CVE-2025-24071 – Windows Datei-Explorer NTLM-Hash-Leck

📋 Übersicht

CVE-2025-24071 ist eine Sicherheitslücke im Windows Datei-Explorer, die die unbefugte Offenlegung von NTLM-Hashes ermöglicht. Wenn ein Benutzer ein speziell präpariertes .zip-Archiv extrahiert, das eine schädliche .library-ms-Datei enthält, analysiert der Windows Explorer die Datei automatisch und initiiert eine SMB-Authentifizierungsanforderung an einen vom Angreifer kontrollierten Server, wodurch der NTLM-Hash des Opfers ohne weitere Benutzerinteraktion preisgegeben wird.

⚠️ Schwachstellendetails

🔍 Funktionsweise

1. Angreifer erstellt eine schädliche .library-ms-Datei, die auf seinen SMB-Server verweist.
2. Angreifer verpackt die Datei in ein .zip-Archiv.
3. Opfer extrahiert das Archiv auf einem Windows-Rechner.
4. Windows Explorer analysiert automatisch die .library-ms-Datei.
5. SMB-Anfrage wird mit dem NTLM-Hash des Opfers an den Server des Angreifers gesendet.
6. Angreifer erfasst den Hash für Offline-Cracking oder Relay-Angriffe.

🎬 Proof-of-Concept-Demo

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

Hinweis: Wenn das Video nicht inline abgespielt wird, laden Sie PoC.mp4 aus diesem Repository herunter.

🚀 Verwendung

Voraussetzungen

• Python 3.x
• SMB-Listener (z.B. Responder, Impacket's smbserver.py)

Schritte

1. Repository klonen

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. Starten Sie Ihren SMB-Listener (auf dem Angreifer-Rechner)

   root@kitploit:~

   # Using Responder
   sudo responder -I eth0
   
   # Or using Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. Exploit generieren

   root@kitploit:~

   python exploit.py
   

4. Geben Sie Ihre Angreifer-IP ein wenn Sie dazu aufgefordert werden

5. Senden Sie exploit.zip an das Ziel

6. NTLM-Hash erfassen wenn das Opfer das Archiv extrahiert

📁 Repository-Struktur

CVE-2025-24071/
├── exploit.py      # PoC exploit generator
├── PoC.mp4         # Video demonstration
└── README.md       # Documentation

🛡️ Gegenmaßnahmen

• Microsoft-Sicherheitsupdates für CVE-2025-24071 einspielen
• Ausgehenden SMB-Verkehr (Ports 445, 139) an der Firewall blockieren
• NTLM-Authentifizierung nach Möglichkeit deaktivieren
• SMB-Signierung verwenden, um Relay-Angriffe zu verhindern
• Benutzer schulen über die Risiken beim Extrahieren nicht vertrauenswürdiger Archive

⚖️ Haftungsausschluss

Dieses Tool wird ausschließlich für Bildungszwecke und autorisierte Sicherheitstests bereitgestellt. Unbefugter Zugriff auf Computersysteme ist illegal. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.

👤 Autor

Nyx0r-PoC

📄 Lizenz

Dieses Projekt dient ausschließlich Bildungszwecken. Verwenden Sie es verantwortungsvoll.

⭐ Markieren Sie dieses Repository mit einem Stern, wenn Sie es nützlich fanden!