Explotando SMB NTLM

Hace unos días, los investigadores Hernán Ochoa y Agustín Azubel, publicaron una vulnerabilidad en la implementación de NTLMv1 de Microsoft, el protocolo que utilizan los sistemas operativos Microsoft para la autenticación a través de la red.

A pesar de que Microsoft ya ha publicado un parche que corrige la vulnerabilidad, existe un riesgo muy alto para aquellos usuarios que no se encuentren al día con sus actualizaciones. La vulnerabilidad afecta a TODOS los productos Microsoft que soporten NTLMv1, es decir, absolutamente TODOS los sistemas operativos Microsoft que existen en el mercado. La vulnerabilidad existe, por tanto, desde hace 17 años.

La vulnerabilidad consiste en una debilidad en la elección del Reto en el mecanismo Reto-Respuesta utilizado para realizar la autenticación. Según se ha publicado en el advisory de la vulnerabilidad, realizando un número suficiente de conexiones a un servicio SMB, los Retos este envía al cliente para realizar la autenticación comienzan a repetirse en un corto espacio de tiempo.

Esta vulnerabilidad puede ser explotada de varias formas, teniendo como consecuencia la autenticación en un sistema con los privilegios de un usuario sin conocer la contraseña de dicho usuario, algo similar a lo que conseguirías como las técnicas de Pass-The-Hash pero mucho más terrorífico, sin necesidad de tomar el control de ninguno de los equipos.

Uno de los posibles vectores de ataque consiste en recolectar de un equipo tantos Retos como podamos, comprobando que efectivamente comienzan repetirse.

Una vez hecho esto, si conseguimos de alguna manera que algún usuario que pueda autenticarse en ese sistema visite un HTML especialmente preparado para hacerle acceder a un servicio Samba que hemos dejado a la escucha para la ocasión, podemos proporcionar a cada una de esas conexiones uno de los Retos que hemos obtenido, con lo que el usuario legítimo nos devolverá las Respuestas adecuadas a cada reto.

Ahora que ya tenemos un montón de Retos y sus respectivas Respuestas de un usuario legítimo, solo tenemos que volvernos a ir al servidor que queríamos atacar y lanzarle la conexión que queramos (escribir un fichero, ejecutar un comando, etc). Si el Reto que nos manda el servidor no lo tenemos en nuestra lista de Reto-Respuesta, lo descartamos y realizamos otra conexión. En el momento que el servidor nos envíe un reto que tengamos en nuestra lista, nosotros le devolveremos la Respuesta que nos devolvió el usuario, por lo que quedaremos autenticados en la máquina con sus privilegios, ejecutándose nuestra acción.

Podemos ver todo esto en vivo en un pequeño video que hemos preparado. Siento la marca de agua, queda un poco cutre pero no encuentro ningún software free para Mac para hacer ScreenCast, pero como me parece que es una vulnerabilidad interesante y de actualidad he preferido poneros el video así y cambiarlo por otro sin marca de agua en cuanto pueda. Perdón por las molestias. Os dejo con el video:

Los script ruby utilizados están contenidos el propio advisory.