CVE-2025-24054 وCVE-2025-24071 - تسريب تجزئة NTLM عبر استغلال .library-ms

يوضح هذا إثبات المفهوم (PoC) استغلال تسريب تجزئة NTLM عبر ملفات .library-ms على أنظمة ويندوز غير المحدّثة (مارس 2025 Patch Tuesday).

⚠️ هذا لأغراض تعليمية وبحثية فقط. لا تستخدمه على أنظمة الإنتاج أو الأنظمة غير المصرّح بها.

🧠 الوصف

عند فتح ملف .library-ms يحتوي على مسار UNC (أو معاينته) في مستكشف ويندوز، فإنه يطلق طلب مصادقة SMB إلى الخادم المحدد، مما يؤدي إلى تسريب تجزئة NTLMv2.

📁 الملفات

• generate_library_ms.py : يُنشئ ملف .library-ms الخبيث
• xd.library-ms : ملف خبيث نموذجي (يشير إلى خادم SMB قابل للإعداد)
• Instructions_Responder.md : كيفية إعداد خادم SMB مزيف باستخدام Responder

🧪 كيفية الاختبار

1. شغّل Responder على جهاز المهاجم:

   root@kitploit:~

   sudo responder -I eth0
   

2. على جهاز ويندوز الضحية:

   • نزّل أو ولّد ملف .library-ms
   • عايِنه في مستكشف الملفات

3. على جهة المهاجم:

   • لاحظ تجزئة NTLM الملتقطة في مخرجات Responder

📸 العرض التوضيحي

PoC Demo

📚 المراجع

• تحليل Check Point Research – CVE-2025-24054
• ملاحظات تصحيح Microsoft (مارس 2025)

✅ التخفيف

• طبّق تحديثات مارس 2025 من Microsoft
• عطّل NTLM حيثما أمكن
• ثقّف المستخدمين لتجنب التعامل مع ملفات .library-ms من مصادر غير موثوقة

🧑‍💻 المؤلف

إثبات المفهوم من إنشاء Helidem