CVE-2025-24071 - Fuga de Hash NTLM de Windows File Explorer

📋 Resumen

CVE-2025-24071 es una vulnerabilidad en Windows File Explorer que permite la divulgación no autorizada de hashes NTLM. Cuando un usuario extrae un archivo .zip especialmente manipulado que contiene un archivo .library-ms malicioso, el Explorador de Windows analiza automáticamente el archivo e inicia una solicitud de autenticación SMB a un servidor controlado por el atacante, filtrando el hash NTLM de la víctima sin ninguna interacción adicional del usuario.

⚠️ Detalles de la Vulnerabilidad

🔍 Cómo Funciona

1. Atacante crea un archivo .library-ms malicioso que apunta a su servidor SMB
2. Atacante empaqueta el archivo en un archivo .zip
3. Víctima extrae el archivo en una máquina Windows
4. Windows Explorer analiza automáticamente el archivo .library-ms
5. Solicitud SMB se envía al servidor del atacante con el hash NTLM de la víctima
6. Atacante captura el hash para cracking offline o ataques de retransmisión

🎬 Demostración del PoC

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

Nota: Si el video no se reproduce en línea, descargue PoC.mp4 de este repositorio.

🚀 Uso

Requisitos Previos

• Python 3.x
• Listener SMB (ej., Responder, smbserver.py de Impacket)

Pasos

1. Clonar el repositorio

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. Iniciar su listener SMB (en la máquina atacante)

   root@kitploit:~

   # Usando Responder
   sudo responder -I eth0
   
   # O usando Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. Generar el exploit

   root@kitploit:~

   python exploit.py
   

4. Ingrese su IP de atacante cuando se le solicite

5. Enviar exploit.zip al objetivo

6. Capturar hash NTLM cuando la víctima extraiga el archivo

📁 Estructura del Repositorio

CVE-2025-24071/
├── exploit.py      # Generador de exploit PoC
├── PoC.mp4         # Demostración en video
└── README.md       # Documentación

🛡️ Mitigación

• Aplicar parches de seguridad de Microsoft para CVE-2025-24071
• Bloquear tráfico SMB saliente (puertos 445, 139) en el firewall
• Deshabilitar autenticación NTLM cuando sea posible
• Usar firma SMB para prevenir ataques de retransmisión
• Educar a los usuarios sobre los riesgos de extraer archivos no confiables

⚖️ Descargo de Responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal. El autor no es responsable de ningún uso indebido o daño causado por esta herramienta.

👤 Autor

Nyx0r-PoC

📄 Licencia

Este proyecto es solo con fines educativos. Úselo de manera responsable.

¡Dale una estrella a este repositorio si te resultó útil!