Windows Theme での NTLM 認証情報漏えい

編集・協力：Tricia Howard

Windows XP 時代以来、Microsoft では色、フォント、カーソルなど、革新的なプレビズのパーソナライズオプションを提供してきました。パーソナライズの操作は簡単です。インストール済みの Theme を表示するためには、デスクトップ上で右クリックし、［パーソナライズ］を選択し、［Themes］をクリックするだけです。Theme ファイルは末尾が .theme になっています。作成方法は こちら から MSDN の概要をご覧ください。

この無害に見えるものが悪質な脆弱性をもたらすおそれがあります。2023 年 9 月 の Patch Tuesday については、当社で 分析 を行い、Theme の脆弱性（ CVE-2023-38146）の影響について簡単に説明しました。脆弱性を分析する一方で、Theme ファイルの値を用いて「いろいろ試して」みたところ、特定のパラメーターで検証が欠如していることがわかりました。

これを悪用すると、ユーザーインタラクション無しで効果的に攻撃を実施することができます。つまり、ユーザーが悪性の Theme ファイルをダウンロードするだけでよいという状態です。 ユーザーが Explorer でファイルを表示すると、悪用が始まります。

この脆弱性に関する必要情報は、緩和や PoC と併せて文書化されています。ぜひご一読ください。

Windows の各ファイルには関数に対応したサムネイルがあります。サムネイルは、製品ロゴから用途の表現（「Calculator として」など）まで、あらゆるものに対応できます。Theme ファイルのサムネイルは、壁紙（黒い四角形）、MSstyle ファイル（紫の四角形）、ブランドイメージ（ Infection Monkey 画像）の 3 つで構成されています（図 3）。

これらのコンポーネントは、3 つの異なるパラメーター（BrandImage、Wallpaper、VisualStyle）で Theme ファイル内に記述されます。 これらはすべて UNC エンドポイント向けのリモートパスになります。

Theme ファイルが作成または表示されると、Windows がファイル内の 3 つのコンポーネントを使用して適切なサムネイルを作成しようとします。このサムネイル作成プロセスが Explorer のプロセスで 自動的に 行われることになります。図 4 は Theme ファイルのサムネイル作成に関するコードフローになります。

攻撃者は、攻撃対象者の NTLM 認証情報を使用して NTLM リレー攻撃を行います。この攻撃では、NTLM をアクセス認証情報として受け入れるシステムを攻撃します。NTLM ハッシュをリレーすることで、攻撃者は正規ユーザーとして認証され、本来アクセスできないシステムにアクセスできるようになります。

さらに、NTLM 認証情報をデータとして John the Ripper などのパスワード解析アプリケーションに提供し、ブルートフォースで攻撃対象者のパスワードを試行したりクラッキングしたりすることもできます。

これによる大打撃の一例としては、悪名高い Outlook 脆弱性が挙げられます。2023 年 3 月に Microsoft で明らかになった脆弱性です。類似の影響が確認され、現在も搾取が活発に続いていることから、この攻撃ベクトルは未だに攻撃者の間で価値があり、利益の出やすいものと考えられていると言えます。

この 3 月の脆弱性により、攻撃者は攻撃対象者にメールを送り、音声ファイルのダウンロードをトリガーすることができるようになりました。この音声ファイルへのパスは、（UNC パスで）リモートサーバーなど、あらゆる場所へ向けることができます。Akamai の研究者である Ben Barnea は、この脆弱性について記事で大きく取り上げ、どのようにしてこのパッチへの 複数の バイパス を発見したかを紹介しました。

この脆弱性について、Microsoft の FAQ セクション では次のように回答しています：「... 特別に作成されたファイルの処理要求があったからと言って、悪性ファイルをクリックしたり開いたりしないようにしてください」。当社の調査によると、これは誤っていると思われます。 説明したとおり、ファイルのコンテンツを変更することは要求されません。表示しただけで認証情報の送信がトリガーされるのです。

Windows 11 では、グループポリシーを使用することで、リモート機器による SMB での NTLM 認証使用をブロックすることが可能です。これを行うには、管理者が管理用テンプレート > Network > Lanman Workstation > Block NTLM を 編集 する必要があります。

Microsoft では、「Restrict NTLM」という名前の別のポリシーを使用することが提言されていました。これにより、この脆弱性を緩和することができることでしょう。ポリシーをアクティベートするためには Microsoft のマニュアルを確認してください。

マイクロセグメンテーションを使用すると、ネットワーク管理者はネットワーク外のリモートロケーションへの SMB トラフィックをブロックすることができます。SMB はドメインコントローラーやファイルサーバーで使用されることがほとんどであるため、一般的にこのような接続はありません。SMB トラフィックのセグメント化に関する詳細は マイクロセグメンテーションに関するブログ で包括的に解説していますのでご覧ください。

強制認証は広く知られている攻撃で、 ラテラルムーブメント（横方向の移動） や Credential Stuffingを行う攻撃者の間で大々的に用いられています。たとえば、数年前、 Dragonfly と呼ばれるグループが、改造された LNK ファイルを用いて SMB の認証情報を取得したことがありました。Theme ファイルでこのような攻撃をトリガーするのは、驚くべき新たな攻撃ベクトルです。

無害に見える攻撃ファイルを攻撃者が簡単に送信できるようになってきていることから、 フィッシング対策プロトコル の重要性が浮き彫りになっています。

ありがたいことに、Microsoft では関連のグループポリシーでこの攻撃ベクトルを緩和できるよう試行しています。ユーザーは、最新の セキュリティパッチでエンドポイントをアップデートしておくことが大切です。

• 2023/09/20 — Microsoft セキュリティレスポンスセンター（MSRC）で脆弱性が明らかに

• 2023/10/01 — MSRC に寄せられる情報が増加

• 2023/10/18 — MSRC、パッチ処理が必要なことを認める

• 2024/01/09 — Microsoft、当該の脆弱性に向けパッチをリリース

• 2024/03/06 — Akamai、ブログ記事公開