CVE-2025-24054 و CVE-2025-24071 - تسريب هاش NTLM عبر استغلال .library-ms

يُظهر هذا الإثبات المفاهيمي (PoC) استغلال تسريب هاش NTLM عبر ملفات .library-ms على أنظمة ويندوز غير مصححة (تحديثات مارس 2025 الثلاثاء التصحيحي).

⚠️ هذا للأغراض التعليمية والبحثية فقط. لا تستخدمه على أنظمة إنتاج أو أنظمة غير مصرح بها.

🧠 الوصف

عند فتح (أو معاينة) ملف .library-ms يحتوي على مسار UNC في مستكشف ويندوز، فإنه يطلق طلب مصادقة SMB إلى الخادم المحدد، مما يؤدي إلى تسريب هاش NTLMv2.

📁 الملفات

• generate_library_ms.py : يُنشئ ملف .library-ms الخبيث
• xd.library-ms : ملف خبيث نموذجي (يشير إلى خادم SMB قابل للتكوين)
• Instructions_Responder.md : كيفية إعداد خادم SMB مزيف باستخدام Responder

🧪 كيفية الاختبار

1. قم بتشغيل Responder على جهاز المهاجم:

   root@kitploit:~

   sudo responder -I eth0
   

2. على جهاز ويندوز الضحية:

   • قم بتنزيل أو إنشاء ملف .library-ms
   • قم بمعاينته في مستكشف الملفات

3. على جانب المهاجم:

   • لاحظ هاش NTLM الذي تم التقاطه في مخرجات Responder

📸 العرض التوضيحي

PoC Demo

📚 المراجع

• بحث Check Point – تحليل CVE-2025-24054
• ملاحظات التصحيح من مايكروسوفت (مارس 2025)

✅ التخفيف

• تطبيق تصحيحات مايكروسوفت لشهر مارس 2025
• تعطيل NTLM حيثما أمكن
• توعية المستخدمين بتجنب التفاعل مع ملفات .library-ms من مصادر غير موثوقة

🧑‍💻 المؤلف

تم إنشاء الإثبات المفاهيمي بواسطة Helidem