CVE-2025-24054 und CVE-2025-24071 - NTLM-Hash-Leak über .library-ms-Exploit

Dieses PoC demonstriert die Ausnutzung des NTLM-Hash-Leaks über .library-ms-Dateien auf ungepatchten Windows-Systemen (Patch Tuesday vom März 2025).

⚠️ Dies dient ausschließlich zu Bildungs- und Forschungszwecken. Verwenden Sie dies nicht auf Produktionssystemen oder unbefugten Systemen.

🧠 Beschreibung

Wenn eine .library-ms-Datei mit einem UNC-Pfad im Windows-Explorer geöffnet (oder in der Vorschau angezeigt) wird, löst sie eine SMB-Authentifizierungsanfrage an den angegebenen Server aus, wodurch der NTLMv2-Hash preisgegeben wird.

📁 Dateien

• generate_library_ms.py : erzeugt die schädliche .library-ms-Datei
• xd.library-ms : Beispiel für eine schädliche Datei (verweist auf einen konfigurierbaren SMB-Server)
• Instructions_Responder.md : Anleitung zur Einrichtung eines Fake-SMB-Servers mit Responder

🧪 So testen Sie es

1. Starten Sie Responder auf Ihrer Angreifer-Maschine:

   root@kitploit:~

   sudo responder -I eth0
   

2. Auf der Windows-VM des Opfers:

   • Laden Sie die .library-ms-Datei herunter oder erzeugen Sie sie
   • Zeigen Sie sie im Datei-Explorer in der Vorschau an

3. Auf der Angreiferseite:

   • Beobachten Sie den erfassten NTLM-Hash in der Ausgabe von Responder

📸 Demo

PoC Demo

📚 Referenzen

• Check Point Research – Analyse zu CVE-2025-24054
• Microsoft Patch-Notes (März 2025)

✅ Gegenmaßnahmen

• Installieren Sie die Microsoft-Patches vom März 2025
• Deaktivieren Sie NTLM, wo immer möglich
• Sensibilisieren Sie Benutzer, die Interaktion mit .library-ms-Dateien aus nicht vertrauenswürdigen Quellen zu vermeiden

🧑‍💻 Autor

PoC erstellt von Helidem