Win 10主题可以用来窃取密码

Windows 10主题简介
Windows 系统允许用户创建含有定制颜色、声音、鼠标操作和墙纸的定制主题供操作系统使用。然后，Windows用户可以在不同的主题之间进行选择，以修改操作系统的外观。
 
修改Windows主题
主题的设置保存在%AppData%\Microsoft\Windows\Themes 文件夹中一个 .theme 扩展的文件中，比如Custom Dark.theme。
 
windows 10主题文件
用户还可以右键选择活动主题并选择'Save theme for sharing' 将当前主题分享给其他用户，此时会将主题打包为一个 '.deskthemepack' 文件。
然后可以通过邮件或下载的方式分析桌面主题包，并双击安装。
利用定制主题文件窃取Windows凭证
精心伪造的Windows 主题可以用来执行Pass-the-Hash 攻击。
Pass-the-Hash攻击是通过诱使用户访问需要认证的远程SMB共享来窃取Windows 登录名和密码哈希值的一种攻击方式。
当访问远程资源时，Windows会通过发送Windows 用户登陆名和密码的NTLM 哈希值的方式来自动登陆远程系统。
在Pass-the-Hash 攻击中，发送的凭证会被攻击者获取，然后攻击者可以对密码哈希值解哈希获得密码，用于访问受害者的用户名和密码登陆。
BleepingComputer测试发现，只需要4秒钟就可以破解简单的密码哈希值。
 
4秒钟破解NTLM哈希值
在Bayne 发现的新方法中，攻击者可以创建一个精心伪造的 .theme 文件，修改桌面墙纸设置为使用需要远程认证的源，如下图所示：
 
恶意Windows主题文件
当Windows 尝试访问需要认证的远程资源时，就会通过发送当前登入账户的NTLM 哈希和登录名来自动登入远程共享。
 
自动登入远程共享文件
然后，攻击者就可以获取凭证，并通过特殊的脚本来将NTLM 哈希值转化为明文，如下所示：
 
获取Windows凭证
Pass-the-Hash攻击会发送用户登入Windows系统的账户，包括微软账户，因此此类攻击的潜在危害很大。
而且微软开始将本地windows 10账户迁移到微软账户，远程攻击者利用这种攻击可以轻松地访问微软提供的远程服务，其中包括邮箱、Azure以及远程企业网络等。