни
Представим, что у вас есть крупная организация с развитой IT-инфраструктурой. Чтобы сотрудникам было удобнее взаимодействовать друг с другом, вы создали общую сетевую папку, куда они могут загружать свои файлы и скачивать файлы коллег. Казалось бы, всё просто и удобно, но здесь кроется серьезная угроза.

🛠 Уязвимость Фича Windows: автоматическое обращение к внешним ресурсам
В Windows есть множество неприятных особенностей, одна из которых заключается в том, что когда пользователь заходит в сетевую директорию через проводник, система автоматически обращается к внешним ресурсам, если обнаруживает файлы, которые на них ссылаются. Речь идет о файлах с расширениями .url или .lnk. Эти файлы могут содержать ссылки на внешние серверы, и при их обнаружении проводник попытается подключиться к указанным ресурсам (пример на скрине).

Чем это опасно?
Когда система обращается к внешним ресурсам, она передает данные для аутентификации. В большинстве случаев пароль передается не в открытом виде, а в виде хеша NTLM или NTLMv2 (в современных системах наиболее распространен NTLMv2). Если злоумышленник сможет перехватить этот хеш, он может попытаться его сбрутить и получить исходный пароль. В случае успеха это открывает доступ к учетной записи пользователя и, возможно, к другим ресурсам сети.

🎯Как происходит атака?
1️⃣Получение доступа к общей папке: злоумышленник получает доступ к общей сетевой директории с возможностью записи
2️⃣Подкладывание файла: атакующий создает и размещает в общей папке специально сгенерированный файл, который ссылается на его SMB-сервер (например privet.url)
3️⃣Автоматическое обращение к серверу: когда кто-то из пользователей заходит в общую папку, проводник Windows автоматически пытается обратиться к SMB-серверу, указанному в .url файле. При этом система отправляет NTLMv2 хеш пользователя
4️⃣Перехват хеша: злоумышленник получает NTLMv2 хеш (например, через responder) и начинает его брутить, используя специализированные инструменты
5️⃣Получение пароля: если пароль недостаточно сложный, то злоумышленник может успешно его подобрать и получить доступ к учетной записи

Способы защиты советовать не стану, а то половина подписчиков канала работает в SOC-е и они точно скажут, что мои рекомендации плохие и можно сделать лучше (поэтому сразу жду ваши предложения в комментарии).

Атаки, основанные на автоматическом обращении к внешним ресурсам через .url файлы, могут быть крайне опасными для вашей организации. Однако, соблюдая базовые меры безопасности и регулярно обучая сотрудников, вы можете значительно снизить риски. Помните, что безопасность — это непрерывный процесс, и важно всегда быть на шаг впереди злоумышленников.

Реакции по классике:
👍 - все понятно, побольше бы такого контента
🤯 - сложно, давай что-нибудь попроще - это муть какая-то

#Кибербезопасность #ИнформационнаяБезопасность #Windows #NTLM #SMB #Угрозы #ЗащитаДанных #ITбезопасность #СетевыеУгрозы #Хеширование #АудитБезопасности