CVE-2025-24054 und CVE-2025-24071 - NTLM-Hash-Leck durch .library-ms-Exploit

Dieses PoC demonstriert die Ausnutzung des NTLM-Hash-Lecks über .library-ms-Dateien auf nicht gepatchten Windows-Systemen (Patch-Tuesday März 2025).

⚠️ Dies dient ausschließlich Bildungs- und Forschungszwecken. Nicht auf Produktions- oder unbefugten Systemen verwenden.

🧠 Beschreibung

Wenn eine .library-ms-Datei mit einem UNC-Pfad im Windows-Explorer geöffnet (oder in der Vorschau angezeigt) wird, löst sie eine SMB-Authentifizierungsanfrage an den angegebenen Server aus, wodurch der NTLMv2-Hash preisgegeben wird.

📁 Dateien

• generate_library_ms.py : erzeugt die schädliche .library-ms-Datei
• xd.library-ms : Beispiel einer schädlichen Datei (zeigt auf einen konfigurierbaren SMB-Server)
• Instructions_Responder.md : Anleitung zum Einrichten eines gefälschten SMB-Servers mit Responder

🧪 Testvorgehen

1. Starten Sie Responder auf Ihrem Angreifer-Rechner:

   root@kitploit:~

   sudo responder -I eth0
   

2. Auf der Windows-VM des Opfers:

   • Laden Sie die .library-ms-Datei herunter oder generieren Sie sie
   • Zeigen Sie sie in der Datei-Explorer-Vorschau an

3. Auf der Angreiferseite:

   • Beobachten Sie den erfassten NTLM-Hash in der Ausgabe von Responder

📸 Demo

PoC Demo

📚 Referenzen

• Check Point Research – CVE-2025-24054 Analyse
• Microsoft Patch-Notizen (März 2025)

✅ Abhilfe

• Wenden Sie die Microsoft-Patches vom März 2025 an
• Deaktivieren Sie NTLM wo möglich
• Schulen Sie Benutzer, um Interaktion mit .library-ms-Dateien aus nicht vertrauenswürdigen Quellen zu vermeiden

🧑‍💻 Autor

PoC erstellt von Helidem